En pocas ocasiones un producto fracasa por ser demasiado bueno incluso antes de lanzarse, pero Anthropic ha demostrado que puede ocurrir. Su nuevo modelo, Mythos Preview, destaca tanto en la detección de vulnerabilidades que su posible publicación para el público general se considera un riesgo para la seguridad digital a escala global. Dicho así parece el guion de la próxima película de James Bond, pero nada más lejos de la realidad. Su capacidad para encontrar fallos es tan avanzada que, fuera de entornos controlados, podría ser utilizada con fines maliciosos. Porque lo que convierte a este nuevo modelo de la compañía de Dario Amodei en una herramienta valiosa para reforzar sistemas, también lo sitúa como un arma potencial si cae en manos equivocadas. Así lo advierte el director técnico de Check Point Software para España y Portugal a Business Insider España: "Si cae en malas manos es un problema".

Anthropic rápidamente tomó medidas, al igual que el gobierno de EEUU. El secretario del Tesoro, Scott Bessent, y el presidente de la Reserva Federal, Jerome Powell, han convocado a los líderes de Wall Street a una reunión urgente ante la preocupación de que esta última herramienta dé paso a una era de mayor riesgo cibernético. La compañía ha frenado mientras su lanzamiento convencional, incluyendo un acceso restringido para investigadores de seguridad y grandes organizaciones, entre las que están Google, Amazon Web Services, Apple, Microsoft o Nvidia, entre otras. La prioridad, aseguran, es evitar que esta tecnología pueda ser explotada para automatizar ciberataques a gran escala.

El reto de la IA en ciberseguridad: un arma de doble filo

Nieva lleva 25 años en el lado bueno de la ciberseguridad. Son muchos los retos a los que se ha enfrentado pero ahora es verdad que con la llegada de la Inteligencia Artificial agéntica las reglas de juego cambian y el mundo entra en una era de mayor riesgo cibernético. Y el detonante ha sido Mythos. Anthropic explica cómo ha entrenado su nuevo modelo y por qué ahora es un momento "crucial para la seguridad y por qué hemos decidido iniciar un esfuerzo coordinado para reforzar las defensas cibernéticas mundiales".

Y es que cuando empezó a estar en pruebas encontró vulnerabilidades sutiles o difíciles de detectar. "Muchas de ellas tienen entre diez y veinte años de antigüedad; la más antigua que hemos encontrado hasta ahora es un error de 27 años", relata Anthropic. Y da la clave de una nueva tendencia que asusta: "Los usuarios sin conocimientos técnicos también pueden usar Mythos Preview para encontrar y explotar vulnerabilidades sofisticadas".

Este movimiento refleja un dilema cada vez más común en la industria de la inteligencia artificial: cuánto poder es demasiado poder cuando se trata de herramientas capaces de identificar debilidades críticas. En el caso de Mythos, su precisión y velocidad parecen haber superado la línea en la que la innovación deja de ser solo una ventaja competitiva para convertirse también en un riesgo sistémico.

Históricamente, la mayoría de las herramientas de seguridad han beneficiado más a los defensores que a los atacantes. Y con el tiempo Anthropic cree que sucederá lo mismo con Mythos. Pero con las nuevas reglas del juego la IA es un arma de doble filo. "Para los defensores de la ciberseguridad la IA es un arma fundamental", explica Nieva. Llevan años utilizándola y ahora con la generativa cuando los atacantes necesitan menos conocimientos para hacer ataques más complejos.

Nieva detalla que a día de hoy hay tres actividades para delinquir en la red que más explotan la IA. Y la primera es el phishing, "intentar engañar a los usuarios para que accedan o descarguen un malware o cedan sus datos en una web creada por los atacantes. Es uno de los usos que se le da para hacer que esas páginas y correos sean más creíbles. No olvidemos que se elimina la barrera del lenguaje y eso dispara más loas víctimas". El segundo que destaca Nieva es "utilizar la IA generativa para engaños más dirigidos a empresas. Aquí se busca engañar a un empleado para conseguir dinero de la firma La táctica que más se utiliza en este caso es falsificar la voz o incluso la imagen (en vídeo) de uno de los miembros del equipo directivo).

