Más allá de los ataques personales y las acusaciones de sus responsables, el episodio deja preguntas incómodas sobre capacidad técnica, procedimientos, exposición de funcionarios y la forma en que Uruguay intenta responder a amenazas digitales que operan sobre infraestructuras globales.

La publicación difundida por Samaritan contra AGESIC está escrita deliberadamente para humillar. Mezcla críticas técnicas, insultos, información personal de un funcionario, datos obtenidos de filtraciones y cuestionamientos al Estado uruguayo.

Pero quedarse en esa confrontación sería perder de vista lo verdaderamente importante.

Porque detrás del tono provocador aparece un problema institucional bastante más interesante: qué ocurre cuando un Estado intenta actuar contra una infraestructura digital distribuida, alojada fuera de su jurisdicción y diseñada precisamente para resistir este tipo de intervenciones.

Y, sobre todo, qué ocurre cuando durante ese proceso se cometen errores que el adversario puede utilizar en su propio beneficio.

Un correo que terminó del otro lado

Según la documentación publicada por Samaritan, el 6 de agosto CERTuy envió una comunicación relacionada con el dominio samaritan-api.top, solicitando diferentes acciones sobre la infraestructura y la preservación de información asociada al servicio.

Samaritan sostiene que el mensaje terminó llegando también a una dirección de correo utilizada como contacto proxy en el registro WHOIS del dominio.

El punto técnico es importante.

Los servicios de privacidad de WHOIS permiten ocultar los datos reales del titular de un dominio sustituyéndolos por información intermediaria. Una dirección que aparece en ese registro no necesariamente pertenece al registrador, al proveedor de hosting ni a la organización capaz de ejecutar las acciones solicitadas.

De acuerdo con la versión publicada por Samaritan, esa confusión permitió que los propios operadores del servicio recibieran una copia de las gestiones realizadas contra ellos.

No contamos con una explicación pública de CERTuy que permita reconstruir todo el procedimiento interno, por lo que sería apresurado determinar exactamente cómo se produjo el error o qué verificaciones se realizaron previamente.

Pero el episodio permite plantear una cuestión más amplia.

En operaciones contra infraestructura hostil, identificar correctamente quién controla cada componente no es un detalle administrativo. Es parte de la operación.

Dominio, registrador, proveedor de privacidad, DNS, CDN, hosting, servidores backend y operadores pueden estar distribuidos entre múltiples empresas y jurisdicciones.

Confundir esos niveles puede hacer que una acción sea ineficaz.

Peor todavía: puede avisarle al adversario.

El problema no es equivocarse: es qué revela el error

CERTuy no es simplemente una oficina administrativa.

Según su propia definición institucional, es el Centro Nacional de Respuesta a Incidentes de Seguridad Informática y tiene entre sus responsabilidades centralizar y coordinar la respuesta a incidentes, desarrollar tareas preventivas y proteger activos críticos de información del Estado.

También presta servicios de análisis forense, respuesta a incidentes, monitoreo 24x7, ethical hacking y gestión de vulnerabilidades.

Por eso un episodio de estas características merece un estándar de análisis diferente.

Una organización de ciberseguridad puede cometer errores. También pueden hacerlo los mejores equipos de respuesta a incidentes del mundo.

La pregunta relevante es si existen procedimientos suficientemente robustos para impedir que un error individual comprometa una operación institucional.

Antes de contactar infraestructura vinculada con una amenaza deberían existir, entre otras cosas, mecanismos de validación técnica del activo, identificación del proveedor correspondiente, revisión de jurisdicción, evaluación del canal de contacto y determinación de qué información resulta conveniente revelar.

En otras palabras: una suerte de OPSEC institucional.

Si una comunicación destinada a interrumpir una infraestructura termina proporcionando al objetivo información sobre qué sabe el Estado, qué infraestructura identificó, qué acciones pretende realizar y quién está participando de ellas, el problema deja de ser simplemente burocrático.

Se convierte en inteligencia para el adversario.

Cuando el objetivo está fuera de Uruguay

El episodio también muestra una dificultad estructural que enfrentan prácticamente todos los Estados pequeños: Internet es global, pero buena parte de las capacidades legales siguen siendo territoriales.

Un dominio puede registrarse en una empresa estadounidense, utilizar servicios de privacidad, resolver DNS mediante otra compañía, protegerse detrás de una CDN y terminar conectado con servidores alojados en otra jurisdicción.

Mientras tanto, sus operadores pueden encontrarse físicamente en un cuarto país.

Samaritan cuestiona en su publicación la utilización de legislación uruguaya en las comunicaciones enviadas a proveedores extranjeros y sostiene que CERTuy carecía de autoridad para realizar determinadas exigencias.

La publicación presenta esa cuestión desde una posición interesada y no constituye una interpretación jurídica independiente.

Pero el problema subyacente es real.

¿Qué capacidad efectiva tiene Uruguay para actuar rápidamente contra infraestructura digital alojada fuera del país?

La respuesta moderna a incidentes necesita algo más que capacidades técnicas. Requiere relaciones internacionales, cooperación entre CERT, mecanismos judiciales, contacto con proveedores globales y procedimientos capaces de distinguir rápidamente entre una solicitud voluntaria de colaboración, un reporte de abuso y una exigencia jurídicamente vinculante.

La velocidad importa.

Una infraestructura maliciosa puede migrar en horas.

El Estado también necesita proteger a quienes lo defienden

Hay otro aspecto del episodio que debería generar preocupación.

Después de recibir la comunicación, Samaritan identificó al funcionario que aparecía en ella y publicó una investigación sobre su identidad y su huella digital.

La publicación incluye correlaciones provenientes de filtraciones de datos, cuentas históricas, direcciones de correo, nombres de usuario y otra información personal.

No es necesario reproducir esos datos para entender el mensaje.

El propio funcionario se convirtió en objetivo.

Eso introduce una pregunta que trasciende completamente a esa persona: ¿qué nivel de protección reciben los funcionarios que intervienen directamente contra actores potencialmente hostiles?

Los equipos de respuesta a incidentes, investigadores, policías, fiscales y analistas que participan en investigaciones digitales pueden enfrentarse a doxing, phishing dirigido, amenazas, exposición de familiares, credential stuffing o campañas de intimidación.

La seguridad operacional de estas personas debería formar parte del diseño institucional.

No alcanza con proteger servidores.

También hay que proteger a quienes los defienden.

El punto más polémico: los datos del Estado

Samaritan intenta además construir una equivalencia entre su actividad y los mecanismos mediante los cuales el Estado uruguayo permite consultar determinada información pública.

Aquí es necesario separar los hechos de la narrativa.

Uruguay posee una Plataforma de Interoperabilidad administrada por AGESIC que permite integrar servicios ofrecidos por distintos organismos públicos. En 2025, el Decreto 71/025 reglamentó la posibilidad de habilitar a entidades privadas a consumir determinados servicios que organismos públicos ponen a disposición mediante esa plataforma.

Existen, por ejemplo, servicios de la Dirección Nacional de Identificación Civil capaces de consultar datos filiatorios asociados a una cédula e incluso verificar la imagen de un documento para determinados usos.

Eso merece discusión pública sobre gobernanza, controles, trazabilidad, finalidad y acceso a los datos.

Pero un mecanismo regulado de interoperabilidad no es automáticamente equivalente a comercializar bases obtenidas mediante filtraciones o accesos no autorizados.

La comparación planteada por Samaritan es útil para abrir el debate, pero no demuestra por sí misma la equivalencia que pretende establecer.

La pregunta institucional válida es otra.

Si el Estado concentra enormes cantidades de información sobre sus ciudadanos y además construye mecanismos para que diferentes organizaciones puedan consumirla, ¿qué controles existen sobre cada consulta? ¿Quién puede acceder? ¿Para qué finalidades? ¿Cómo se auditan los accesos? ¿Durante cuánto tiempo quedan registrados? ¿Qué puede conocer posteriormente el ciudadano sobre el uso de sus datos?

La soberanía digital también consiste en poder responder esas preguntas.

La asimetría juega a favor del atacante

El episodio muestra finalmente una característica incómoda de la ciberseguridad contemporánea.

El Estado debe respetar procedimientos administrativos, competencias legales, jurisdicciones y mecanismos de cooperación internacional.

Quien opera una plataforma clandestina no tiene esas restricciones.

Puede cambiar un dominio, mover servidores, utilizar proveedores de diferentes países, ocultar identidades y convertir incluso los intentos estatales por perseguirlo en contenido propagandístico.

Es una enorme asimetría.

Y precisamente por eso los organismos encargados de responder necesitan procedimientos extraordinariamente sólidos.

No se trata de pedir infalibilidad a CERTuy ni de concluir, a partir de una publicación hostil, que todo el sistema uruguayo de ciberseguridad funciona mal.

Sería una conclusión demasiado fácil.

El caso es más interesante precisamente porque permite mirar más allá de las personas.

Uruguay ha construido durante años una institucionalidad relativamente avanzada alrededor del gobierno digital, la interoperabilidad y la ciberseguridad. CERTuy ocupa una posición central dentro de ese modelo.

Esa centralidad aumenta también las exigencias.

Porque cuando el organismo encargado de coordinar la respuesta nacional interactúa con actores capaces de explotar técnicamente (y comunicacionalmente) cualquier error, la precisión técnica, jurídica y operacional deja de ser solamente una cuestión de eficiencia administrativa.

Se convierte en una cuestión de seguridad nacional.

Y quizás esa sea la principal lección del episodio Samaritan: la soberanía digital no consiste solamente en tener leyes, organismos, plataformas nacionales o estrategias de ciberseguridad.

También consiste en desarrollar la capacidad real de actuar eficazmente cuando el adversario, la infraestructura y los datos ya no respetan ninguna frontera.

El caso expone un problema que va mucho más allá de una aplicación: estamos entregando algunas de las conversaciones más sensibles de empresas y gobiernos a una nueva capa de intermediarios tecnológicos.

Los asistentes de reuniones basados en inteligencia artificial se están convirtiendo rápidamente en un participante habitual de las videollamadas.

Entran a una reunión de Google Meet, Zoom o Microsoft Teams, graban la conversación, generan una transcripción y luego utilizan inteligencia artificial para resumirla, identificar tareas o recuperar información.

La comodidad es evidente. El riesgo también debería empezar a serlo.

El investigador de seguridad conocido como BobDaHacker publicó el 4 de agosto una investigación sobre tl;dv, uno de estos asistentes, en la que asegura haber encontrado una falla que permitía consultar información correspondiente a 181.874 reuniones de 84.312 usuarios pertenecientes a más de 35.000 dominios de correo electrónico.

Entre ellos había empresas, universidades y organismos gubernamentales de 23 países.

Pero el problema más grave no era simplemente saber que esas reuniones existían.

