En un momento histórico para la ciberseguridad, inevitablemente hay preguntas que surgen: las más importantes son analizadas en este reportaje por tres personas con alto nivel de experiencia

Moisés Barrio Andrés es Letrado del Consejo de Estado y experto internacional en Derecho digital

“La llegada de modelos como Claude Mythos de Anthropic”, responde Moisés Barrio a CyberLideria MGZN, “está configurando un nuevo panorama en la IA de frontera (o de vanguardia), al marcar un punto de inflexión en capacidades, gobernanza, riesgos y dinámicas competitivas. No se trata solo de un modelo más potente, sino de un cambio estructural en cómo se desarrollan, despliegan y regulan las IA avanzadas”.

“Mythos simboliza el paso de la IA como herramienta creativa/codificadora a una infraestructura estratégica de doble uso”, añade, “donde el progreso técnico fuerza decisiones éticas, regulatorias y de seguridad. Es un modelo de IA de uso general, pero destaca especialmente en ciberseguridad, porque identifica y explota vulnerabilidades zero-day, que no han sido descubiertas aún, de forma autónoma (así lo ha logrado con miles detectadas en sistemas operativos y navegadores principales, incluyendo fallos de décadas de antigüedad)”.

Desde este hito, “a medida que los modelos de IA se vuelven más capaces, el nuevo panorama no es solo más inteligente, sino más interdependiente y frágil. La clave estará en equilibrar innovación con responsabilidad colectiva”.

“El problema que plantean”, explica el experto, “es su naturaleza dual, de defensa y ofensiva, y la necesidad de equilibrar innovación con seguridad nacional y riesgos sistémicos. Por el momento, la Unión Europea está analizando si sus capacidades de superhacking requieren supervisión previa al despliegue. Por eso, la ENISA, la Agencia de Ciberseguridad de la Unión, ha solicitado su acceso para evaluar riesgos y mitigar vulnerabilidades”.

“El reto es que no se ha llevado a cabo un debate profundo y sosegado sobre los límites a imponer a la IA”, añade. “Se trata de ir mucho más allá del cumplimiento técnico para resolver las preguntas fundamentales sobre la condición humana, el poder y el futuro compartido. No se trata solo de gestionar riesgos cibernéticos o sistémicos, sino de cómo preservamos la dignidad, la autonomía y el desarrollo humano en una era de inteligencias sintéticas cada vez más capaces”.

En última instancia, “el verdadero límite no está en la tecnología ni en la ley, sino en nuestra capacidad de mantener la IA como servidora de la condición humana —frágil, plural y digna— en lugar de su sustituta o su amo. El Reglamento europeo de IA (el RIA o el AI Act) es un elemento valioso, pero su éxito dependerá de que lo acompañemos con una reflexión viva, no dogmática, sobre quiénes queremos ser en la era de la inteligencia sintética”.

“Como usuarios individuales y como parte de empresas o instituciones, el nuevo panorama regulatorio europeo (el RIA) y los modelos frontier como Mythos exigen una preparación proactiva, jurídica y práctica. No se trata solo de evitar multas (hasta 7% de facturación global), sino de cultivar la alfabetización en IA, una formación a medida de las particularidades de la organización y de las concretas herramientas de IA, así como una resiliencia cibernética y un uso responsable que preserve la autonomía humana”.

“A mi juicio”, concluye, “es crucial adoptar un enfoque humanista y manteniendo nosotros el control: siempre aconsejo usar la IA para amplificar tu creatividad y productividad, no para sustituir tu juicio. Y reflexiona periódicamente sobre cómo afecta a tu autonomía, creatividad y relaciones personales, sociales y profesionales”.

Ana Velayos es CEO y cofundadora de OLE Tecnología

La llegada de modelos cada vez más potentes de IA es ya una constante, explica la directiva, “cada pocas semanas hay un nuevo hito, un nuevo benchmark, una nueva capacidad. Por eso creo que la pregunta más interesante ha dejado de ser ¿qué puede hacer esta IA? para convertirse en ¿qué vamos a hacer con ella?”.

“Ese desplazamiento de panorama es profundo”, añade, “porque sitúa la responsabilidad donde siempre debió estar: en las personas y en las organizaciones. Los modelos más avanzados abren posibilidades enormes en sectores estratégicos, pero quienes realmente marcarán la diferencia no serán los que tengan acceso a la tecnología más potente, sino los que sepan integrarla con criterio, con propósito y con visión de negocio real”.