Pero no solo. También se reciben llamadas de supuestos empleados para cambiar las contraseñas de acceso y hacerse así con una identidad dentro de una empresa y acceder desde ahí a toda la información sensible de la misma tanto profesional como económica. Todo parece complicado pero con la IA se logra en menos tiempo, sin muchos conocimientos y con mayor éxito.

"Realmente al final se trata de que lo malo sigue siendo malo pero con nuevas técnicas que hay que detectar", puntualiza Nieva. En la misma línea Royal Hansen declaraba en una entrevista en exclusiva a Business Insider que, "la ciberseguridad es, en esencia, una competición permanente. Están los atacantes y quienes tratan de frenarlos. Cada vez que mejoras algo, el otro lado se adapta… y vuelve a cambiar".

El principal error de las empresas al integrar la IA

Nieva, director técnico de Checkpoint para España y Portugal advierte de un gran error en el mundo empresarial a la hora de adoptar la Inteligencia Artificial agéntica porque "se aplica a múltiple sproyectos y no deberían olvidar , y en algunas ocasiones por las prisas sucede, en la seguridad porque supone un punto de ataque más". Explica que a día de hoy un ciberdelincuente puede atacar por el ordenador y por el móvil y ahora también con la Ia generativa utilizando promts maliciosos. Por eso hay que "dotar de las medidas de seguridad adecuadas a los proyectos con IA".

Además, los empresarios tienen que ser conscientes de que los empleados pueden estar utilizando pueden utilizar agentes de IA más allá del chatbot específico de la compañía. Y esto es un problema: "Si no sabemos la información que se intercambia de la compañía puede haber un problema de fuga de datos y es un riesgo porque compartes información con externos".

Dicho así parece que nunca nos puede pasar, pero atentos. Un ciberdelincuente puede atacar al asistente de una compañía, ya sea un banco, o una tienda. Si tienes un problema con un paquete que no te llega lo más probable es que un asistente virtual te haga una serie de preguntas y poco a poco vas dando tus datos. Si ese asistente es hackeado el ciberdelincuente sabrá más de ti y de tu compra que tu mismo.

¿Veremos la ciberseguridad autónoma?

Este experto, al que hace tres días casi le estafan con un mensaje que suplantaba la identidad de la Dirección General de Tráfico "y justo coincidía con el pago reciente una multa, es tajante a la hora responder a si estamos cerca de vivir una ciberseguridad completamente autónoma. "Hay mucho mito alrededor", sentencia. Se suma a la corriente de expertos que creen que queda tiempo, "no décadas pero sí algunos años" para llegar a una IA General porque al final en la IA hemos vivido varios inviernos, épocas en las que se le daba por muerta porque no había avances y de repente llegó la IA Generativa". 

Ese es el momento que estamos viviendo ahora. "Es el hito que ha vuelto a dar alas a la IA y se necesita algo así para dar ese salto a la General". A día de hoy se vive un momento alto en la evolución de la IA gracias a los Transformers, la arquitectura de redes neuronales introducida por Google en 2017. 

Por ahora, desconfiar de todo

Hasta que eso suceda la IA sigue revolucionando todo sector al que llega. En este del mundo de la ciberseguridad está claro que cualquier puede ser atacado, como le ha sucedido a este expertos que lleva 25 años trabajando en Check Point, empresa especializada en soluciones de ciberseguridad. Pero mucha IA que se utilice al final la estafa "es la misma" y lo que hay que hacer es estar muy atento. Es cierto que la sociedad cada vez está más concienciada y el primer consejo que deja Nieva es "desconfiar de cualquier comunicación no solicitada. Por defecto, toca ponerla en cuarentena mental". 

Nieva estuvo a punto de ser estafado por las prisas, pero al final recapacitó y pensó que antes de pinchar en el enlace que le llegó en ese correo malicioso sobre unos problemas con una multa iba a consultar directamente en la DGT si había algún problema con su multa. Misión cumplida.