En determinadas circunstancias, la información expuesta permitía obtener el identificador de una videollamada que estaba ocurriendo en ese preciso momento. Y ese identificador podía convertirse en la puerta de entrada a la reunión.

Una falla simple con consecuencias enormes

El problema técnico resulta especialmente interesante porque no requería romper cifrado, comprometer contraseñas ni explotar una sofisticada vulnerabilidad de ejecución remota.

Según la investigación, tl;dv utilizaba Firebase y su base de datos Firestore para almacenar información relacionada con las reuniones.

Cuando un usuario se autenticaba normalmente en la plataforma obtenía un token que le permitía interactuar con esa infraestructura.

El problema estaba en algo mucho más básico: la colección de reuniones no aislaba correctamente los datos de cada cliente.

En una aplicación SaaS multiusuario, un usuario de la empresa A debería poder consultar únicamente los objetos que le pertenecen a A. Es lo que habitualmente se conoce como tenant isolation.

En este caso, según el investigador, un usuario autenticado podía consultar registros correspondientes a reuniones de otros clientes.

No hacía falta ser administrador. Ni comprometer una cuenta privilegiada.

Alcanzaba con tener una cuenta normal en el servicio.

Los registros accesibles incluían información como el correo electrónico del creador, proveedor utilizado para la videollamada, identificador de conferencia, timestamps y estado de la reunión.

Ese último dato era particularmente problemático.

Si el estado indicaba que la reunión estaba siendo grabada, significaba que la llamada estaba ocurriendo en ese momento. El investigador asegura que podía observar alrededor de 1.000 reuniones activas simultáneamente y obtener sus identificadores.

Para demostrar el impacto, utilizó uno de ellos para ingresar a una reunión del Ministerio de Educación de Malasia en la que participaban más de 150 personas. También accedió a una llamada de estudiantes de una universidad estadounidense que estaban desarrollando una aplicación y compartiendo información sobre el proyecto.

No había recibido ninguna invitación.

La información necesaria para encontrar las reuniones provenía de la propia infraestructura del asistente que estaba allí para grabarlas.

181.874 reuniones no significan 181.874 grabaciones públicas

Hay una distinción importante para dimensionar correctamente el incidente.

La vulnerabilidad no significaba que cualquier usuario pudiera descargar automáticamente las grabaciones, transcripciones y resúmenes privados de las 181.874 reuniones.

El investigador encontró que otras colecciones relacionadas con usuarios, transcripciones, grabaciones, videos, notas y organizaciones sí aplicaban controles que rechazaban esos accesos.

Lo que estaba masivamente expuesto era la información asociada a las reuniones.

A partir de allí apareció un segundo problema.

El investigador tomó una muestra de 27.334 identificadores de reuniones y comprobó cuáles tenían contenido configurado como públicamente accesible. Encontró más de 1.000.

En esos casos podían aparecer transcripciones, notas u otro contenido porque los propietarios habían habilitado una modalidad de compartir mediante enlace.

Esto introduce otra discusión de seguridad: un recurso configurado como “cualquiera con el enlace” no es realmente privado. El enlace funciona, en la práctica, como una credencial.

El problema se vuelve considerablemente mayor cuando otra vulnerabilidad permite enumerar esos identificadores.

Qué podía hacer un atacante

El impacto potencial no se limita a una filtración tradicional de datos.

Conocer qué organizaciones mantienen reuniones, quién las crea, cuándo ocurren y qué plataforma utilizan ya constituye información útil para inteligencia y reconocimiento.

Si además pueden identificarse llamadas activas, aparece la posibilidad de intentar ingresar en ellas.

En organizaciones empresariales podría significar acceso a negociaciones comerciales, discusiones sobre productos todavía no publicados, incidentes de seguridad, resultados financieros, entrevistas laborales, problemas internos o información de clientes.

En organismos públicos, las consecuencias pueden ser todavía más delicadas.

Una reunión gubernamental puede revelar procesos administrativos, proyectos de infraestructura, decisiones políticas, relaciones internacionales o discusiones vinculadas con seguridad.

Incluso cuando un atacante no logra ingresar, los metadatos pueden servir para construir perfiles de organizaciones y personas, identificar relaciones entre ellas o preparar campañas de ingeniería social mucho más convincentes.

Una aparentemente pequeña falla de autorización termina convirtiéndose así en una herramienta potencial de inteligencia.

El problema no es solamente tl;dv

Sería sencillo interpretar este episodio como una vulnerabilidad puntual de una empresa y pasar a la siguiente noticia.

Pero hacerlo perdería probablemente la parte más importante del caso.

tl;dv pertenece a una categoría cada vez más grande de asistentes de reuniones basados en inteligencia artificial. Existen numerosas plataformas que ofrecen funciones similares y utilizan diferentes arquitecturas, integraciones y mecanismos de almacenamiento.

Que esta vulnerabilidad haya sido encontrada en tl;dv no significa que las demás aplicaciones tengan el mismo problema.

Pero tampoco existe ninguna razón técnica para asumir automáticamente que no puedan existir vulnerabilidades equivalentes.

Un asistente de reuniones ocupa una posición especialmente sensible dentro de una organización: participa de conversaciones, procesa audio, genera transcripciones, almacena información y, en muchos casos, se integra con calendarios, plataformas de videoconferencia, CRM y otras herramientas corporativas.

Es decir, centraliza exactamente la clase de información que un atacante, un competidor o un servicio de inteligencia querría obtener.

Y cuanto más útiles se vuelven estas herramientas, mayor es la cantidad de información que concentramos en ellas.

Cumplimiento no significa ausencia de vulnerabilidades

El caso también deja otra lección incómoda.

tl;dv presenta públicamente diferentes controles y certificaciones de seguridad, incluyendo SOC 2 Type II, cumplimiento con GDPR, cifrado y prácticas de desarrollo seguro.

Nada de eso impidió que apareciera una vulnerabilidad conceptualmente sencilla de autorización.

No existe necesariamente una contradicción.

Una certificación evalúa determinados controles y procesos dentro de un alcance concreto. No garantiza que una aplicación esté libre de vulnerabilidades.

Pero desde el punto de vista de quien contrata tecnología, la diferencia es fundamental.

Ver una colección de certificaciones en la página de seguridad de un proveedor puede generar una falsa sensación de tranquilidad si se reemplaza el análisis técnico por una lista de sellos.

Una organización puede estar certificada y seguir teniendo errores de autorización.

Puede utilizar cifrado AES-256 y exponer datos porque una regla de acceso está mal configurada.

Puede cumplir formalmente un estándar y aun así cometer un error básico de desarrollo seguro.

La seguridad real aparece en los detalles.

Cuando la IA entra a la reunión, también entra otro proveedor

La expansión de estos asistentes plantea además una pregunta que muchas organizaciones todavía no parecen haberse hecho: ¿quién está autorizado a escuchar nuestras reuniones?

Durante años, una videollamada empresarial podía depender principalmente de Microsoft, Google o Zoom.

Ahora puede existir otra empresa conectada a esa conversación, almacenando una copia, generando una transcripción y procesándola mediante diferentes servicios de inteligencia artificial.

Cada nueva integración amplía la cadena de confianza.

Y cada eslabón adicional incorpora infraestructura, empleados, configuraciones, APIs, bases de datos y potenciales vulnerabilidades.

La discusión sobre soberanía digital suele concentrarse en dónde se almacenan los datos o qué país controla determinado proveedor. Pero existe una dimensión más cotidiana: decidir cuántos intermediarios tecnológicos necesitamos para mantener una conversación.

Una reunión interna puede contener más inteligencia sobre una organización que cientos de documentos públicos.

Por eso los asistentes de IA no deberían tratarse simplemente como una herramienta de productividad que cada empleado instala porque ahorra unos minutos escribiendo notas.

Son sistemas que procesan información corporativa sensible y deberían evaluarse como tales.

El incidente de tl;dv es un caso concreto.

La pregunta relevante para empresas, universidades y gobiernos es bastante más amplia: ¿sabemos realmente cuántas aplicaciones están escuchando nuestras reuniones, qué información conservan y qué ocurriría si una sola de ellas deja una puerta abierta?

Su objetivo: elegir candidatos de ambos partidos que bloqueen cualquier regulación estatal de la inteligencia artificial y aseguren que el control de la IA quede en manos del gobierno federal... y de quienes financian a los legisladores.

Era noviembre de 2025 y Alex Bores, un asambleísta estatal de Nueva York, se dirigía a cenar para celebrar su aniversario de bodas cuando su teléfono comenzó a vibrar. No era una felicitación. Era la notificación de que un grupo de multimillonarios de Silicon Valley acababa de decidir que su carrera política debía ser destruida.

Bores había cometido el pecado imperdonable para la industria de la IA: co-patrocinar la Responsible AI Safety and Education (RAISE) Act, una ley que obligaba a las grandes empresas de IA a publicar sus protocolos de seguridad y a divulgar incidentes graves. Para Leading the Future, el super PAC que la industria tecnológica había lanzado solo tres meses antes con más de 100 millones de dólares, Bores era “el mayor obstáculo para su búsqueda de control sin restricciones sobre el trabajador estadounidense, nuestros hijos, las facturas de servicios públicos y nuestro clima”, como él mismo lo expresó.

Lo que ocurrió después en el distrito 12 de Manhattan —y en decenas de otros distritos electorales de todo el país— es el mapa de una batalla silenciosa que determinará quién controla el futuro de la inteligencia artificial en Estados Unidos. Y, por extensión, quién controla las reglas del juego digital para el resto del mundo.

El nacimiento de un gigante político

Leading the Future (LTF) se presentó ante la Comisión Federal Electoral el 15 de agosto de 2025. Su declaración de intenciones era ambiciosa: convertirse en “el centro de gravedad político y político de la industria de la IA” y “apoyar a los candidatos alineados con la agenda pro-IA y oponerse a los que no lo estén”.

En solo cuatro meses, el super PAC recaudó 50,3 millones de dólares y entró en 2026 con 70 millones en efectivo disponible. Para abril de 2026, la cifra total acumulada en el ciclo electoral había alcanzado los 140 millones de dólares. A finales de junio, su PAC principal había recaudado casi 76 millones.

Las cifras son abrumadoras, pero lo que realmente importa es quién está detrás de ellas.

Los nombres del poder

Los donantes de Leading the Future son una lista de las personas y entidades que están dando forma a la IA tal como la conocemos:

• Andreessen Horowitz: la firma de capital riesgo más influyente de Silicon Valley aportó 50 millones de dólares. Los cofundadores Marc Andreessen y Ben Horowitz añadieron 25 millones más de su bolsillo personal (12,5 millones cada uno).

• Greg Brockman: cofundador y presidente de OpenAI, y su esposa Anna, comprometieron 25 millones de dólares (12,5 millones cada uno, según los registros de la FEC).

• Joe Lonsdale: cofundador de Palantir, aportó 250.000 dólares al PAC afiliado republicano American Mission.

