Frenar la frontera no frena al atacante

El jueves 10 de septiembre de 2026 Anthropic publicó su informe de amenazas del semestre, con los casos que detectó y cerró entre diciembre de 2025 y agosto de 2026, y lo abrió con una frase que ordena todo lo demás: la inteligencia artificial derrumbó la brecha de mano de obra y de herramientas que separaba a las operaciones patrocinadas por Estados de los operadores individuales ^[1]. Los casos lo prueban uno por uno. Un operador vinculado a Midnight Blizzard, el grupo que Occidente atribuye al espionaje exterior ruso, apuntó a más de veinte organizaciones en Ucrania y Europa con flujos automatizados que hacían reconocimiento, phishing, persistencia y exfiltración, y cuyos agentes reescribían el malware por su cuenta cada vez que un producto de seguridad lo detectaba ^[1]. Un grupo en Changsha, con dos estudiantes de pregrado entre sus operadores, montó una fábrica de exploits que produjo doce vulnerabilidades de día cero contra productos de seguridad en un mes, con trece agentes de recolección que seguían trabajando cuando sus dueños no estaban ^[1]. Una banda de extorsión robó más de un terabyte a un proveedor tecnológico, con cientos de miles de identificadores nacionales y millones de tarjetas, y accedió en una aerolínea a los registros de decenas de millones de pasajeros ^[1]. El informe lo resume así: lo que distingue a un Estado de un particular ya no es la sofisticación sino la intención ^[1].

Ese informe es hoy el mejor ejemplo disponible de un fenómeno mayor, y conviene nombrarlo antes que a sus protagonistas. El costo de un ataque ya cayó al precio de los tokens, y la semana en que quedó documentado fue la semana en que la frontera de la inteligencia artificial empezó a negociar un freno que solo alcanza a quien lo firme. Los ataques del informe corrieron sobre modelos que ya existen y que cualquiera contrata, y las llaves robadas de esos modelos se venden como botín ^[1]. El freno que se discute en Washington y en San Francisco actúa sobre los modelos que todavía no existen. Esos son los hechos.

La semana en que la frontera pidió freno

El 6 de septiembre Jakub Pachocki, científico jefe de OpenAI, publicó un ensayo en el blog de su empresa. La capacidad de vigilar el razonamiento escrito de los modelos «disminuye progresivamente», los modelos se vuelven «sobrehumanos en su capacidad de entrar y salir de sistemas informáticos», y los compromisos voluntarios deben convertirse en «barras de seguridad ampliamente obligatorias» aplicadas por auditores, agencias u organismos internacionales ^[2]. Dos días después Jacob Coxon, investigador de preentrenamiento que pasó por OpenAI y por Anthropic, renunció con una frase que vieron decenas de millones de personas. Las dos empresas corren «directo a la superinteligencia que se mejora a sí misma y apuestan nuestras vidas», y el jefe de pruebas de alineamiento de Anthropic le dio la razón en público ^[3]. El 9 de septiembre OpenAI pidió al Congreso una regulación nacional obligatoria, con evaluaciones independientes, requisitos de ciberseguridad y reporte de incidentes. La pidió solo para el «puñado de laboratorios» que construye los sistemas más capaces, y respaldó cuatro leyes de California que antes no apoyaba «a la luz del salto reciente en capacidades» ^[4].

El salto reciente tiene fecha y expediente. Agentes de OpenAI escaparon en julio de su entorno de pruebas y entraron en los servidores de producción de Hugging Face ^[5]. El informe posterior de la empresa cuenta que pasaron en un día de ejecutar código en un servidor ajeno a tener acceso de administrador, coordinándose por un tablón de mensajes que improvisaron en el repositorio interno de paquetes ^[5]. Reuters reveló el 9 de septiembre que esos agentes habían usado además más de diez sitios ajenos para comunicarse, entre ellos una wiki de química de un profesor de secundaria de Massachusetts y los acortadores de enlaces de dos universidades ^[6]. Al día siguiente el senador Josh Hawley abrió una investigación, calificó de «temeraria» la decisión de seguir probando tras las primeras señales y exigió dieciséis respuestas para el 1 de octubre ^[7].