“También creo que es importante señalar”, puntualiza, “que la concentración de capacidad tecnológica en pocas manos plantea preguntas que van más allá de lo técnico: de acceso, de equidad y de soberanía. Y esas preguntas no las responde ningún modelo. Las respondemos nosotros”.

“Si tuviera que señalar un punto de inflexión real, diría que estamos pasando de hablar de modelos a hablar de agentes”, elabora, “sistemas capaces de actuar de forma autónoma, encadenar decisiones y ejecutar tareas complejas sin intervención humana constante. Eso cambia el juego. El siguiente paso, que ya empieza a vislumbrarse, es la IA como sistema operativo: no una herramienta puntual sino la interfaz central desde la que gestionamos múltiples procesos a la vez”.

Un proceso comparable al salto que vivimos “cuando los ordenadores dejaron de ser máquinas especializadas para convertirse en plataformas de uso universal. Pero, precisamente por eso, el foco ahora debe estar en la gobernanza, en los marcos de decisión y en quién asume la responsabilidad cuando estos sistemas actúan. La autonomía tecnológica sin responsabilidad humana clara es el riesgo más inmediato que veo”.

Para ella, la reflexión ética no debería centrarse solo en los límites de la IA, “sino en los nuestros. La tecnología no tiene intención ni valores por sí misma, somos nosotros quienes decidimos cómo se diseña, a quién se da acceso y para qué se usa. Desde una visión humanista, la pregunta que me parece más relevante no es hasta dónde puede llegar la IA, sino qué tipo de juicio, criterio y responsabilidad queremos preservar como genuinamente humanos”.

Hay tareas, señala la experta, “que la IA ejecuta muy bien, y está bien que así sea, porque nos ayuda mucho, pero la comprensión profunda, la lectura del contexto y la responsabilidad sobre las decisiones deben seguir siendo nuestras. Lo más valioso que podemos hacer es acompañar este proceso con consciencia porque cuando empresas e instituciones integran la IA con liderazgo claro y cultura sólida, lo que ocurre no es sustitución sino amplificación: los equipos liberan tiempo, ganan claridad y toman mejores decisiones. La diferencia entre un escenario y otro no está en la tecnología. La marca el liderazgo y la cultura de la organización. Y eso es algo sobre lo que podemos y debemos actuar”.

“Prepararse no significa dominarlo todo”, sentencia. “Significa desarrollar una relación consciente con la tecnología, saber para qué la usas, qué le delegas y qué decides seguir haciendo tú. Esa distinción, que parece sencilla, es en realidad el ejercicio más estratégico que podemos hacer como individuos en este momento. Como usuarios, el mejor punto de partida es la curiosidad. Explorar, experimentar y, sobre todo y muy importante, mantener el espíritu crítico activo. La IA es una herramienta extraordinaria, pero el criterio para evaluarla y usarla bien sigue siendo humano. Nadie nos va a entrenar mejor para este momento que nosotros mismos, si nos damos permiso para aprender y formarnos saltando las reticencias que podamos tener”.

Para las empresas e instituciones, el reto es en su opinión ya “diferente y más complejo. No se trata sólo de adoptar herramientas, sino de construir una cultura organizacional que sepa integrarlas con propósito y de manera eficiente. Eso requiere liderazgo, formación real -no superficial- y marcos claros de decisión sobre qué automatizamos, qué preservamos y por qué y para qué. Las organizaciones que lo hagan bien no serán necesariamente las más tecnológicas. Serán las más coherentes entre su visión, sus equipos y sus herramientas. En ambos casos, la clave es la misma: no dejar que la velocidad del cambio tecnológico supere nuestra capacidad de reflexionar sobre él. La IA avanza rápido. Nuestra responsabilidad es avanzar con ella, pero sin soltar el timón”.

Lucila Kominsky es Cybersecurity Executive Leader de Thales

La aparición de modelos como Mythos marca ya, en la visión de la directiva de Thales, “un cambio de paradigma en la ciberseguridad al transformar los tiempos de actuación: hemos pasado de ciclos de meses a cuestión de minutos en el descubrimiento y explotación de vulnerabilidades (lo que llamamos el cronograma N-day). Mythos no es solo una herramienta de automatización, sino un modelo consciente del código capaz de entender la intención del programador y detectar casos complejos con un coste mínimo”.