• Ron Conway: fundador de SV Angel, añadió 500.000 dólares al PAC afiliado demócrata Think Big.

• Perplexity: la startup de búsqueda con IA contribuyó con 100.000 dólares.

En total, el ecosistema de Leading the Future incluye una red de super PACs y organizaciones sin ánimo de lucro: Think Big para carreras demócratas, American Mission para republicanas, y Build American AI como brazo de advocacy. Entre Think Big y American Mission han gastado ya más de 29 millones de dólares.

El objetivo: acabar con el “mosaico” de leyes estatales

¿Qué compran 140 millones de dólares? No solo escaños en el Congreso. Compran la capacidad de definir dónde y cómo se regula la inteligencia artificial.

La industria tecnológica teme lo que llaman un “mosaico” de regulaciones estatales: un escenario en el que California, Nueva York, Colorado y otros estados impongan requisitos diferentes y a menudo incompatibles para las empresas de IA. OpenAI, Google y sus aliados han dejado claro que prefieren una regulación federal laxa a un sistema estatal fragmentado.

El problema, desde la perspectiva de la soberanía digital, es que el gobierno federal está siendo capturado por quienes financian las campañas. Leading the Future no busca una regulación equilibrada; busca candidatos que se alineen con su agenda, de cualquier partido.

La estrategia es explícitamente bipartidista. Leading the Future ha respaldado a cinco demócratas de la Cámara de Representantes para la reelección —Josh Gottheimer (N.J.), Sam Liccardo (Calif.), Yvette Clarke (N.Y.), Suhas Subramanyam (Va.) y Jimmy Gomez (Calif.)— mientras financia también a candidatos republicanos como Chris Gober en Texas.

La guerra en el distrito 12: el costo de desafiar a la industria

El caso de Alex Bores ilustra perfectamente cómo opera Leading the Future. Bores, que trabajó en Palantir antes de convertirse en asambleísta, cometió el error de co-patrocinar la RAISE Act en Nueva York.

La respuesta de LTF fue fulminante: gastaron más de 7 millones de dólares en anuncios para destruir su candidatura. En total, la carrera por el distrito 12 de Nueva York se inundó con 27 millones de dólares de ambos bandos. Fue una de las contiendas más caras de todo el ciclo electoral, librada en torno a una única pregunta: ¿debe regularse la IA?

Bores perdió la primaria demócrata. El mensaje para cualquier otro legislador que considere regular la IA fue inequívoco: desafíenos y lo enterraremos bajo millones de dólares en ataques.

La contraofensiva: trabajadores contra multimillonarios

Pero la historia no termina aquí. La arrogancia del poder ha generado una reacción inesperada: trabajadores de las propias empresas tecnológicas están financiando la oposición.

Más de una docena de empleados de OpenAI han donado más de 215.000 dólares a Guardrails Alliance, un super PAC creado específicamente para contrarrestar a Leading the Future. El mayor donante, el investigador de seguridad Juan Felipe Cerón Uribe, aportó 200.000 dólares de su bolsillo porque temía que su trabajo para reducir los daños sociales de la IA “no sirviera de nada si nunca se convertía en barreras de protección ejecutables”.

“Tenemos una empresa cuyo presidente financia un lado de la lucha por la regulación de la IA mientras sus colegas financian el otro”, resumió un informe sobre la división interna en OpenAI.

Guardrails Alliance, que se lanzó con 5 millones de dólares y aspira a recaudar 15 millones, no pretende igualar a LTF dólar por dólar. Su estrategia, según su cofundadora Shaunna Thomas, es exponer lo que los PAC de IA están financiando y confiar en que “el público reaccione por sí solo”.

Otros actores se han sumado a la contienda. Public First Action, un super PAC respaldado con 20 millones de dólares por Anthropic, está haciendo campaña por salvaguardas de IA. El ex socio de Andreessen Horowitz, John O’Farrell, publicó un artículo de opinión en The New York Times acusando a su antigua firma y a Leading the Future de intentar “intimidar a los políticos” mediante una “infiltración política” sin precedentes.

Incluso los propios empleados de OpenAI están divididos. Mientras Brockman financia LTF, siete empleados actuales y un exempleado han donado a Guardrails Alliance.

La dimensión de la soberanía digital

La captura del proceso legislativo por parte de la industria tecnológica no es un problema menor de “lobby” empresarial. Es una amenaza directa a la soberanía digital de Estados Unidos y, por extensión, de cualquier nación que dependa de plataformas y modelos de IA desarrollados por estas empresas.

Cuando un puñado de multimillonarios puede gastar 140 millones de dólares para determinar qué legisladores llegan al Congreso, el proceso democrático deja de reflejar la voluntad popular y pasa a reflejar la voluntad de quienes tienen los bolsillos más profundos. La regulación de la IA —una de las cuestiones más importantes de nuestra era— queda en manos de aquellos que tienen un interés financiero directo en que esa regulación sea lo más laxa posible.

La soberanía digital requiere que las decisiones sobre cómo se desarrolla y despliega la IA sean tomadas por representantes elegidos democráticamente, no por ejecutivos de Silicon Valley que compran escaños en el Congreso. Pero el sistema actual, con sus super PACs sin límites de gasto, sus organizaciones sin ánimo de lucro que no revelan donantes, y su capacidad para inundar distritos electorales con dinero de fuera, hace que esa soberanía sea cada vez más ilusoria.

El legado de Fairshake y el modelo a seguir

Leading the Future no inventó esta estrategia. Sigue el modelo de Fairshake, el super PAC de la industria cripto que gastó 290 millones de dólares en el ciclo electoral de 2024 para elegir candidatos favorables a las criptomonedas. Fairshake logró su objetivo: el Congreso actual es significativamente más pro-cripto que el anterior.

La industria de la IA ha visto este éxito y ha decidido replicarlo. Como advirtió el ex socio de Andreessen Horowitz John O’Farrell, el manual que está utilizando Leading the Future “proviene de la industria de las criptomonedas, que logró aplastar la regulación eligiendo ‘políticos amigos de la industria’”.

La pregunta que queda flotando es inquietante: ¿qué industria será la próxima? ¿La biotecnología? ¿La computación cuántica? ¿La neurotecnología? El modelo está establecido: acumula cientos de millones de dólares, elige candidatos de ambos partidos que se alineen con tus intereses, y bloquea cualquier regulación que pueda frenar tu negocio.

Próximo artículo en la serie:
“El ojo que todo lo ve: el análisis de datos en tiempo real y la búsqueda de candidatos ‘títere’ para romper mayorías”

Nota del editor: Este artículo forma parte de una serie de cinco entregas sobre el impacto de la inteligencia artificial en la soberanía digital y los procesos democráticos. Las fuentes utilizadas incluyen registros de la Comisión Federal Electoral (FEC), informes de Business Insider, CNBC, Financial Times, NBC News, The Hill, y declaraciones públicas de los implicados.

Credenciales corporativas enriquecidas con inteligencia, malware por suscripción, exploits empaquetados y páginas ClickFix listas para usar reducen la barrera de entrada: para atacar una empresa ya no hace falta desarrollar demasiado. En muchos casos, alcanza con comprar.

Durante años, una de las imágenes más persistentes del ciberdelito fue la del atacante técnicamente sofisticado que desarrollaba sus propias herramientas, encontraba vulnerabilidades y ejecutaba personalmente cada etapa de una intrusión.

Esa imagen explica cada vez menos lo que ocurre detrás de muchos ataques.

El ecosistema clandestino está evolucionando hacia algo mucho más parecido a una cadena de suministro criminal, donde diferentes actores se especializan en obtener credenciales, vender accesos, desarrollar malware, conseguir víctimas, explotar vulnerabilidades o monetizar finalmente la intrusión.

Un nuevo estudio de BI.ZONE permite observar esa transformación desde adentro.

Sus equipos de Threat Intelligence y Digital Risk Protection analizaron más de 35.000 anuncios procedentes de más de 500 foros, mercados y chats cerrados para elaborar Threat Zone 2026: The Other Side, una radiografía de la economía clandestina vinculada al ciberdelito.

Los resultados muestran algo más importante que una colección de nuevas amenazas.

Muestran la industrialización del ataque.

El mercado clandestino no desaparece: se fragmenta

Las operaciones policiales, el cierre de grandes foros y el bloqueo de canales de Telegram pueden destruir comunidades concretas, pero no necesariamente el mercado que las sostiene.

Según BI.ZONE, vendedores y compradores están migrando hacia plataformas más pequeñas, chats cerrados, bots y operaciones privadas.

Es una transformación relevante.

Un mercado concentrado en unos pocos grandes sitios genera puntos claros de intervención. Una infraestructura distribuida entre cientos de comunidades pequeñas resulta considerablemente más difícil de observar y desarticular.

La resiliencia del ecosistema no depende entonces de que sobreviva determinado foro. Depende de que exista demanda, oferta y mecanismos alternativos capaces de conectarlas.

Y eso parece seguir funcionando.

Las credenciales robadas ya son una materia prima procesada

Uno de los mejores ejemplos de esa profesionalización aparece en los infostealers, malware diseñado para robar credenciales, cookies, sesiones, información del navegador y otros datos almacenados en los dispositivos comprometidos.

Según el estudio, es posible encontrar stealers desde aproximadamente 75 dólares.

Pero lo interesante ocurre después del robo.

Los registros obtenidos ya no necesariamente se venden como enormes colecciones desordenadas de archivos. Los operadores los clasifican por país, dominio, servicio o dirección corporativa.

Es decir: el dato robado comienza a ser tratado como un producto.

BI.ZONE detectó además un incremento del 13% en el precio de los logs recientes, mientras que una suscripción mensual a determinadas nubes de registros puede rondar los 250 a 300 dólares.

El precio depende de la frescura de la información, pero también de su clasificación, verificación y exclusividad.

Para un atacante, esto reduce trabajo.

Ya no necesariamente necesita infectar miles de computadoras esperando encontrar algo interesante. Puede intentar comprar directamente información asociada con el dominio de la organización que pretende atacar.

El acceso a una empresa también se compra

Algo similar está ocurriendo con uno de los productos más valiosos de la economía clandestina: los accesos corporativos.

El estudio registró un aumento del 20% en la proporción de accesos empresariales ofrecidos durante 2026, acompañado por un crecimiento del 15% en su precio medio.

Pero nuevamente, la transformación cualitativa resulta más interesante que el porcentaje.

El producto ya no tiene por qué ser simplemente:

usuario + contraseña

Los vendedores pueden incorporar información sobre la organización comprometida, su infraestructura y los sistemas a los que permiten ingresar esas credenciales.

Lo que se comercializa es cada vez más parecido a un paquete de acceso inicial preparado para otro atacante.

Esta especialización explica parcialmente por qué el ransomware no puede entenderse observando únicamente los anuncios que mencionan ransomware.

