Ciberseguridad e IA: lo que piden más de 100 empresas hoy

Más de 100 organizaciones, entre ellas OpenAI, Anthropic, Google, Microsoft, AWS, Cloudflare, CrowdStrike e importantes entidades financieras, reclaman un refuerzo coordinado en la ciberdefensa. Su mensaje de agosto de 2026 es directo: se espera que los ataques impulsados por IA se vuelvan más comunes y sofisticados a corto plazo, por lo que la respuesta más sensata es corregir las debilidades conocidas antes de que los atacantes automaticen su explotación a mayor escala.

La carta abierta resulta inusualmente práctica para tratarse de una declaración corporativa del sector tecnológico. Señala con claridad la autenticación débil, los permisos desmedidos, las malas configuraciones, el software sin parches, la deuda técnica acumulada y el código inseguro como problemas que ya existen hoy. He leído la carta original en lugar de quedarme solo en los logotipos de los firmantes, porque las recomendaciones operativas aportan mucho más que los titulares.

¿De qué alertan más de 100 empresas tecnológicas?

Los firmantes advierten de que el aumento en las capacidades de la IA puede hacer que los ciberataques sean más rápidos, baratos y escalables. La carta destaca que servicios esenciales como hospitales, plantas potabilizadoras e infraestructura de internet figuran entre los sistemas en riesgo si los defensores no mejoran su postura de seguridad.

La IA puede causar graves problemas sin necesidad de inventar una categoría completamente nueva de vulnerabilidades. Un atacante capaz de revisar código, probar configuraciones, generar variantes de exploits y actuar sobre múltiples objetivos a la vez puede extraer mucho más partido de debilidades que las organizaciones ya saben cómo corregir.

Eso vuelve la negligencia mucho más costosa. Una cuenta de servicio olvidada o una aplicación antigua expuesta a internet podían sobrevivir años porque encontrarlas y explotarlas exigía tiempo y dedicación humana. La automatización elimina esa barrera.

Para quienes operan infraestructuras, este es el motivo exacto por el que consideramos la visibilidad y la recuperación aspectos fundamentales en la sección de Centros de Datos y AIOps. Una vulnerabilidad resulta mucho más peligrosa cuando no puedes ver el activo afectado, aislarlo o restaurar el servicio con garantías.

¿Afirma la carta que la IA solo ayuda a los atacantes?

No. La carta argumenta que estas mismas capacidades pueden conceder ventaja a los defensores si se despliegan con rapidez y responsabilidad. Describe este momento como una ventana de oportunidad en la que la IA puede ayudar a las organizaciones a localizar y corregir debilidades acumuladas antes de que el uso ofensivo se generalice.

El ensayo complementario de OpenAI publicado el 17 de agosto de 2026, "The Defender's Window", profundiza en ese mismo razonamiento. Plantea que la IA es valiosa para descubrir vulnerabilidades, revisar código de forma segura, validar parches y aplicar verificación formal, advirtiendo al mismo tiempo de que los modelos abiertos avanzados pueden extender la capacidad ofensiva más allá de un pequeño grupo de laboratorios.

Eso no convierte la etiqueta "herramienta de seguridad con IA" en sinónimo automático de seguridad. La IA defensiva sigue necesitando un alcance definido, permisos delimitados, validación, registro y supervisión humana. Un modelo capaz de detectar vulnerabilidades es útil, mientras que un modelo que aplique cambios en sistemas de producción sin aprobaciones controladas genera un riesgo operativo añadido.

¿Qué pide la carta a las empresas convencionales?

La carta solicita a todas las organizaciones que sitúen la ciberdefensa como una prioridad inmediata de la dirección y resuelvan primero las debilidades de mayor riesgo. Destaca en concreto el principio de mínimo privilegio, controles de acceso robustos, defensa en profundidad, estándares más exigentes para el software adquirido o generado, y controles compensatorios cuando los sistemas críticos no puedan actualizarse de forma segura.

Esto se traduce en tareas que todos conocemos: inventariar los sistemas, eliminar cuentas y permisos injustificados, aplicar parches al software expuesto a internet y exigir autenticación reforzada. Implica también separar las rutas administrativas del tráfico ordinario de usuarios, poner a prueba los procedimientos de restauración y revisar a qué recursos pueden acceder las identidades de automatización. Todas estas medidas siguen vigentes con la llegada de la IA, y la IA incrementa el coste de dejarlas a medias.

El apartado de las copias de seguridad merece más protagonismo del que suele recibir en los anuncios de seguridad. La prevención puede fallar, y el ransomware, los accesos destructivos, una automatización fallida o un administrador con credenciales comprometidas convierten la recuperación en el último cortafuegos real. Si utilizas Proxmox, nuestra guía de Proxmox Backup Server es un buen punto de partida para diseñar copias independientes y rutas de recuperación, asegurando que el backup sea algo más que una casilla marcada en un formulario.

¿Qué deberían cambiar los proveedores de ciberseguridad?

La carta pide a las empresas de ciberseguridad y socios tecnológicos que evalúen sus defensas de forma continua frente a las capacidades cibernéticas de vanguardia, y que faciliten el acceso a la defensa basada en IA a los operadores de infraestructuras críticas. Pide además compartir inteligencia sobre amenazas, manuales de respuesta probados y correcciones verificadas.

