Antes de liderar la seguridad en Google, Royal Hansen exploró los límites del hacking con L0pht, uno de los grupos de hackers más influyentes de los años 90. En una época donde la seguridad digital era un concepto casi inexistente para las instituciones financieras, Hansen usaba la película de Robert Redford, Los Fisgones (Sneakers en inglés) como referente cultural porque "era la forma más fácil de explicarle a algún banquero qué demonios íbamos a hacer, porque era la primera vez que se vendía seguridad", recuerda el vicepresidente de Ingeniería de Privacidad, Seguridad y Protección de Google en una entrevista en exclusiva con Business Insider España. Hansen es consciente de los riesgos, pero insiste en que para vencer a "los malos" es necesario no tener miedo: explorar, aprender y usar la IA es clave para protegerse y adaptarse al mundo digital. Esto es lo que nos ha contando este apasionado de la lectura, incluso en castellano. 

Has pasado décadas combatiendo el crimen digital, pero ¿cómo ha cambiado la inteligencia artificial tu trabajo diario ahora que, ciudadanos y empresas, estamos más expuestos que nunca por la democratización de la IA?

En realidad, la IA ya se utilizaba en seguridad, protección y privacidad mucho antes de que existieran los chatbots. Hace más de diez años, cuando Google compró DeepMind, empezamos a aplicarla, por ejemplo, en Gmail para bloquear el phishing y el spam. Hay que tener en cuenta que cada día se envían más de 300.000 millones de correos electrónicos en internet, de los que unos 170.000 millones son spam o intentos de phishing. Es imposible revisar todo eso uno por uno: necesitas inteligencia artificial. Eso sí, nos ha obligado a cambiar la forma de pensar. Ahora nos centramos más en definir bien las protecciones que en controlar cada paso del sistema, porque no es determinista. Es como poner barandillas o límites de seguridad. En lugar de obsesionarnos con que todo sea perfecto, asumimos que, mientras el sistema se mantenga dentro de esos márgenes, no resultará peligroso. Lo más interesante es lo que estamos empezando a aplicar directamente en la defensa. 

Tenemos un proyecto llamado Big Sleep que detecta vulnerabilidades mientras dormimos y otro, Code Mender, que genera parches y soluciones para los fallos que aparecen. Así se crea un ciclo continuo en el que se descubren problemas y se corrigen casi al mismo tiempo. Eso nos da mucha velocidad. Aun así, la ciberseguridad es, en esencia, una competición permanente. Están los atacantes y quienes tratan de frenarlos. Cada vez que mejoras algo, el otro lado se adapta… y vuelve a cambiar.

Y, ¿cómo logramos alcanzarles? 

¿Has visto la película Matrix? En ella había centinelas que querían acabar con la humanidad. Pues ahora estamos creando algo parecido dentro de Google, y también lo haremos hacia fuera. Son como pulpos metálicos que vigilan constantemente la infraestructura digital de la empresa en busca de datos sospechosos o vulnerabilidades. Cuando detectan algo, por ejemplo, pueden modificar controles de acceso o señalar código que nunca se ha utilizado y eliminarlo porque solo supone un riesgo. Es un poco como el sistema de alcantarillado o la recogida de basura: se encarga de retirar los residuos antes de que causen problemas. La idea es tener esos “centinelas” limpiando el entorno mientras nosotros seguimos con nuestro trabajo.

Al escucharte no sé si ves a la IA más como un aliado o como una amenaza a vigilar.

La verdad es que casi todas las tecnologías que analizo, los drones son un buen ejemplo, o el propio internet, son de doble uso. Pueden servir tanto para el bien como para el mal. Intento no pensar que una dimensión pesa más que la otra, porque entonces corres el riesgo de ignorar la contraria. Si crees que todo es negativo, dejas de aprovechar sus beneficios. Si piensas que todo es positivo, olvidas que alguien también puede usarlo con malas intenciones. Prefiero verlo como fuerzas opuestas que coexisten: tan capaces de hacer daño como de aportar cosas buenas.

¿Qué fuerza crees que está ganando la partida? 

Creo que ese es el riesgo en este momento. Con muchas tecnologías, los coches eléctricos, por ejemplo, sucede que simplemente aparecen y empiezas a usarlos sin más. La IA es distinta: hay que aprender a manejarla. No va a hacer el trabajo por ti automáticamente; tienes que saber utilizarla bien. Lo que está ocurriendo ahora en la ciberseguridad es que el porcentaje de atacantes que utilizan la IA es probablemente mayor que el porcentaje de defensores que la utilizan. Así que hay que conseguir que mucha gente utilice estas herramientas, así que, estoy un poco nervioso por esta situación. 