Solo el 1,3% de las publicaciones analizadas hace referencia directa a programas de extorsión, pero una enorme parte de la infraestructura necesaria para ejecutarlos aparece distribuida entre otros mercados.

Accesos corporativos por un lado. Datos robados por otro. Herramientas de intrusión en otro segmento.

En una de las plataformas estudiadas, alrededor del 90% de las filtraciones publicadas fueron atribuidas por sus propios administradores a ataques de ransomware.

El ransomware visible es, muchas veces, apenas el último eslabón.

Malware por alquiler

La misma lógica aparece en el mercado de software malicioso.

Los RAT —Remote Access Trojans— representan cerca del 40% de las ofertas de malware clasificadas por los investigadores.

Alrededor de ellos se desarrolló una economía donde no necesariamente coinciden quien programa la herramienta, quien consigue las víctimas y quien finalmente explota los sistemas comprometidos.

Además, el malware comienza a consolidarse.

BI.ZONE observó una reducción de hasta el 38% en determinados anuncios de venta de software malicioso, pero advierte que esto no necesariamente representa una contracción del mercado.

Las herramientas individuales están siendo reemplazadas por productos multifunción.

Una configuración habitual puede combinar RAT, HVNC e infostealer, incorporando además keyloggers, clippers o loaders.

En lugar de comprar cinco herramientas diferentes, el atacante adquiere una plataforma.

Es exactamente la clase de evolución que ocurre en cualquier industria cuando un mercado madura.

ClickFix por 150 dólares

Uno de los fenómenos más interesantes del informe es la comercialización de ClickFix como servicio.

ClickFix explota una debilidad diferente: convencer al usuario de ejecutar por sí mismo las instrucciones necesarias para comprometer su computadora.

Las campañas pueden simular verificaciones de seguridad, documentos online o servicios empresariales conocidos y guiar a la víctima para ejecutar un comando o script malicioso.

Según BI.ZONE, una página ClickFix preparada puede ofrecerse por alrededor de 150 dólares.

El vendedor proporciona la infraestructura visual y la mecánica de engaño.

El comprador elige qué malware quiere entregar.

Es phishing convertido en plataforma.

Y nuevamente aparece el mismo patrón: abstraer la complejidad técnica para que otro operador pueda consumir el ataque como producto.

Los exploits también vienen empaquetados

La explotación de vulnerabilidades está ganando peso como mecanismo de entrada.

El estudio señala un crecimiento del 30% en la proporción de ataques donde se explotan vulnerabilidades, mientras que este mecanismo representó aproximadamente el 9% de los ataques destinados a obtener acceso inicial en 2026, frente al 7% del año anterior.

Pero también aquí existe una transformación comercial.

Los investigadores detectaron ofertas que incluyen no solamente el exploit, sino listas de objetivos, herramientas de comprobación e instrucciones de utilización.

El conocimiento técnico se encapsula.

Quien descubre o desarrolla la capacidad puede venderla a operadores que no poseen esas habilidades.

La consecuencia es importante para la defensa: una vulnerabilidad explotable deja de ser únicamente una herramienta disponible para atacantes sofisticados. Si aparece un paquete suficientemente sencillo y rentable, puede convertirse rápidamente en un producto de consumo dentro del ecosistema criminal.

¿Y la inteligencia artificial?

Quizás uno de los datos más llamativos del estudio sea precisamente lo que todavía no está ocurriendo.

La enorme mayoría de las conversaciones relacionadas con inteligencia artificial no trata sobre sofisticadas operaciones autónomas.

El 77% de las discusiones analizadas se concentra en evadir las restricciones de modelos públicos, mientras otro 22% está relacionado con modelos sin mecanismos de censura. Solo aproximadamente el 1% menciona aplicaciones concretas de IA dentro de ataques.

Eso permite poner cierto freno a una narrativa habitual: por ahora, la IA no parece haber reemplazado las herramientas tradicionales del ciberdelito.

Pero ese 1% merece atención.

Los casos encontrados abarcan prácticamente todo el ciclo ofensivo, incluyendo reconocimiento, desarrollo de malware, plataformas basadas en agentes y automatización de operaciones.

El impacto probablemente no deba medirse únicamente preguntando cuántos atacantes utilizan IA hoy, sino cuánto puede reducir nuevamente las barreras técnicas cuando estas capacidades se integren en los servicios criminales que ya existen.

La verdadera amenaza es la división del trabajo

Tomados individualmente, ninguno de estos mercados resulta completamente nuevo.

Hace años existen credenciales robadas, malware comercial, ransomware como servicio, exploits y brokers de acceso inicial.

Lo relevante es cómo comienzan a conectarse.

Un operador infecta dispositivos y obtiene credenciales.

Otro procesa los datos.

Otro identifica accesos corporativos valiosos.

Otro vende infraestructura.

Otro desarrolla malware.

Otro proporciona exploits.

Otro compra el acceso y ejecuta la intrusión.

Y eventualmente otro grupo monetiza el ataque mediante ransomware, fraude, espionaje o extorsión.

La sofisticación deja de estar necesariamente concentrada en el atacante final y pasa a estar distribuida dentro del ecosistema.

Esto cambia también una pregunta fundamental para cualquier organización.

Ya no alcanza con preguntarse si alguien tiene suficientes conocimientos y motivación para atacarla.

La pregunta empieza a ser mucho más incómoda:

¿cuánto cuesta atacarla?

Si existen credenciales corporativas disponibles, vulnerabilidades conocidas sin corregir, sistemas expuestos a Internet y herramientas listas para explotar esas condiciones, la distancia entre intención y capacidad técnica se reduce drásticamente.

La economía clandestina está haciendo con el ciberdelito algo que la nube hizo con buena parte de la informática: convertir infraestructura, herramientas y conocimiento especializado en servicios que pueden consumirse bajo demanda.

La diferencia es que, del otro lado, el producto final es una intrusión.

El informe completo Threat Zone 2026: The Other Side reúne más de veinte tendencias y ejemplos del mercado clandestino, y puede consultarse desde la investigación publicada por BI.ZONE.

Los episodios no prueban que exista una única campaña coordinada, pero muestran cómo la infraestructura civil se está convirtiendo en una extensión cada vez más visible de los conflictos geopolíticos.

Durante cuatro días, una instalación de generación eléctrica del Reino Unido permaneció fuera de servicio como consecuencia de un ciberataque.

No hubo apagones. La estabilidad de la red eléctrica británica nunca estuvo comprometida y el objetivo era considerablemente más pequeño de lo que normalmente imaginamos cuando hablamos de una “central eléctrica”.

Pero el incidente importa por otra razón: según la información publicada originalmente por The Telegraph, detrás del ataque estarían actores vinculados con Irán. Y ocurrió mientras grupos iraníes desarrollaban operaciones contra infraestructura occidental en un escenario de creciente confrontación geopolítica.

El gobierno británico confirmó la existencia del incidente, aunque evitó identificar la instalación afectada y, sobre todo, no atribuyó públicamente el ataque a Irán.

La diferencia es importante.

La vinculación iraní procede hasta ahora de fuentes citadas por medios británicos, no de una atribución oficial del National Cyber Security Centre (NCSC) ni de otra agencia gubernamental. El ministro de Energía británico, Michael Shanks, confirmó que se trataba de un generador de muy pequeña escala y aseguró que “no hubo amenaza para la red más amplia y nadie perdió electricidad”.

Sin embargo, casi simultáneamente, del otro lado del Atlántico aparecía una pieza adicional del rompecabezas.

Washington señala directamente a una unidad iraní

El 24 de agosto, el Departamento del Tesoro de Estados Unidos lanzó una nueva ofensiva de sanciones contra Irán denominada Operation Economic Outcast.

Entre objetivos relacionados con petróleo, finanzas, proliferación y evasión de sanciones apareció un componente específicamente cibernético: seis ciudadanos iraníes vinculados por Washington con un grupo dirigido por el Ministerio de Inteligencia y Seguridad de Irán (MOIS).

En este caso, la atribución sí es explícita.

Según el Tesoro estadounidense, la unidad es responsable de “extensas intrusiones” contra infraestructura crítica estadounidense y de operaciones de robo informático con fines económicos.

Tres de sus integrantes —Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh y Mohammad Reza Kadkhoda’i— habrían realizado buena parte de las intrusiones iniciales.

Desde finales de 2023, según Washington, consiguieron comprometer y extraer información de organizaciones pertenecientes a sectores particularmente sensibles: energía, defensa, salud, tecnología y finanzas.

También habrían penetrado organismos gubernamentales locales, estatales y federales durante 2024.

Hay además un detalle interesante: no todas las operaciones parecen responder exclusivamente a objetivos estratégicos del Estado iraní.

El propio Tesoro sostiene que algunos integrantes estaban fuertemente motivados por enriquecerse personalmente. Esa combinación de espionaje estatal, ciberdelincuencia y beneficio económico vuelve mucho más difusa la frontera tradicional entre un agente de inteligencia y un hacker criminal.

Espionaje, robo y acceso a organismos públicos

Las sanciones llegan pocos días después de que el Departamento de Justicia estadounidense revelara otra investigación de gran escala relacionada con operaciones iraníes.

El 18 de agosto fueron anunciados cargos contra 17 ciudadanos iraníes vinculados al Mabna Institute, una organización que según los fiscales estadounidenses realizó durante años operaciones informáticas en beneficio de entidades iraníes, incluido el Cuerpo de la Guardia Revolucionaria Islámica.

La campaña habría alcanzado universidades, empresas privadas, organismos públicos y organizaciones internacionales.

Entre las víctimas aparecen cuentas pertenecientes al Departamento de Trabajo estadounidense, la Federal Energy Regulatory Commission (FERC), gobiernos estatales, Naciones Unidas y UNICEF. Los atacantes también habrían robado más de 31 terabytes de información académica y propiedad intelectual.

Conviene no mezclar ambas investigaciones: los seis individuos sancionados por el Tesoro están vinculados al MOIS, mientras que el caso de los 17 acusados por el Departamento de Justicia gira alrededor del Mabna Institute y operaciones atribuidas a intereses iraníes, incluido el IRGC.

Pero vistos en conjunto muestran algo más amplio.

Irán ha desarrollado un ecosistema de capacidades cibernéticas que puede utilizar simultáneamente para inteligencia, robo de información, obtención de dinero y operaciones contra infraestructura.

Y el salto desde el espionaje hacia la interrupción física de servicios cambia considerablemente la ecuación.

Cuatro días que cambian la naturaleza del incidente

Robar correos electrónicos gubernamentales es grave.

Extraer información de una empresa energética también.

Pero conseguir que una instalación deje de operar durante cuatro días pertenece a otra categoría.

El incidente británico cruzó la frontera entre comprometer información y provocar consecuencias operativas en el mundo físico.

Según Reuters, el ataque ocurrió en julio y afectó únicamente a un pequeño generador. Tras conocerse el caso, el gobierno británico reunió a responsables del sector energético para revisar medidas de protección junto con reguladores y el NCSC.