El concepto clave aquí es la evaluación continua. Un control de seguridad que superó una auditoría hace seis meses puede flaquear ante una aplicación modificada, una nueva vía de identidad o una técnica de ataque actualizada. La IA acelera el ritmo de iteración en ambos bandos, con lo que las validaciones periódicas ofrecen mucha menos tranquilidad.

Para un proveedor, el discurso comercial debe dejar atrás el simple reclamo de "detectamos amenazas de IA" y aportar pruebas sobre qué se evalúa, qué se bloquea, con qué rapidez una técnica nueva se convierte en una detección y cómo puede un operador verificar el resultado.

A la hora de contratar soluciones, exige esas evidencias, porque añadir el nombre de IA a un producto es fácil, pero presentar resultados de pruebas reproducibles cuesta bastante más.

¿Qué pide la carta a los gobiernos?

El texto insta a los gobiernos a coordinar la ciberdefensa en los ámbitos local, nacional e internacional, a financiar servicios esenciales con recursos limitados, a facilitar un acceso fiable a herramientas avanzadas de IA defensiva y a mejorar la respuesta ante incidentes y el intercambio de inteligencia sobre amenazas.

Poner el foco en las organizaciones con menos recursos resulta sensato porque el nivel de partida es muy dispar. Un gran banco puede disponer de un centro de operaciones de seguridad, especialistas dedicados a la seguridad de aplicaciones y presupuesto para probar herramientas punteras. Una empresa municipal de aguas o un pequeño hospital suelen depender de unos pocos administradores que ya hacen malabares para mantener en pie sistemas antiguos las 24 horas del día.

Si la IA facilita que los ataques automatizados escalen, las organizaciones peor defendidas se convierten en los objetivos más atractivos. Por tanto, la respuesta defensiva no puede limitarse únicamente a lo que las grandes empresas tecnológicas mejor financiadas puedan implantar internamente.

¿Qué se pide aportar a las compañías de IA de vanguardia?

La carta señala que las empresas punteras de IA deben proporcionar a los defensores acceso responsable a sus modelos, financiación, formación, observabilidad, herramientas de seguridad, soporte para pruebas autorizadas y evaluaciones de amenazas creíbles. También exige que las identidades de los agentes sean rastreables y rindan cuentas de sus acciones.

La identidad de los agentes cobrará un peso decisivo a medida que las organizaciones desplieguen agentes que interactúen con navegadores, repositorios de código, plataformas de tickets, consolas de nube y utilidades de seguridad. Los administradores humanos disponen de cuentas que se pueden desactivar, registrar en auditorías, revisar y vincular a una persona concreta. Los sistemas agénticos precisan un modelo de identidad equivalente si van a operar sobre la infraestructura.

Un agente no debería heredar un token genérico de administrador simplemente porque sea la integración más rápida. Asígnale una identidad específica, permisos acotados, credenciales de corta duración siempre que sea posible y un registro de auditoría que aclare qué ha cambiado.

¿Es esto otra razón para reemplazar la infraestructura heredada?

A veces sí. La carta identifica explícitamente la deuda técnica heredada, el software sin parches, la autenticación débil y los permisos excesivos como factores clave de exposición. Si un sistema no puede elevarse hasta un nivel de seguridad defendible, sustituirlo pasa a ser una decisión de seguridad y no un mero proyecto de modernización estética.

Ahora bien, un sistema antiguo no es inseguro por definición, ni una plataforma moderna es segura por el simple hecho de ser nueva. Una arquitectura actual con una gestión descuidada de identidades puede resultar mucho más peligrosa que un sistema veterano bien aislado y estrictamente controlado.

Pregúntate si puedes actualizarlo, monitorizarlo, restringirlo, respaldarlo y recuperarlo. Si la respuesta a varias de estas cuestiones es negativa, la plataforma está acumulando un riesgo que los atacantes con herramientas de IA podrán explotar con mayor facilidad.

Nuestras comparativas de infraestructura se fundamentan en ese mismo planteamiento. La cantidad de funciones secundarias importa menos que las implicaciones operativas de la plataforma, la gestión ante fallos y las opciones reales de migración.

¿Qué cambiaría yo este trimestre?

Dedicaría menos tiempo a adquirir productos con la etiqueta de "seguridad con IA" y más tiempo a cerrar las brechas ordinarias que la propia carta señala. Empezaría por las identidades con privilegios, los activos expuestos a internet, el software crítico desactualizado, los sistemas sin soporte, la gestión de secretos y la capacidad real de restauración. A partir de ahí, incorporaría revisiones asistidas por IA allí donde aporten hallazgos que el equipo pueda contrastar y solucionar.

Llevaría a cabo también al menos un simulacro de incidente en el que el atacante avance con más rapidez de la que el equipo humano anticipa. Este ejercicio debe dejar a la vista los cuellos de botella en las aprobaciones, la falta de registros, las responsabilidades difusas y los pasos de recuperación que solo existen en la cabeza de algún compañero.

Una organización con un control de accesos limpio, software al día, telemetría útil y una recuperación verificada puede sacar provecho de la IA defensiva sin jugarse su estrategia de seguridad a una nueva categoría comercial. Una empresa con cuentas de administrador descontroladas y activos sin inventariar tiene un problema mucho más elemental que resolver primero.