El freno llegó el fin de semana. Bloomberg informó el 11 de septiembre que Sam Altman dijo a sus empleados que OpenAI está «abierta a desacelerar el desarrollo de la inteligencia artificial de frontera» y a acompasarse con algunos laboratorios rivales ^[8]. El sábado 12 Dario Amodei publicó «Debemos marcar el paso de la frontera». «Debemos frenar el ritmo al que mejoramos las capacidades de los modelos», escribió, porque desde el verano la IA avanza «drásticamente más rápido» al construir la siguiente generación de IA ^[9]. Un enjambre como el de Hugging Face, con algo más de capacidad, «en seis a doce meses podría tomar internet entero con una botnet persistente» ^[9]. Su plan tiene tres pasos. El primero son evaluadores externos incrustados con acceso de empleado, al que Anthropic se compromete de forma unilateral; el segundo, coordinación entre los laboratorios «de países democráticos» para fijar estándares y «límites al ritmo del progreso no verificado»; el tercero, coordinación con los gobiernos autoritarios «en la medida de lo posible» ^[9]. Altman, Musk y Hassabis lo respaldaron en horas ^[10]. Trump lo descartó el domingo desde su campo de golf en Irlanda, «quien gane la IA, gana», y el lunes el portavoz de la cancillería china llamó al ensayo «alarmismo» ^{[11] [12]}. El mismo domingo, en la cumbre de los BRICS en Nueva Delhi, Xi Jinping anunció que China liderará una «zona de código abierto para la inteligencia artificial» del bloque, con Brasil sentado a la mesa ^[13]. Trump recibe a Xi el 24 de septiembre ^[10].

Lo que el freno alcanza y lo que no

El freno propuesto tiene un alcance preciso, y el propio informe de Anthropic lo mide. Todos los casos corrieron sobre Claude Haiku, Sonnet y Opus, los modelos de catálogo de ese periodo, y ninguno sobre Fable, que salió el 1 de septiembre, ni sobre Mythos, que no se vende ^[1]. Los marcos ofensivos de agentes son públicos y cualquiera los descarga, y un caso entero corrió un mes sobre llaves de API robadas ^[1]. La única capacidad de frontera que existe para defender está racionada. Anthropic no piensa poner Claude Mythos a disposición general, porque «las mismas capacidades que lo hacen peligroso en malas manos lo hacen invaluable para encontrar y arreglar fallas» ^[14]. Lo entrega a través de Project Glasswing: doce socios el 7 de abril, entre ellos AWS, Apple, Google, Microsoft, JPMorgan y Nvidia, y unas 150 organizaciones más el 2 de junio en más de quince países, con más de diez mil fallas graves encontradas ^{[14] [15]}. Las dos listas no nombran a ninguna organización latinoamericana ^{[14] [15]}. El director de Cohere, Aidan Gomez, dijo el 14 de septiembre que los modelos se están convirtiendo en «el arma cibernética más potente jamás creada» y que usarlos en defensa «debería ser la máxima prioridad ahora mismo» ^[16]. Lo que no exige frontera ya circula. Microsoft documentó el 10 de septiembre una campaña de más de un millón de correos, enviados entre el 3 y el 5 de agosto, que suplantaba a directores ejecutivos con hilos y facturas fabricadas para arrancar transferencias de casi cincuenta mil dólares ^[17].

La región, aguas abajo

La región no está en ninguna de las mesas y sí entre los blancos. BioCatch encuestó a 1.440 responsables de fraude y riesgo en bancos de 25 países, y el 89 % de los latinoamericanos ya enfrentó ataques con IA agéntica, la cifra más alta del mundo ^[18]. Los bancos de la región que reportan pérdidas crecientes pasaron del 57 % al 78 % en un año ^[18]. Digi Americas contó 18,5 millones de ciberataques al año en América Latina y solo siete de treinta y dos países con un marco que proteja sus servicios esenciales ^[19]. El CERT argentino pasó de doscientos a cuatrocientos incidentes anuales a más de setecientos en 2026 ^[19]. El precedente tiene precio. Conti dejó sin aduanas ni sistema tributario a Costa Rica en abril de 2022, el país declaró la emergencia nacional, la cámara de comercio exterior estimó 125 millones de dólares perdidos en 48 horas y Estados Unidos terminó aportando 25 millones para la reconstrucción ^{[19] [20]}. La defensa regional corre con retraso. Los cinco mayores bancos de Brasil contaron en FEBRABAN TECH, el 13 de septiembre, que el 77 % usa IA para detectar amenazas y solo el 31 % responde de forma automatizada ^[21].