El tamaño reducido de la instalación puede incluso hacer que el caso resulte más interesante desde una perspectiva defensiva.

Las grandes centrales eléctricas suelen recibir enormes cantidades de atención, presupuesto y regulación. Pero una red energética moderna está formada también por cientos o miles de instalaciones menores, proveedores, sistemas auxiliares, operadores regionales y dispositivos industriales.

Un atacante no necesariamente necesita derribar una gran central.

Puede buscar el punto donde la defensa sea más débil.

La infraestructura distribuida como nuevo campo de batalla

La digitalización permitió operar infraestructura de forma más eficiente, automatizada y remota. También multiplicó los puntos desde los que puede ser atacada.

Sistemas industriales que alguna vez funcionaban prácticamente aislados hoy conviven con redes corporativas, accesos remotos, proveedores externos, software comercial y dispositivos conectados a Internet.

Y esa superficie no se limita a la electricidad.

Durante los últimos años, actores vinculados con Irán han mostrado especial interés por instalaciones de agua, energía y otros sistemas industriales occidentales. El episodio británico apareció además en un contexto en el que Estados Unidos investigaba ataques contra sistemas de agua en varios estados.

La lógica estratégica es evidente.

Atacar infraestructura crítica permite generar efectos económicos, presión política y percepción de vulnerabilidad sin necesidad de lanzar un misil.

El costo de entrada también es radicalmente diferente.

Un país que no puede igualar convencionalmente el poder militar de Estados Unidos o Reino Unido puede, sin embargo, invertir durante años en operadores, vulnerabilidades, credenciales comprometidas y accesos persistentes a sistemas estratégicos.

La asimetría es precisamente lo que convierte al ciberespacio en un terreno tan atractivo.

La guerra ya no empieza cuando explota algo

Durante décadas pensamos la infraestructura crítica principalmente en términos físicos: centrales, subestaciones, tuberías, plantas de agua, puertos y telecomunicaciones.

Ahora existe una segunda infraestructura superpuesta sobre la primera: software, redes, identidades digitales, proveedores tecnológicos y sistemas de control industrial.

Controlar la primera sin controlar la segunda empieza a ser imposible.

El episodio británico todavía tiene incógnitas importantes. No conocemos públicamente qué instalación fue atacada, qué vulnerabilidad permitió el acceso, qué sistemas fueron comprometidos ni si la paralización fue provocada directamente por los atacantes o adoptada como medida defensiva. Y, fundamentalmente, Reino Unido todavía no ha atribuido oficialmente la operación a Irán.

Pero el contexto estadounidense muestra que la amenaza iraní sobre infraestructura occidental no es una hipótesis abstracta: Washington afirma haber documentado compromisos exitosos contra empresas energéticas, contratistas de defensa, instituciones sanitarias, compañías tecnológicas y organismos públicos desde al menos 2023.

La cuestión de fondo ya no es solamente quién puede destruir una central eléctrica.

Es quién puede entrar en ella.

Quién conoce sus sistemas.

Quién conserva acceso.

Y quién puede decidir utilizarlo cuando una crisis diplomática se convierte en conflicto.

En esa nueva arquitectura del poder, la soberanía digital deja de ser una discusión abstracta sobre datos o plataformas tecnológicas. Se convierte en la capacidad de un Estado para mantener funcionando su electricidad, su agua, sus comunicaciones y su industria cuando alguien, desde miles de kilómetros de distancia, intenta apagarlas.

Lo hace mediante una extensión con amplios permisos y hasta intenta convencer al usuario de no revertir el cambio cuando Chrome lo detecta. El episodio vuelve a poner sobre la mesa una pregunta incómoda: ¿cuánto control debería tener el fabricante del sistema operativo sobre las decisiones que tomamos dentro de aplicaciones de terceros?

Hay comportamientos que, cuando aparecen en software desconocido, despiertan inmediatamente las alarmas: modificar la configuración del navegador, instalar una extensión con permisos para intervenir sobre los sitios visitados, cambiar el motor de búsqueda y tratar de impedir que el usuario restaure su configuración anterior.

Esta vez no hablamos de malware.

Hablamos de Microsoft.

La compañía creó una aplicación independiente llamada Microsoft Recommended Search Settings, distribuida desde servidores oficiales de Microsoft, cuya finalidad es configurar Bing como motor de búsqueda en los navegadores instalados en una computadora con Windows.

Según las pruebas realizadas por Windows Latest, el programa afecta a Edge, Chrome, Firefox y también Brave. No se instala actualmente mediante Windows Update ni está publicado en Microsoft Store: se distribuye como un ejecutable independiente llamado MicrosoftSettings.exe, de unos 22 MB.

La existencia de una herramienta para cambiar el buscador no sería especialmente polémica si terminara ahí. El problema es cómo está diseñada la experiencia para conseguir que el usuario mantenga ese cambio.

Un programa dedicado a convertir Bing en el buscador predeterminado

Al ejecutar Microsoft Recommended Search Settings aparece una pantalla de bienvenida donde la opción para utilizar Bing está activada por defecto.

La aplicación informa que el cambio alcanzará a Microsoft Edge, Mozilla Firefox y Google Chrome. Tras aceptar, instala o promueve la instalación de la extensión correspondiente y, al finalizar el proceso, abre una página de Microsoft Rewards.

En Chrome y Brave aparece una extensión denominada Microsoft Bing Homepage & Search for Chrome.

Y ahí aparece uno de los elementos más llamativos del caso.

Chrome advierte que la extensión solicita capacidad para leer y modificar los datos de los sitios web, mostrar notificaciones y modificar la página de inicio, el motor de búsqueda y la página que aparece al abrir una nueva pestaña.

Conviene hacer una distinción importante: que una extensión solicite permisos amplios no significa automáticamente que esté espiando al usuario. Muchas extensiones necesitan permisos extensos debido a la forma en que funcionan las APIs de los navegadores.

Pero desde una perspectiva de seguridad existe un principio elemental: cuanto mayor sea el privilegio concedido a un componente, mayor será también su superficie potencial de riesgo.

Y resulta particularmente llamativo que esos privilegios se soliciten para una herramienta cuyo objetivo fundamental es cambiar el proveedor de búsqueda.

Chrome intenta recuperar Google. Microsoft intenta impedirlo

La escena más reveladora ocurre después.

Cuando Chrome detecta que una extensión modificó el buscador predeterminado, muestra su propio mecanismo de protección preguntando al usuario si desea regresar a Google Search.

Hasta ahí, funcionamiento normal.

Pero Microsoft introduce una segunda interfaz justo debajo.

“Wait, don’t change it back!”

Es decir: esperá, no lo cambies de vuelta.

La interfaz señala directamente hacia el botón de Chrome que permitiría restaurar Google y advierte que hacerlo desactivará la extensión de Bing y hará perder determinadas funciones asociadas. La alternativa presentada es mantener Bing.

El resultado es casi una caricatura de la competencia entre plataformas: Google intenta convencer al usuario de restaurar Google mientras Microsoft intenta convencerlo de ignorar la advertencia de Google.

Pero debajo de lo anecdótico existe un problema bastante más serio.

Cuando la interfaz deja de ser neutral

En diseño de interfaces existe un concepto conocido como dark patterns: decisiones deliberadas de diseño destinadas a empujar al usuario hacia una opción determinada, dificultando o desincentivando otras alternativas.

No todo mecanismo persuasivo constituye automáticamente un patrón oscuro. Pero el caso de Microsoft Recommended Search Settings contiene varios elementos que justifican discutirlo desde esa perspectiva: una opción favorable a Microsoft preseleccionada, modificaciones sobre aplicaciones de terceros y mensajes adicionales destinados a evitar que el usuario revierta esas modificaciones.

No estamos ante una imposición técnicamente irreversible. El usuario puede rechazar el cambio y los navegadores conservan mecanismos para modificar nuevamente el buscador.

La cuestión relevante es otra: quién controla la arquitectura de elección.

Microsoft no compite solamente con Bing contra Google Search.

También controla Windows, el sistema operativo desde el cual millones de personas acceden a ambos.

Y esa diferencia importa.

El sistema operativo como posición privilegiada

Microsoft documenta que Edge permite cambiar Bing por otros motores de búsqueda compatibles. Al mismo tiempo, Windows Search utiliza Bing para sus resultados web.

Recommended Search Settings lleva esa integración un paso más allá: intenta extender la preferencia de Microsoft hacia navegadores que ni siquiera pertenecen a la compañía.

Esto muestra uno de los grandes conflictos del ecosistema tecnológico contemporáneo.

Las plataformas ya no compiten exclusivamente mediante productos independientes.

Compiten mediante ecosistemas verticalmente integrados.

Microsoft controla Windows, Edge, Bing, Microsoft 365 y buena parte de la infraestructura empresarial sobre Azure. Google controla Chrome, Search, Android, YouTube y una gigantesca infraestructura publicitaria. Apple controla simultáneamente hardware, sistema operativo, navegador, tienda de aplicaciones y numerosos servicios.

Cada capa puede utilizarse para fortalecer a las demás.

La batalla por el buscador predeterminado parece trivial, pero detrás existe un recurso extraordinariamente valioso: la capacidad de decidir qué servicio recibe primero la atención del usuario.

El verdadero negocio es controlar el punto de entrada

Durante años, los buscadores fueron una de las principales puertas de entrada a Internet. Ahora, además, esa posición está adquiriendo una segunda dimensión con la inteligencia artificial.

Las consultas que antes terminaban directamente en una lista de enlaces pueden alimentar asistentes, sistemas de recomendación, publicidad, perfiles de comportamiento y servicios generativos.

Controlar el buscador significa controlar una parte importante de esa interacción.

Por eso Microsoft tiene incentivos enormes para aumentar la utilización de Bing, del mismo modo que Google tiene incentivos enormes para conservar su posición dominante.

La nueva aplicación es apenas una manifestación particularmente visible de esa disputa.

Y también expone una contradicción interesante: mientras la industria tecnológica insiste en que el usuario debe controlar sus configuraciones, las mismas compañías invierten cada vez más ingeniería en persuadirlo para que elija exactamente aquello que beneficia a su ecosistema.

La soberanía digital también empieza en un botón

Habitualmente pensamos la soberanía digital en términos de Estados, infraestructura crítica, centros de datos o dependencia de proveedores extranjeros.

Pero existe una dimensión mucho más cotidiana.

¿Quién decide qué buscador utilizamos? ¿Quién define qué navegador se abre? ¿Qué servicios aparecen primero? ¿Qué configuraciones vienen activadas? ¿Cuánto esfuerzo necesita el usuario para elegir una alternativa?

Una decisión aparentemente insignificante repetida sobre cientos de millones de dispositivos puede modificar mercados enteros.

