Amparo Babiloni
Editora Senior - TechDesde que Anthropic dio a conocer a Claude Mythos hace unos meses, la ciberseguridad se ha convertido en el principal argumento con el que los laboratorios de IA destacan la potencia de sus nuevos modelos. Hay motivos: Mythos en concreto fue capaz de encontrar vulnerabilidades zero-day (desconocidas y sin parche) que llevaban años pasando desapercibidas.
¿Significa esto que la ciberseguridad tradicional ha quedado obsoleta de la noche a la mañana? Según Daniel Púa, jefe de seguridad en Magnific, "la ciberseguridad tradicional tiene que acostumbrarse a trabajar con la IA. Igual que hoy en día la gente que programa a mano y no hace uso de agentes se queda muy atrasada".
El hype de Mythos. "Se le ha dado mucho bombo", dice Daniel Púa sobre todo el revuelo causado por Claude Mythos. No es que no sea un modelo potente, lo es, pero este experto no cree "que sea un cambio de paradigma como muchos están vendiendo". Su razonamiento es que las vulnerabilidades que encontró Mythos se podrían haber encontrado con el siguiente modelo más avanzado en aquel momento, que era Claude 4.8, simplemente "gastando suficientes tokens". En este sentido, Mythos no es un arma nueva, sólo una un poco más potente: "si decimos que Claude 4.8 era una navaja, Mythos a lo mejor es un machete".
Además, Púa aprovecha para destacar el trabajo de su rival, OpenAI: "se le está dando mucho bombo a Mythos y a Anthropic, pero creo que los modelos que está sacando OpenAI (GPT 5.5 y 5.6) están a la par".
El cambio está en el open-source. Hay un detalle destacable de toda esta cuestión y es que "Casi todas las vulnerabilidades que descubrió Mythos son de programas open source". Es decir, que las ha encontrado en aquellos programas en los que la IA pudo acceder a todo el código, según Púa "ahí es donde sí que veo un cambio de paradigma gordo".
Tradicionalmente, los programas open-source eran considerados más seguros porque "cualquiera podía entrar y auditar el código". Esa fortaleza es lo que, en un contexto de modelos de IA con capacidades en ciberseguridad, se vuelve en su contra. "Una persona puede tardar días o semanas e incluso perderse en ese flujo y no encontrar ninguna vulnerabilidad", dice Púa. En cambio, "un agente trabaja muchísimo mejor porque puede seguir todo el flujo en segundos o minutos".
¿Peligro o intereses? Hace unos años Dario Amodei, CEO de Anthropic, decía que "la IA Open Source se está convirtiendo en un peligro", un discurso muy similar al de Steve Ballmer cuando decía que "Linux es un cáncer". Para Daniel Púa, hay un claro interés detrás de estas afirmaciones: "no es ni 100% cierto ni 100% falso (...) Al final, los modelos open source chino están cogiendo mucha carrerilla, entonces a él le interesa frenarlo de alguna manera".
Sin embargo, sí reconoce que la IA open source puede tener cierto punto de riesgo ya que "en los modelos open source no puedes poner guardarrailes, tú no puedes decirle, 'Oye, no hagas esto'. Mientras que modelos de OpenAI o de Anthropic, ellos sí tienen un control para decir 'hasta aquí llegas'".
El peligro de una IA que "escapa del laboratorio". Recientemente se produjo un incidente en el que un modelo de OpenAI hackeó la base de datos de una empresa externa y poco después Anthropic dijo que a ellos les había pasado algo parecido. Ante esta situación, muchos ya ven un escenario casi apocalíptico en el que la IA termina escapando al control humano. Daniel Púa lo ve "un poco peli de ciencia ficción", pero reconoce que "con la IA puedes hablar a corto plazo, incluso a medio plazo, pero a largo plazo... no sabes a dónde va a llegar porque va avanzando a una velocidad que que no tiene ningún tipo de sentido".
No obstante, es bastante prudente y afirma que para que algo así pasara primero tendríamos que abrirle la puerta: "Si a una IA no le das acceso a sistemas cerrados militares, por ejemplo, no va a llegar ahí de la noche a la mañana. Si empiezas a darle acceso, podría darse el caso, pero yo lo veo muy rebuscado"
La IA también sirve para hacer el bien. Normalmente nos enfocamos en el uso de IA para atacar, que es el que da más miedo, pero "también como parte del Blue Team, la parte defensiva. En la respuesta ante incidentes y en la parte forense está siendo una ayuda increíble", cuenta Púa. En Magnific ya la usan para vigilar sus propios sistemas: "tenemos agentes internos que cogen los cientos de millones de logs que generamos y nos ayudan a filtrar y encontrar patrones de ataque (...) Ese trabajo hecho a mano nos llevaría muchísimo tiempo, y con la IA está siendo casi instantáneo".
En Xataka | Hay un puesto de trabajo en auge en la era de la inteligencia artificial: experto en ciberseguridad
Ver 1 comentarios