Una crisis cibernética impulsada por la IA podría ocurrir en meses y no en años, advierten agencias de inteligencia

El plazo para que las amenazas impulsadas por sistemas de inteligencia artificial (IA) provoquen una crisis cibernética ya no se mide en años, sino en meses. Esa fue la advertencia lanzada por la alianza Five Eyes, integrada por agencias de inteligencia de Estados Unidos, Australia, Reino Unido, Canadá y Nueva Zelanda. Mediante una declaración conjunta, exhortó a los líderes mundiales a adoptar mecanismos que garanticen la resiliencia cibernética frente a amenazas en constante evolución, potenciadas por las tecnologías de nueva generación.

“El vertiginoso desarrollo de la IA de vanguardia implica que las suposiciones sobre el riesgo cibernético pueden quedar obsoletas en cuestión de meses, no de años. Debemos actuar con anticipación y estar preparados para adaptarnos y resistir las amenazas en constante evolución”, señaló Five Eyes.

Esta coalición internacional reconoce que la IA ofrece herramientas de gran capacidad para fortalecer la protección de infraestructuras informáticas críticas. Sin embargo, advierte que la misma tecnología permite a los ciberdelincuentes incrementar la velocidad, la frecuencia y la sofisticación de sus ataques, lo que genera riesgos que van más allá del ámbito estrictamente técnico.

“La ciberresiliencia no es un asunto exclusivo de las tecnologías de la información; es un elemento fundamental para la continuidad operativa y la confianza del mercado. Los líderes que actúen ahora reducirán su exposición, fortalecerán la resiliencia y generarán confianza entre clientes, socios e inversores. Quienes se demoren afrontarán un riesgo creciente y evitable”, señala el documento.

Los integrantes de Five Eyes sostienen que, ante el escenario actual, los responsables de la toma de decisiones deben priorizar las prácticas y controles esenciales de ciberseguridad, sustentados en una evaluación integral de los riesgos, con el propósito de establecer medidas eficaces de prevención, contención y rendición de cuentas.

En su declaración, la alianza enumera cinco acciones que considera urgentes para reducir los riesgos cibernéticos asociados con la IA:

• Limitar el acceso a los sistemas críticos y restringir la conectividad externa innecesaria.
• Acelerar la identificación y corrección de vulnerabilidades mediante la aplicación oportuna de parches de seguridad.
• Priorizar las actualizaciones en sistemas heredados.
• Reforzar los mecanismos de verificación de identidad y control de accesos.
• Desarrollar capacidades de prevención, contención y respuesta a través de la capacitación constante de los equipos encargados de la defensa digital.

“Las organizaciones que integran herramientas de IA en sus operaciones de seguridad pueden detectar vulnerabilidades con mayor anticipación, mejorar la calidad del software, supervisar comportamientos inusuales y responder con mayor rapidez a los incidentes, reduciendo tanto su costo como su impacto”, afirmó la coalición.

De la aparición de Mythos, a una precupación generalizada de ciberseguridad

La declaración llega en un contexto marcado por la presentación de nuevos modelos de IA, como Mythos de Anthropic, cuyas capacidades han despertado preocupación por su potencial para comprometer la estabilidad económica, la seguridad pública y la seguridad nacional.

Mythos es un modelo de propósito general que, durante sus primeras pruebas internas, mostró avances significativos en razonamiento, autonomía y generación de código respecto a su predecesor. Estas capacidades derivaron en un efecto secundario inesperado, cuando el sistema demostró una eficacia sobresaliente para identificar fallas y vulnerabilidades en software. Sus desarrolladores advirtieron que, si esta tecnología llegara a ser utilizada por actores maliciosos, podría convertirse en una amenaza de gran magnitud.

Como consecuencia, Anthropic restringió el acceso al modelo a un grupo reducido de investigadores y organizaciones especializadas mientras desarrolla los mecanismos de protección adecudos.

Antes de que el acceso a Mythos fuera suspendido por completo (a petición del gobierno de Estados Unidos), otras empresas del sector ya habían presentado modelos con capacidades similares y, en algunos casos, con funciones específicas orientadas a la ciberseguridad. El principal riesgo radica en que estas tecnologías puedan quedar al alcance de actores maliciosos que ya emplean la IA para perfeccionar sus campañas de ataque.

“Los adversarios ya utilizan la IA para actuar con mayor rapidez y eficacia. Los defensores deben hacer lo mismo», dice la declaración. «El éxito no radicará en tener la mayor cantidad de herramientas, sino en dominar los aspectos básicos, actuar con rapidez e integrar la ciberseguridad en la estrategia empresarial central”.