El caso de Microsoft Recommended Search Settings no representa una vulnerabilidad ni un ciberataque. Tampoco significa que Microsoft haya eliminado la capacidad del usuario de elegir otro buscador.

Es algo más sutil.

Es un ejemplo de cómo el control sobre la plataforma permite influir sobre las decisiones tomadas dentro de ella.

Y en un mundo donde unas pocas compañías controlan sistemas operativos, navegadores, buscadores, nubes e inteligencia artificial simultáneamente, la libertad digital no depende únicamente de que exista un botón para cambiar una configuración.

También depende de quién diseñó todos los botones que lo rodean.

Fuente principal: Windows Latest: Microsoft built a dedicated app that forces Bing everywhere on Windows 11

El objetivo observado no parece limitarse al acceso inicial: las autoridades creen que los atacantes están estudiando las instalaciones y posicionándose para poder provocar futuras interrupciones. En medio de sospechas sobre actores vinculados a Irán, la atribución oficial todavía permanece abierta.

Durante décadas, uno de los grandes temores de la ciberseguridad industrial fue que un atacante consiguiera atravesar la frontera entre el mundo digital y el físico.

Ya no estamos hablando de una hipótesis.

La Agencia de Seguridad Nacional (NSA), CISA, FBI, Departamento de Energía y Agencia de Protección Ambiental de Estados Unidos publicaron una advertencia conjunta sobre lo que describen explícitamente como una “amenaza activa” contra controladores Siemens S7 utilizados en infraestructura crítica estadounidense.

Los sectores identificados incluyen manufactura crítica, energía, agua y saneamiento, industria química, alimentación y agricultura e instalaciones comerciales. Los mismos controladores también están presentes en otros ámbitos sensibles, incluida la base industrial de defensa estadounidense.

El elemento novedoso no es solamente el objetivo.

También lo es la herramienta que está acelerando los ataques: inteligencia artificial.

Según las agencias, los atacantes están utilizando IA para generar rápidamente scripts de explotación capaces de comunicarse con estos pequeños computadores industriales y disfrazarlos como herramientas legítimas de monitoreo.

Una combinación que reduce drásticamente la barrera técnica necesaria para atacar sistemas que controlan procesos físicos.

Los pequeños computadores detrás de una infraestructura crítica

Un PLC —Programmable Logic Controller o controlador lógico programable— no es un servidor convencional.

Es un computador industrial diseñado para controlar procesos físicos en tiempo real.

Puede decidir cuándo activar una bomba, abrir una válvula, detener un motor, modificar una secuencia de producción o responder ante determinadas condiciones dentro de una planta.

Por eso comprometer uno tiene consecuencias potencialmente muy diferentes a comprometer una computadora de oficina.

Las agencias identificaron actividad contra prácticamente toda la familia Siemens S7: S7-200, S7-300, S7-400, S7-1200 y S7-1500, incluidos controladores utilizados en funciones relacionadas con seguridad industrial.

Los atacantes buscan principalmente dispositivos expuestos directamente a Internet, con software desactualizado, credenciales débiles o una segmentación de red insuficiente.

Para encontrarlos utilizan servicios de escaneo de Internet como Censys o ZoomEye.

Una vez localizado el objetivo, entra en juego la IA.

IA para fabricar herramientas de ataque industrial

La advertencia estadounidense describe una combinación particularmente interesante.

Los atacantes utilizan bibliotecas abiertas de automatización industrial —específicamente snap7.dll y python-snap7— junto con desarrollo asistido por inteligencia artificial para generar herramientas personalizadas que imitan software legítimo de monitoreo OT.

Estas herramientas pueden comunicarse mediante S7comm, el protocolo utilizado por estos controladores, y obtener acceso de lectura y escritura sobre memoria, configuraciones y programas de lógica industrial.

En otras palabras: el atacante no necesariamente necesita desarrollar desde cero una sofisticada plataforma ofensiva especializada en sistemas industriales.

Puede tomar documentación pública, vulnerabilidades conocidas, bibliotecas disponibles abiertamente y utilizar modelos de IA para acelerar la construcción y adaptación del código necesario.

Las propias agencias estadounidenses destacan esta transformación: la inteligencia artificial reduce de forma considerable el conocimiento técnico y el tiempo necesarios para producir scripts funcionales contra sistemas ICS y permite adaptar rápidamente los ataques frente a las defensas encontradas.

Esto no significa que la IA haya convertido mágicamente a cualquier atacante en un especialista en sistemas industriales.

Pero sí cambia la economía del ataque.

Conocimiento que antes exigía especialistas, desarrollo manual y tiempo ahora puede empaquetarse, adaptarse y reutilizarse mucho más rápidamente.

No parecen querer romper nada. Todavía.

Uno de los aspectos más preocupantes de la advertencia es precisamente lo que los atacantes no están haciendo.

Las agencias detectaron operaciones de lectura y escritura sobre bloques de datos que podrían utilizarse para reconocimiento, pruebas de capacidades y lo que denominan pre-positioning for effects operations: posicionamiento previo para futuras operaciones destinadas a producir efectos reales.

La evaluación oficial es que parte de esta actividad busca mantener reconocimiento persistente sobre instalaciones concretas.

Primero observar.

Después comprender.

Los atacantes pueden utilizar acceso de lectura para estudiar cómo está configurada una planta, conocer su lógica operativa y entender cómo interactúan sus componentes.

Ese conocimiento permite preparar posteriormente operaciones de escritura capaces de alterar el proceso industrial.

La diferencia es fundamental.

No se trataría solamente de vulnerar infraestructura crítica para demostrar que es posible hacerlo. Se estaría desarrollando y refinando una capacidad que podría quedar preparada para ser utilizada cuando las circunstancias lo requieran.

Una especie de infraestructura de sabotaje en espera.

De los bits a las bombas, válvulas y motores

Las consecuencias potenciales tampoco son abstractas.

Las agencias advierten que un acceso no autorizado podría provocar interrupciones de procesos industriales, afectar servicios públicos y producción, manipular parámetros operativos, generar daños en equipamiento e incluso producir incidentes que afecten la seguridad de trabajadores.

También existe un segundo nivel de impacto.

Una instalación industrial no funciona de manera aislada.

Una interrupción energética afecta fábricas. Una planta de tratamiento de agua afecta ciudades. Una alteración química puede afectar producción. Una instalación alimentaria comprometida puede repercutir sobre cadenas de suministro completas.

Por eso el documento advierte también sobre efectos en cascada sobre sistemas interconectados.

Es el punto donde la ciberseguridad deja definitivamente de ser un problema de computadoras.

La sombra de Irán

La alerta aparece además en un contexto geopolítico particularmente sensible.

En las últimas semanas diferentes sistemas locales de agua estadounidenses han sufrido incidentes cibernéticos y especialistas han planteado posibles vínculos con actores relacionados con Irán. Reuters señala que la nueva advertencia coincide con esas sospechas.

Sin embargo, existe una distinción importante: las cinco agencias no atribuyen oficialmente esta campaña contra los Siemens S7 a Irán.

Por ahora, el documento habla simplemente de threat actors.

Confundir contexto geopolítico con atribución técnica sería adelantarse a la evidencia disponible.

Pero que todavía no exista una atribución pública no reduce el significado estratégico de la actividad.

En un escenario de tensión entre Estados, comprometer infraestructura crítica sin utilizar inmediatamente el acceso puede tener enorme valor.

El acceso puede convertirse en capacidad de presión.

El problema incómodo: muchos PLC todavía están expuestos a Internet

Detrás de toda la sofisticación asociada a la inteligencia artificial aparece además una realidad mucho menos futurista.

Los atacantes están aprovechando problemas conocidos desde hace años.

PLCs directamente accesibles desde Internet.

Firmware desactualizado.

Credenciales predeterminadas o débiles.

Redes industriales insuficientemente segmentadas.

Las agencias recomiendan realizar inmediatamente un inventario de controladores Siemens S7, actualizar firmware, revisar estaciones de ingeniería, fortalecer autenticación y verificar especialmente que S7comm sobre TCP/102 no sea accesible desde Internet. También recomiendan separar las redes IT y OT mediante arquitecturas DMZ y revisar los accesos proporcionados a integradores y proveedores externos.

Este último punto resulta especialmente relevante.

Una organización puede creer que su infraestructura industrial está aislada mientras un integrador mantiene algún mecanismo remoto de administración que termina creando una exposición que el propietario ni siquiera conoce.

La seguridad de una planta deja entonces de depender exclusivamente de su propio perímetro.

La IA cambia la escala del atacante

Durante años, la seguridad industrial tuvo una barrera defensiva implícita: atacar estos sistemas requería conocimiento especializado.

Protocolos particulares.

Hardware específico.

Arquitecturas poco familiares.

Procesos industriales que había que comprender antes de manipularlos sin destruirlos accidentalmente.

Esa barrera no desapareció, pero comienza a reducirse.

La IA puede transformar documentación pública, código abierto, información sobre vulnerabilidades y ejemplos existentes en herramientas adaptadas rápidamente a un objetivo concreto.

Eso puede aumentar no solamente la capacidad de los actores más sofisticados, sino también el número de organizaciones capaces de desarrollar capacidades ofensivas contra infraestructura industrial.

Y ahí aparece una dimensión estratégica mucho mayor.

La infraestructura crítica también es soberanía

Durante mucho tiempo la discusión sobre soberanía digital estuvo concentrada en datos, nubes, plataformas y redes sociales.

Pero existe una capa todavía más fundamental.

Los sistemas digitales que controlan el mundo físico.

Agua.

Electricidad.

Combustibles.

Producción industrial.

Alimentos.

Transporte.

Una nación puede controlar territorialmente una planta y, al mismo tiempo, depender de controladores, firmware, protocolos, integradores y cadenas de suministro tecnológicas sobre las que tiene capacidades limitadas de supervisión.

La aparición de IA ofensiva amplifica esa dependencia.

Porque ya no alcanza con preguntarse quién fabrica el equipamiento.

También importa quién puede encontrarlo desde Internet, quién conoce sus vulnerabilidades, quién puede generar herramientas para atacarlo y quién está silenciosamente aprendiendo cómo funciona antes de decidir qué hacer con ese conocimiento.

La advertencia estadounidense sobre Siemens S7 muestra un cambio importante en la naturaleza del conflicto digital.

El objetivo ya no es solamente entrar.

Es conocer la infraestructura, desarrollar capacidades y permanecer preparado.

En ese escenario, inventariar, segmentar y proteger los sistemas industriales deja de ser únicamente una tarea de ciberseguridad.

Se convierte en una cuestión de seguridad nacional y soberanía sobre la infraestructura que mantiene funcionando a una sociedad.

Advisory conjunto completo sobre Siemens S7

Las herramientas de detección son “modelo-específicas”, los metadatos se eliminan con un clic y los investigadores ya han creado programas que barren cualquier marca de agua en menos de dos minutos. El retraso en la estandarización no es inercia técnica: es una decisión de negocio.