La IA hay que aprender a manejarla. No va a hacer el trabajo por ti automáticamente"

Me preocupa que, a corto plazo, el porcentaje de malhechores que la utilicen sea mayor que el de defensores, y eso que afortunadamente, solo hay un número limitado de personas realmente malintencionadas en el planeta. Pero, es importante animar a los defensores a que prueben esta tecnología y que aprendan a manejarla bien. Es como usar Internet, como usar un teléfono móvil, ya sabes, hay que practicar.

Y, ¿qué buscan realmente los atacantes?

Básicamente hay dos motivaciones. Unos, atacan por dinero.  Son, por ejemplo, los ataques de ransomware en los que bloquean sistemas o datos para después exigir un pago por liberarlos normalmente en criptomonedas, etc… Otros, atacan por el reto. A veces descubren una vulnerabilidad que permite controlar un ordenador; no necesariamente la utilizan ellos mismos, sino que la venden a alguien que sí lo hará. Hay mucho de esa mentalidad de “romperlo porque se puede” o “robarlo porque se puede”, y luego ya se verá qué pasa.

¿Como si fuera un juego?

Sí, en cierto modo. Tiene algo de juego. Me recuerda a los primeros hackers con los que trabajé. Para ellos era casi un desafío divertido. Les gustaba experimentar y probar cosas. Es como cuando alguien desmonta su coche para ver cómo funciona. Desarmaban el ordenador y pensaban: “¿Cómo funciona esto? Ah, aquí no hay ningún control”. Y no siempre lo hacían con malas intenciones; muchas veces simplemente estaban aprendiendo. Ese espíritu aún existe.

¿Y habéis reclutado en Google a algunos de estos entusiastas?

Bueno, tenemos un red team (un equipo de hackers que simula ciberataques reales contra las redes, los sistemas y los dispositivos de Google) y les gusta porque aquí están bien pagados y pueden hackear con un objetivo positivo. Además, les resulta emocionante; en cierto modo, es casi como jugar a un juego.

En España, nuestro tejido productivo está compuesto básicamente por pequeñas y medianas empresas, ¿tienes algún consejo para que puedan fortalecer su seguridad?

Lo primero que diría sería: no subestimes la utilidad de esta tecnología, simplemente juega con ella. Si necesitas programar reuniones o, yo que sé, comprar neumáticos, intenta hacerlo usando los agentes y los modelos de IA y no tengas miedo porque es como aprender a usar una hoja de cálculo por primera vez. 

En este sentido, estamos integrando Gemini en Gmail, Maps, YouTube es por el hecho de que muchas de esas pequeñas empresas usan Workspace (conjunto de opciones de productividad y colaboración basadas en la nube). Y, estas herramientas ayudarán a la gente a ser más hábil y a no estar tan expuestos a riesgos porque estamos integrando la seguridad en esos productos. La idea es no pensar en la seguridad como algo que solo se hace una vez cada dos semanas. Es algo que ocurre constantemente.

La idea es no pensar en la seguridad como algo que solo se hace una vez cada dos semanas"

Mencionas a los agentes de IA, pero el riesgo es perder el control o nuestra privacidad al utilizarlos, ¿Cómo encontrar el equilibrio?

Es una buena pregunta. Tenemos tres principios y que estamos promoviendo en el marco de IA segura (Secure AI Framework). Una de las áreas es la seguridad agéntica. Primero: necesitas supervisión humana. La supervisión puede significar a veces hacer clic en un botón, o recibir un informe después de que se haya hecho. Segundo: innovación con control. Volvemos a las barandillas. Ningún agente debería ser capaz de hacerlo todo. Un agente de salud debería limitarse al trabajo de salud. Uno de viajes a viajes. Y tercero: transparencia. El registro: a medida que los agentes actúan, deben escribir esas acciones en un registro que ellos mismos no puedan tocar. Si algo sale mal, tenemos un registro. Creo que, si hacemos esas tres cosas como comunidad, limitaremos el riesgo y aprenderemos juntos.

¿Podrías explicarme a mí y a los lectores de Business Insider en España de qué manera va a cambiar nuestra vida con la computación cuántica? 

Es curioso, justo he estado hablando recientemente con el equipo en Santa Bárbara, California, donde tenemos nuestro propio ordenador cuántico. Y creo que hay dos formas de abordarlo. Primero: no va a pasar todo a la vez. No nos despertaremos un día y todo lo que hace un ordenador clásico lo hará uno cuántico. Irá problema por problema, porque no puede hacer lo que yo llamaría computación de propósito general. Así que será incremental; la gente no tiene que preocuparse de que cambie su vida de la noche a la mañana. Pero, para la seguridad, uno de los primeros casos en los que será buena la cuántica es rompiendo la criptografía. Así que, una cosa que las empresas y países deberían hacer es cambiar ya mismo a a algoritmos criptográficos resistentes a la cuántica. 