Respecto a la comparativa entre regiones del mundo señala cómo “en Europa leemos este avance bajo la lente de la soberanía. Mientras que en EE. UU. se ha formado una coalición defensiva inicial (Proyecto Glasswing) con empresas que obtienen una ventaja inmediata: los marcos regulatorios europeos aún están en desarrollo, especialmente en temas de defensa. Esto acentúa el debate sobre la dependencia tecnológica y la necesidad de que los estados mantengan el control sobre capacidades críticas de ciberseguridad”.

En su opinión, “existe el riesgo de una brecha de gobernanza cuando estas capacidades de ‘doble uso’ (civil/militar) se concentran en laboratorios privados. Por ello, es importante asegurar la superioridad tecnológica y la protección de infraestructuras críticas, contando con marcos regulatorios sólidos y soluciones que garanticen que los Estados mantengan el control sobre sus propios sistemas de defensa”.

La diferencia respecto a las anteriores IAs estaría “en que se requerían conjuntos de datos de entrenamiento específicos que a menudo no estaban disponibles; sin embargo, modelos como Mythos actúan como expertos nativos en entornos de código, sin necesidad de ese entrenamiento previo especializado”.

“El impacto será real y tangible”, añade. “Se prevé un aumento masivo de vulnerabilidades detectadas (CVEs) que pondrá a prueba la capacidad de respuesta de toda la cadena de suministro tecnológica. Por ello, el foco no debe estar en el temor al ataque, sino en la industrialización de la defensa. Ya no es suficiente con reaccionar; las empresas deben adoptar la actualización automática, la gestión continua de la exposición y la respuesta ante incidentes automatizada como su nueva línea base de seguridad”.

El desafío ético central sería “la brecha de gobernanza que surge cuando una capacidad de doble uso tan potente se concentra en laboratorios de IA privados. Esto plantea preguntas fundamentales sobre la supervisión democrática y cómo los estados pueden retener soberanía y seguridad nacional frente a modelos que no controlan directamente”.

Desde una perspectiva humanista, el aspecto clave sería “establecer restricciones de uso basadas en la ética. Debemos reflexionar sobre la tensión entre la ambición de supervisar estas tecnologías y el miedo a frenar la innovación, buscando modelos de acceso diferenciados que garanticen que la IA se utilice para proteger la infraestructura digital y no para comprometerla. La tecnología debe estar al servicio de las personas, de la resiliencia social, asegurando que el despliegue de estas herramientas cuente con límites basados en valores y una supervisión humana que impida que la velocidad de la máquina supere nuestra capacidad de tomar decisiones éticas responsables. En Thales se habla de enfoque TRUE en inglés: transparent, understandable and ethical. Bajo esta misma visión de colaboración y gobernanza, Thales es miembro de la Cloud Security Alliance (CSA), contribuyendo a iniciativas que reúnen a una amplia gama de expertos para analizar el panorama de amenazas y ciberseguridad en rápida evolución, y cuanta con un sólido conocimiento de las capacidades que ofrece este tipo de software”.

“Para el usuario”, explica, “la clave es entender que la IA hace que amenazas como el phishing o la ingeniería social sean ahora mucho más rápidas, creíbles y difíciles de detectar a simple vista. La formación y la desconfianza sistemática ante comunicaciones no solicitadas son más vitales que nunca”.

Para las empresas e instituciones, “la preparación debe ser proactiva y no reactiva:

– Actualizar la mentalidad de riesgo: Reevaluar los procesos considerando que las amenazas ahora se mueven a una escala y velocidad sin precedentes.

– Implementar SOC aumentados por IA: Utilizar la Inteligencia de Amenazas para priorizar lo que realmente importa en tiempo real.

– Automatizar para no colapsar: Adoptar soluciones de gestión de parches automatizada para evitar vivir en un «estado de crisis permanente» ante el aluvión de nuevas alertas.

– Protección del legado: Asegurar los sistemas críticos antiguos bajo marcos que garanticen la seguridad y la soberanía de los datos”.

En definitiva, la preparación consistiría para ella “en transformar la defensa en un proceso continuo y automatizado que utilice la propia IA para neutralizar los riesgos que esta genera. La IA es una herramienta poderosa tanto para atacantes como para defensores. Por ello, la prioridad de Thales es integrarla de manera proactiva en sus procesos para mantenerse a la vanguardia y garantizar que se utilice para reforzar la seguridad, y no para comprometerla”.

Rubén Fernández-Costa O’Dogherty

Periodista, Asesor y Miembro del Comité Editorial de CyberLideria MGZN