Este es el segundo artículo de la serie:

En agosto de 2023, Google presentó SynthID, una tecnología de marcas de agua invisibles diseñada para identificar contenido generado por inteligencia artificial. La promesa era ambiciosa: un sistema que permitiría a cualquier usuario saber, con un simple análisis, si una imagen, un audio o un texto había sido creado por una IA. Desde entonces, la compañía ha incrustado estas marcas en más de 10.000 millones de imágenes, vídeos, archivos de audio y textos.

Dos años después, sin embargo, el sueño de la trazabilidad universal sigue siendo eso: un sueño. Las marcas de agua de Google solo funcionan para contenido generado con los modelos de Google. Las de Meta, para los suyos. Las de OpenAI, para los suyos. Y todas ellas pueden ser eliminadas en menos de dos minutos por cualquiera que tenga acceso a las herramientas adecuadas.

La pregunta es incómoda y necesaria: ¿por qué, teniendo la tecnología, las grandes empresas tecnológicas no han implementado un estándar universal y obligatorio de verificación de contenido?

La fragmentación como estrategia

El problema no es técnico. Es político y comercial.

Actualmente coexisten múltiples sistemas de identificación de contenido generado por IA, pero ninguno es interoperable. SynthID de Google funciona con los modelos de Google (Gemini, Imagen, Veo). Content Credentials, el estándar impulsado por Adobe y la Coalition for Content Provenance and Authenticity (C2PA), utiliza metadatos cifrados y a prueba de manipulaciones para registrar el origen y el historial de un archivo. Cloudflare, que gestiona aproximadamente el 20% de las propiedades de internet, adoptó este estándar en febrero de 2025. Google Search también se sumó en septiembre de 2024.

Pero la adopción es voluntaria y fragmentada. Un archivo generado con DALL-E de OpenAI lleva metadatos de OpenAI. Uno generado con Imagen de Google lleva la marca SynthID. Ningún detector universal puede leer todas las firmas.

Como advierte la documentación oficial de C2PA, el estándar “no clasifica los medios como ‘reales’ o ‘falsos’”, sino que se limita a autenticar la fuente. Y, lo que es más grave, “no garantiza la veracidad de las afirmaciones” contenidas en los metadatos. La responsabilidad de decidir si una fuente es confiable recae enteramente en el consumidor.

En otras palabras: el sistema actual ofrece una apariencia de transparencia, pero deja intacta la capacidad de los actores maliciosos para engañar.

La tecnología que nadie quiere estandarizar

Si la interoperabilidad es el problema, la solución parece obvia: un estándar único, obligatorio, adoptado por todos los desarrolladores de IA. Pero ese estándar no existe, y no existe porque las grandes tecnológicas no tienen incentivos para crearlo.

Google ha declarado que aspira a que otras empresas adopten SynthID. Pero mientras tanto, su sistema sigue siendo propietario. Meta, OpenAI, Microsoft y el resto operan con sus propias soluciones. La fragmentación beneficia a quienes tienen el poder de definir las reglas del juego: si cada empresa controla su propio sistema de verificación, también controla qué contenido se etiqueta y cuál no.

Esta dinámica convierte la verificación de contenido en un recurso de poder, no en un bien público. Una plataforma puede decidir etiquetar el contenido de sus competidores, pero no el suyo propio. Puede permitir que sus algoritmos de búsqueda prioricen el contenido verificado por su propio sistema, mientras ignoran el de los demás.

El resultado es un ecosistema donde la confianza del usuario queda atrapada en una guerra de estándares que las empresas tecnológicas no tienen prisa por resolver.

La vulnerabilidad de las marcas de agua

Pero incluso si existiera un estándar universal, las marcas de agua no serían una solución definitiva. Los investigadores de la Universidad de Waterloo lo demostraron en julio de 2025 con UnMarker, una herramienta capaz de eliminar cualquier marca de agua de imágenes generadas por IA sin necesidad de conocer el algoritmo específico utilizado.

El equipo de Waterloo, liderado por el investigador Andre Kassis, descubrió que todas las marcas de agua deben cumplir dos condiciones: ser invisibles para preservar la calidad de la imagen y ser robustas frente a manipulaciones como el recorte o la reducción de resolución. Estas restricciones, explican, “constriñen significativamente los posibles diseños” y permiten ataques estadísticos que las eliminan en menos de dos minutos.

En las pruebas, UnMarker funcionó en más del 50% de los casos contra diferentes modelos de IA, incluidos SynthID de Google y Stable Signature de Meta. “Si nosotros podemos resolver esto, también pueden hacerlo los actores maliciosos”, advirtió Kassis. “Las marcas de agua se promocionan como una solución perfecta, pero hemos demostrado que esta tecnología es vulnerable”.

Y UnMarker no es el único. En GitHub existen múltiples herramientas de código abierto que permiten eliminar metadatos EXIF, GPS, C2PA, marcas de agua de IA y bloques de instrucciones de generación de cualquier imagen. Algunas ofrecen modos “nucleares” diseñados específicamente para “interrumpir SynthID y Digimarc”. Y lo hacen completamente offline, sin necesidad de conexión a internet ni de enviar las imágenes a la nube.

Cualquier imagen generada por IA, por muy bien marcada que esté, puede ser despojada de su identidad en segundos.

La respuesta de los reguladores: tardía e insuficiente

Los gobiernos han comenzado a reaccionar, pero lo han hecho con cuentagotas y, en muchos casos, después de que el daño ya estuviera hecho.

En febrero de 2024, la Comisión Federal de Comunicaciones (FCC) de Estados Unidos declaró ilegales las llamadas automáticas con voces generadas por IA. Fue una respuesta directa a las robollamadas que suplantaron la voz de Joe Biden en New Hampshire. Pero la medida llegó después de que el engaño ya hubiera afectado a miles de votantes.

En el ámbito legislativo, la Take It Down Act, promulgada en mayo de 2025, se centra en la eliminación de deepfakes de contenido íntimo, no en la verificación general de contenido generado por IA. El Congreso ha impulsado proyectos de ley para aumentar las sanciones por distribuir deepfakes, pero ninguna ley federal exige un estándar universal de marcado de agua o verificación de procedencia.

Mientras tanto, la Unión Europea ha avanzado con regulaciones más estrictas, como la Ley de IA, que exige etiquetar el contenido generado por IA. China también ha implementado normas obligatorias de etiquetado. Pero en Estados Unidos, el enfoque sigue siendo voluntario y fragmentado.

El costo de la opacidad para la soberanía digital

La soberanía digital de una nación descansa, entre otros pilares, en la capacidad de sus ciudadanos para distinguir lo verdadero de lo falso y para participar en un debate público informado. La falta de un sistema universal de verificación de contenido generado por IA socava ambos pilares.

Cuando cualquier imagen, audio o video puede ser generado por IA y despojado de sus marcas de identificación, la realidad se vuelve negociable. Los actores maliciosos pueden crear desinformación sintética, eliminar las marcas de agua y presentarla como auténtica. Y no hay herramienta universal que pueda refutarlos.

La fragmentación de los sistemas de verificación agrava el problema. Un ciudadano que recibe una imagen generada con DALL-E no puede verificar su origen con la herramienta de Google, porque Google solo lee marcas SynthID. Un periodista que recibe un audio generado con el modelo de Meta no puede confirmar su autenticidad con el sistema de Adobe. Cada plataforma es una isla, y entre las islas solo hay océano de desinformación.

La decisión de no decidir

El retraso en la implementación de un estándar universal de verificación de contenido no es producto de la inercia técnica. Es una decisión estratégica de las grandes tecnológicas, que prefieren mantener el control sobre sus propios sistemas de verificación antes que cederlo a un estándar abierto e interoperable.

Mantener la fragmentación les permite:

• Preservar su capacidad de influir en la opinión pública sin que sus competidores puedan verificar o cuestionar el origen de su contenido.

• Evitar costos de cumplimiento de una regulación estricta que exigiría transparencia total.

• Mantener el poder de definir qué es “verificado” y qué no lo es, en función de sus propios intereses comerciales y políticos.

Mientras tanto, la ciudadanía queda expuesta a un ecosistema informativo donde la verdad es cada vez más difícil de certificar. Y en ese ecosistema, el más poderoso no es el que dice la verdad, sino el que controla las herramientas para verificarla.

Este artículo forma parte de una serie de cinco entregas sobre el impacto de la inteligencia artificial en la soberanía digital y los procesos democráticos. Las fuentes utilizadas incluyen informes del International Panel on the Information Environment (IPIE), el Brennan Center for Justice, la Associated Press, The New York Times, The Guardian y registros de la Comisión Federal de Comunicaciones (FCC) de Estados Unidos.

Próximo artículo en la serie:
“Los $140 millones que compraron el Congreso: cómo Silicon Valley bloquea la regulación estatal”

Ahora Irregular reconoce que varios estaban conectados por un mismo problema: sus entornos de evaluación permitieron accidentalmente que las IA llegaran a Internet. El episodio cambia parte de la historia, pero abre una pregunta todavía mayor sobre quién controla la infraestructura donde se prueba una tecnología con capacidades ofensivas cada vez más poderosas.

Durante las últimas semanas, distintos episodios dejaron una imagen inquietante sobre el estado actual de la inteligencia artificial: modelos avanzados de algunas de las compañías más importantes del sector habían conseguido salir de los límites previstos durante pruebas de ciberseguridad y terminaron interactuando, e incluso atacando, sistemas reales.

En Ojo Cibernético ya analizamos algunos de esos casos. Por separado, podían interpretarse como señales de un problema creciente de control sobre modelos cada vez más autónomos.

Ahora apareció una pieza que conecta varios de ellos.

La empresa de seguridad de IA Irregular publicó el 14 de agosto los resultados preliminares de su investigación y reconoció que varios de los incidentes divulgados públicamente durante las últimas semanas no eran problemas completamente independientes. Según la compañía, estaban relacionados con un mismo escenario de evaluación desarrollado por Irregular y con fallas en los controles de acceso a Internet de sus entornos de prueba.

La diferencia no es menor.

Parte de la narrativa inicial giraba alrededor de modelos que habían conseguido “escapar” de sus sandboxes. La investigación apunta ahora a una explicación diferente y, en cierto sentido, más incómoda: en varios casos, la puerta estaba abierta.

Anthropic, Meta y un denominador común

Uno de los casos más importantes fue revelado por Anthropic a fines de julio.

La compañía revisó 141.006 ejecuciones de evaluaciones de ciberseguridad y encontró tres incidentes en los que diferentes modelos Claude terminaron obteniendo acceso no autorizado a infraestructura perteneciente a organizaciones reales.

Los modelos involucrados fueron Claude Opus 4.7, Mythos 5 y un modelo experimental interno. Las primeras actividades detectadas se remontaban a abril.

Lo que entonces aparecía como un problema entre Anthropic y un proveedor externo ahora tiene nombre.