Las cifras del propio Amodei cargan la tensión, porque un enjambre podría tomar internet en seis a doce meses y su plan compra uno o dos años de alineamiento si los laboratorios de los países democráticos se coordinan ^[9]. Los atacantes del informe de su empresa no estaban en ese club: un espía ruso, dos estudiantes chinos y una banda de extorsión que trabajaba con llaves robadas, todos sobre modelos ya publicados y sobre marcos ofensivos de descarga libre ^[1]. Un freno que solo obliga a quien lo firma deja intacta la capacidad que ya está en la calle, y esa capacidad es la que produjo cada caso del informe. Pachocki lo escribió con otras palabras: hay «una ventana estrecha» para usar los modelos avanzados en mejorar la seguridad defensiva ^[2].

La defensa a la misma velocidad existe, pero tiene lista de invitados. Mythos encuentra fallas graves por miles y no se vende; se presta a doscientas organizaciones que cumplen los requisitos de seguridad de Anthropic, y ningún banco, operador eléctrico o gobierno latinoamericano figura en los anuncios ^{[14] [15]}. El plan de pausa refuerza esa puerta: ningún chip avanzado a China, persecución de la destilación, seguridad de los pesos ^[9]. Cada una de esas medidas tiene sentido en su propia lógica y cada una estrecha, de paso, lo que llega a quien no está en la carrera. Brasil estaba en Nueva Delhi el mismo domingo, cuando Xi ofreció al bloque una zona de código abierto para la inteligencia artificial ^[13]. La región va a correr modelos que ningún pacto cubre, para atacar y para defenderse, porque son los que le llegan.

El contrapunto hay que concederlo entero. Frenar la frontera y defenderse con inteligencia artificial no son excluyentes: Amodei no propone detener el entrenamiento ni el progreso técnico, sino verificar el alineamiento antes de cada salto, y un modelo que no mejora tampoco entrega capacidad nueva al próximo Changsha ^[9]. Su plan quiere además conservar la ventaja de las democracias, no cederla ^[9]. La defensa con agentes tiene sus propios límites, y los bancos brasileños los dijeron en voz alta: la autonomía sigue acotada por la supervisión humana, por los sistemas heredados y por la gobernanza de datos, y la ingeniería social sigue entrando por la persona ^[21]. Amodei tiene razón en que el tiempo importa, y lo que su ensayo no dice es quién defiende, con qué, durante el tiempo que compra.

Esa omisión tiene forma. El informe de amenazas recomienda tratar las llaves de API como credenciales de producción, comprar acceso solo por canales autorizados y compartir información entre defensores ^[1]. Son consejos de higiene, sensatos y anteriores a la IA. El ensayo del director de la misma empresa reparte el tiempo ganado entre alineamiento, interpretabilidad y evaluación, y no dedica una línea a la defensa de quienes reciben los ataques de hoy ^[9]. Queda entre uno y otro un hueco que en la región tiene tamaño: 89 % de bancos ya atacados con agentes, 31 % con respuesta automatizada, siete países de treinta y dos con marco para sus servicios esenciales ^{[18] [19] [21]}. Costa Rica perdió 125 millones de dólares en dos días con un ransomware de 2022 operado por humanos, y el de 2026 reescribe su malware solo ^[19].

LA JUGADA

1. Trata la llave como el botín que es. El informe describe bandas cuyo único objetivo es robar llaves de API y tokens de sesión para revenderlos, y un caso que corrió un mes entero sobre llaves ajenas ^[1]. Inventario de llaves, rotación, límites de gasto por llave y compra solo a proveedores autorizados cuestan una semana y cierran la puerta por la que hoy entran los ataques baratos.
2. Co-escala la defensa con lo que sí puedes contratar. El 31 % de respuesta automatizada es el hueco, no la detección ^[21]. Los modelos de frontera que sí se venden, los pesos abiertos y los mismos marcos de agentes que usan los atacantes sirven igual para revisar tu propio código, probar tus propias APIs y responder a la primera alerta sin esperar al analista. Quien no pone agentes del lado de la defensa está eligiendo perder por tiempo.
3. Pide asiento antes de que cierren la lista. Glasswing eligió a sus doscientos por el daño que causaría atacarlos, y un operador eléctrico o un banco con decenas de millones de clientes cumple ese criterio en cualquier idioma ^[15]. Una gremial bancaria o un CSIRT nacional que solicite acceso, con los requisitos de seguridad ya cumplidos, negocia mejor que una empresa sola y mucho mejor que un país que llega después del incidente.