¿Y cómo estáis trabajando para esta era "post"?

Es una situación rara, porque tienes que pensar más como un espía y menos como un informático. Es el clásico "obtén los datos y ya verás para qué sirven más adelante" ya que esa ruptura no podrá hacerse hasta dentro de unos años, pero los datos encriptados hoy con tecnología vieja serán vulnerables. Google es inusual si lo piensas porque tenemos gente diseñando esos algoritmos desde el 2023. Y tú no tienes que hacer nada como usuario, Google se está encargando de ello por ti.

Hay un movimiento creciente para proteger a los jóvenes de las redes sociales, en España es un debate intenso, ¿cuál es tu punto de vista? 

Creo que estamos aquí para ofrecer capacidades que apoyen el rumbo que la sociedad decida tomar. Nuestro objetivo no es dictar la manera en que cada país debe hacerlo. Más bien, queremos participar en la conversación y tratar de ayudar a que las cosas funcionen correctamente. Lo que no queremos es que se tomen medidas que terminen siendo contraproducentes, donde los jóvenes simplemente encuentren formas de evitarlas y, al final, el propósito se pierda. Si logramos acertar con el espíritu de lo que se busca, entonces podremos ayudar a implementarlo de manera efectiva. En Google tenemos programas para facilitar que padres e hijos gestionen el consumo. Cada niño y familia es diferente. Intentamos dar opciones para apagar o encender ciertas capacidades según la edad. Tenemos una base donde, por ejemplo, hay un modo de búsqueda segura. Algunos productos no están disponibles para niños en absoluto. Es una combinación de elevar el estándar base y dar opciones a las familias. Tengo hijos y son muy listos con estas cosas; tienes que ayudarles a aprender y crecer manteniéndolos protegidos. No creo que pueda ser un caso de "todo apagado" o "todo encendido". Estos chicos son mucho más listos que eso.

Estudiaste informática, pero también tienes interés en el Medio Oriente. ¿Cómo evalúas el riesgo de la ciberguerra y qué implicaciones tiene para los sistemas críticos mundiales?

Si miras entre bastidores, en realidad estamos defendiéndonos de ataques constantemente. Siempre hay gente tanteando el “pomo de la puerta” para ver si está abierta. Que no sea visible para la mayoría no significa que no lleve ocurriendo décadas.

El conflicto físico puede cambiar un poco las cosas, pero no es el origen. Si piensas en la invasión de Ucrania, ya en 2014, cuando Rusia se anexionó Crimea, vimos un aumento claro de ataques destructivos. Eso ocurrió diez años antes de la invasión actual. Desde entonces ya estábamos vigilando y ayudando a Ucrania a defenderse.

En Taiwán también trabajamos con ellos porque detectan actores chinos penetrando su infraestructura crítica. Y lo mismo sucede en Estados Unidos, donde hay actores rusos posicionándose dentro de sistemas clave. Esto ocurre continuamente.

Hay mucho debate sobre el uso de la IA aplicada a la defensa tras lo conocido con el Pentágono y Anthropic o OpenAi, ¿crees que no quieren usar la tecnología por sus principios éticos o porque no está lista para ello? 

Nosotros tenemos nuestros principios y tomamos una posición que hemos ajustado con los años. Creemos que hay trabajos apropiados para Google y otros para quienes sirven a la base industrial de defensa. Estas son empresas más nuevas que están encontrando su propia tolerancia al riesgo. Nosotros pasamos por eso hace diez años y ellos lo están haciendo ahora.

Google es de las empresas que más invierte en IA. ¿Cuál esperas que sea el mayor impacto positivo?

Una de las áreas donde espero un mayor impacto positivo de la IA es la salud. De hecho, es algo muy personal para mí. Tengo un hijo con COVID persistente desde hace seis años. Vive mayormente en una habitación oscura, tumbado, no puede estar de pie porque se marea.  Pues, a él le da mucha esperanza ver la IA aplicada a la ciencia y la medicina para descifrar enfermedades como esta. Los tratamientos contra el cáncer ya han mejorado, pero creo que es solo el principio. Alzheimer, Parkinson... todas esas enfermedades que aún no entendemos... Pero lo más interesante es que no solo le da esperanza, sino propósito. Le compramos un microscopio con el que puede grabar, tomar imágenes de sus células, pasarlas al portátil usando Gemini y hacer su propio análisis. No porque él solo vaya a resolverlo, sino siente que va ser parte de ello. 

Creo que va a ser algo enorme: a la gente le va a encantar trabajar con IA, porque va a poder ver de verdad el impacto que tiene en la vida de las personas.