Encontrar el agujero, taparlo a tiempo

En 1997 vimos por televisión al más hábil de los ajedrecistas, Garry Kasparov, llevarse las manos a la cabeza cuando el ordenador Deep Blue le derrotó. Desde entonces, poco a poco al principio y de forma acelerada después, cada oficio ha ido sufriendo su propio momento de desconcierto al darse cuenta de que el suelo sobre el que asentaba su labor se había movido y nada volvería a ser igual. En 2016 una inteligencia artificial ganó al Go, una disciplina infernal por la enorme cantidad de posibilidades que implica; y lo hizo además con una jugada especialmente creativa. Desde finales de 2022 se tambalearon los trabajos “de oficina”: el lanzamiento de ChatGPT inició la transformación del periodismo, la ilustración, el derecho, la gestión de proyectos, la programación o la investigación. Para los técnicos 2026 está siendo decisivo: siguen escribiendo código, pero dedican cada vez más tiempo a supervisar el trabajo de agentes autónomos. Aquellos dedicados a la ciberseguridad también están sufriendo su “momento Kasparov”. Y junto a ellos, el resto de nosotros, porque, aunque apenas pensemos en su trabajo, nos afecta enormemente.

Estafas digitales cotidianas

Cuando cambia incluso la esencia de la realidad es difícil dar fe de ella. Es conocido el caso de un empleado del departamento financiero de la oficina de Hong Kong de la empresa de ingeniería Arup que fue engañado para transferir 25 millones de dólares en una videollamada donde todos los demás participantes, incluido su jefe, eran deepfakes generados por IA. Había recibido previamente un correo electrónico con instrucciones sospechosas, pero la reunión acabó de convencerle de que no estaba cayendo en el viejo “fraude del CEO”. Comprobó en su propia piel cómo los suplantadores de identidad pueden imitar la voz y la imagen de una persona. La inteligencia artificial ha aumentado la cantidad de estafas digitales cotidianas, sofisticándolas. Ha abaratado y mejorado la calidad del contenido malicioso, permitiendo su distribución en cualquier idioma. Los estafadores ya no cometen faltas de ortografía, atacan a miles de usuarios a la vez y están mejor documentados que nunca sobre sus víctimas.

Pero por preocupante que esto resulte, existe una escala mayor aún donde la IA supone una alerta de seguridad. Este julio, el Banco Central Europeo (BCE) dirigió una carta a los altos ejecutivos de la banca europea para pedirles que actúen ante los nuevos riesgos que implican modelos avanzados. Cuando Anthropic probó su modelo Mythos hace unos meses afirmó haber encontrado gracias a él “miles de vulnerabilidades” en el software que sostiene internet y, por tanto, el mundo. Algunos de estos errores habían pasado desapercibidos durante décadas para los humanos. El asunto es crítico porque una vez hecha pública una vulnerabilidad, puede ser explotada masivamente utilizando también herramientas artificiales.

Desestabilizar los sistemas

En la misma carta, el BCE advierte que dedicará a lo cuántico una misiva aparte. En marzo, Google publicó un estudio señalando que los ordenadores cuánticos podrían llegar antes de lo esperado, rompiendo los sistemas de cifrado bajo los que operan las firmas digitales, la mensajería instantánea, bitcoin o buena parte del sistema financiero, que con la tecnología actual se consideran inexpugnables, pero que deberán adecuarse a toda velocidad a los requisitos de un mundo poscuántico. Una vez puesto en marcha este teórico ordenador, nueve minutos bastarían para acceder a un monedero bitcoin a través de su clave pública. También podrían quedar comprometidos documentos firmados electrónicamente en el pasado, porque sería posible fabricar firmas nuevas indistinguibles de las antiguas. Suena casi a ciencia ficción, pero preocupa la posibilidad de que se estén robando datos actuales con la esperanza de romper su seguridad en el futuro, cuando la tecnología lo permita (store now, decrypt later).

Cimientos que se derrumban

En realidad, lo que BCE quiere transmitir con su misiva es urgencia. La tecnología ha revelado un escenario, posible, donde los cimientos del mundo moderno, hechos de software y secretos, se derrumban si no se pone remedio rápidamente. Lo que hasta hace poco era suficiente ya no lo es.

Así que, si miramos a lo pequeño, nos enfrentamos a un aumento y mejora de las estafas cotidianas; y si vamos más allá, divisamos el uso de tecnologías más avanzadas para desestabilizar los sistemas bancarios y legales, atacar infraestructuras energéticas o sanitarias, vulnerar información gubernamental, personal o corporativa sensible.

Aún existe un tipo de inseguridad nueva provocada por la IA: la basada en su propia popularización. Se trata, por ejemplo, de la fuga de los datos personales que compartimos con ella, del exceso de autonomía de sus agentes que pueden borrar datos sensibles, su uso para realizar espionaje industrial o la abundancia de código inseguro o chapucero no supervisado que es caro y difícil de arreglar después. 

También existen consuelos, aunque sean ambiguos. En ciberseguridad existe una estrategia que consiste en enfrentar a dos equipos: el equipo rojo (red team) simula un ataque y el azul (blue team) se defiende. En este momento Kasparov de la seguridad, la IA pertenece a ambos equipos a la vez. Busca grietas, pero también encuentra parches y vigila la Red. Los usuarios, mientras tanto, vamos ampliando los márgenes de nuestra desconfianza, buscando nuevas certezas en un mundo donde la identidad (la voz, la imagen, la firma) está amenazada. Los dos equipos se mueven por el tablero a contrarreloj, y la partida se decide en el breve tiempo que transcurre entre el momento en el que unos encuentran el agujero y los otros consiguen taparlo.