Ese proveedor era Irregular.

La compañía se especializa precisamente en evaluar modelos avanzados antes de su despliegue. Para hacerlo construye escenarios ofensivos complejos donde una IA debe comportarse de manera similar a un atacante: reconocer infraestructura, localizar vulnerabilidades, conseguir credenciales, acceder a sistemas y alcanzar determinados objetivos.

El objetivo es descubrir qué tan peligroso podría resultar un modelo antes de liberarlo.

El problema es que algunos de esos escenarios no estaban tan aislados del mundo exterior como se suponía.

Irregular reconoce que hubo entornos donde el acceso a Internet quedó disponible involuntariamente. Como consecuencia, algunos modelos terminaron realizando acciones ofensivas sobre sistemas reales mientras creían que continuaban operando dentro de una simulación.

Meta también aparece vinculada al mismo problema. Reuters informó que un modelo de la compañía atacó involuntariamente sistemas de otra organización durante una evaluación realizada con Irregular, después de que una configuración incorrecta permitiera al entorno acceder a Internet.

Lo que parecía una sucesión de accidentes independientes comienza así a parecerse mucho más a un problema compartido de infraestructura de evaluación.

Cuando una empresa ficticia existe de verdad

Uno de los errores reconocidos por Irregular resulta especialmente ilustrativo.

Para una evaluación se creó una empresa ficticia que funcionaría como objetivo del ataque. Antes de utilizar nombres de este tipo, la compañía asegura que normalmente comprueba que no coincidan con organizaciones o dominios reales.

Esta vez el control falló.

El nombre elegido coincidía con un dominio existente.

El modelo recibía además direcciones internas donde debía encontrar el objetivo dentro de la simulación. En la enorme mayoría de las ejecuciones hizo exactamente eso. Pero algunas veces, al no conseguir llegar al sistema esperado, buscó alternativas.

Y encontró la empresa real.

Como el entorno tenía acceso a Internet, distintos modelos atacaron el dominio en un número limitado de ocasiones creyendo que seguían resolviendo el ejercicio. Encontraron vulnerabilidades, extrajeron credenciales y consiguieron acceso a una base de datos de producción.

En el caso detallado por Anthropic, cuatro ejecuciones de Claude Opus 4.7 llegaron a esa organización. Los modelos obtuvieron credenciales de aplicaciones e infraestructura y accedieron a una base con varios cientos de registros reales.

Es una diferencia fundamental respecto de imaginar una IA desarrollando espontáneamente la intención de atacar Internet.

El modelo estaba haciendo aquello que le habían pedido.

El problema era que nadie le había informado correctamente dónde terminaba el juego y comenzaba el mundo real.

El caso más extraño: malware publicado en PyPI

La revisión de Anthropic reveló además otro episodio particularmente llamativo.

Durante un ejercicio, Claude encontró instrucciones que indicaban a empleados de una empresa ficticia instalar un paquete de Python que no existía en PyPI. El modelo detectó inmediatamente una posible vía de ataque: registrar él mismo ese nombre y publicar un paquete malicioso para que las máquinas de la supuesta víctima lo instalaran.

Y lo hizo.

Para conseguirlo intentó obtener una dirección de correo, buscó incluso formas de conseguir un número telefónico y finalmente logró registrar una cuenta y publicar el malware.

El paquete permaneció disponible públicamente durante aproximadamente una hora y fue descargado y ejecutado en 15 sistemas reales. Uno pertenecía a una compañía de seguridad cuyo scanner instalaba paquetes para analizarlos. El código consiguió extraer credenciales de ese sistema y Claude las utilizó posteriormente para acceder a infraestructura adicional.

Claude Mythos 5 incluso llegó a considerar la posibilidad de estar conectado al Internet real.

Pero terminó convenciéndose de que seguía dentro de la simulación.

El episodio muestra un problema nuevo para la seguridad informática: no basta con que un agente reconozca señales de peligro; también importa cómo interpreta esas señales y qué conclusión obtiene a partir de ellas.

Irregular asume su parte

La publicación de Irregular es relevante precisamente porque desplaza parte de la atención desde los fabricantes de modelos hacia la infraestructura utilizada para evaluarlos.

La empresa reconoce errores en sus propios sistemas y asegura haber deshabilitado la evaluación afectada, revisado los registros, ampliado la supervisión manual y creado controles adicionales de contención.

También plantea desarrollar estándares comunes para determinar cuándo y bajo qué condiciones una IA debería disponer de acceso a Internet durante una evaluación.

Hay además un dato que ayuda a dimensionar la dificultad.

Según Irregular, los incidentes aparecieron en menos de una de cada 10.000 simulaciones avanzadas y normalmente después de cientos de interacciones. Detectarlos automáticamente tampoco es trivial: los sistemas de monitoreo observan continuamente comportamientos que parecen ataques porque justamente el objetivo del experimento es pedirle al modelo que ataque.

Es buscar una aguja peligrosa dentro de un pajar diseñado enteramente para parecer peligroso.

Pero existe otra conclusión todavía más importante.

Irregular sostiene que la organización atacada carecía de algunas prácticas básicas de seguridad y que la mayoría de los modelos de frontera podían explotarla con facilidad. Por eso considera que el episodio no demuestra una capacidad extraordinaria de un modelo particular.

Eso difícilmente resulte tranquilizador.

Significa que la capacidad de realizar ataques de este nivel ya comienza a convertirse en una característica relativamente común entre los modelos más avanzados.

No fue Skynet. Y ese puede ser precisamente el problema

Los incidentes necesitan una lectura cuidadosa.

No existe evidencia de que estos modelos hayan desarrollado un objetivo propio, decidido escapar deliberadamente de sus entornos o iniciado espontáneamente una campaña contra Internet.

Anthropic es explícita al respecto: los modelos estaban intentando cumplir los objetivos asignados durante los ejercicios.

La historia real es menos cinematográfica.

Y posiblemente más importante.

Estamos construyendo sistemas capaces de ejecutar operaciones ofensivas de ciberseguridad con suficiente autonomía como para que un error de configuración, una mala definición del alcance o un dominio elegido incorrectamente puedan convertir una prueba en un incidente real.

Eso transforma el problema.

La seguridad de la inteligencia artificial ya no depende únicamente del comportamiento del modelo. Depende también de las redes que puede alcanzar, las credenciales disponibles, las herramientas que puede ejecutar, los permisos otorgados y la infraestructura que contiene sus acciones.

En términos clásicos de seguridad informática: el modelo es solamente una parte del sistema.

¿Quién controla los laboratorios que prueban estas máquinas?

Aquí aparece una cuestión que excede ampliamente a Irregular, Anthropic o Meta.

Las capacidades ofensivas más avanzadas de la inteligencia artificial están siendo desarrolladas y evaluadas principalmente dentro de un pequeño ecosistema de empresas privadas. Y hasta los mecanismos destinados a comprobar si esos modelos son peligrosos dependen, en muchos casos, de otros proveedores privados especializados.

Irregular propone ahora avanzar hacia estándares compartidos por la industria.

Es necesario.

Pero probablemente no sea suficiente.

Cuando un error dentro de un laboratorio privado puede terminar generando tráfico ofensivo contra organizaciones que nunca aceptaron participar del experimento, la discusión deja de ser exclusivamente técnica.

Se convierte también en una cuestión de soberanía y responsabilidad pública.

Los Estados regulan laboratorios que manipulan patógenos peligrosos. Controlan instalaciones nucleares, telecomunicaciones críticas y determinadas actividades militares. No porque todas esas organizaciones sean irresponsables, sino porque las consecuencias de un fallo pueden trascender las fronteras de quien realiza el experimento.

Con la inteligencia artificial comienza a aparecer una pregunta equivalente.

¿Hasta qué punto una compañía privada debería poder conectar modelos con capacidades ofensivas avanzadas a Internet durante una evaluación? ¿Qué requisitos mínimos de aislamiento deberían exigirse? ¿Quién audita esos controles? ¿Quién debe ser informado cuando algo sale mal? ¿Y qué responsabilidad existe cuando la víctima es una empresa de otro país que nunca supo que estaba, accidentalmente, participando de una prueba?

Estas preguntas serán especialmente importantes para países que no desarrollan modelos de frontera pero cuya infraestructura igualmente puede terminar dentro de su radio de acción.

Para América Latina, la soberanía digital también pasa por ahí.

No solamente por decidir dónde almacenamos nuestros datos o qué proveedores utilizamos, sino por tener capacidad política, jurídica y técnica para responder cuando tecnologías desarrolladas y controladas en otros países pueden interactuar autónomamente con nuestra infraestructura.

Los incidentes de estas semanas no muestran una inteligencia artificial rebelándose contra sus creadores.

Muestran algo mucho más reconocible para cualquiera que trabaje en ciberseguridad: sistemas extremadamente poderosos, configuraciones imperfectas, controles que fallan y responsabilidades distribuidas entre varias organizaciones.

La diferencia es que esta vez, cuando alguien dejó una puerta abierta, lo que estaba detrás ya sabía cómo atacar.

El caso expone algo más profundo que una falla de moderación: la dificultad de proteger a menores dentro de espacios digitales privados, cifrados y diseñados para interacciones en tiempo real.

Durante años, buena parte del debate sobre los riesgos de las redes sociales para niños y adolescentes giró alrededor de aquello que era visible: publicaciones, comentarios, videos virales, algoritmos de recomendación y perfiles públicos.

Pero algunos de los espacios más difíciles de controlar funcionan de otra manera.

Servidores privados. Invitaciones. Chats cerrados. Voz. Video. Transmisiones en directo.

El caso que sacude a Brasil coloca precisamente ese problema en el centro de la discusión.

La Agencia Nacional de Protección de Datos (ANPD) brasileña ordenó a Discord suspender temporalmente sus funciones de transmisión en vivo en el país, después de investigar la muerte de una adolescente de 13 años que habría sido sometida a presiones y abusos dentro de un grupo de la plataforma.

La medida afecta principalmente a las funciones de video y transmisión de pantalla asociadas a Go Live. Discord comenzó a aplicar la suspensión mientras mantiene conversaciones con las autoridades para intentar restablecer el servicio.

El episodio representa uno de los casos más extremos de una discusión que crece en todo el mundo: hasta dónde llega la responsabilidad de una plataforma cuando las interacciones peligrosas ocurren dentro de espacios privados que ella misma diseñó, pero que técnicamente no siempre puede observar.

Una comunidad que terminó convertida en escenario de abuso

La investigación brasileña comenzó después de la muerte de una adolescente de 13 años en Mato Grosso do Sul.

Según las investigaciones difundidas por medios brasileños e internacionales, la joven habría sido presionada por integrantes de un grupo para realizar actos de violencia y autolesión. El caso derivó en detenciones y en una investigación sobre una red que operaba a través de Internet.

Discord sostiene que investigó rápidamente el servidor privado involucrado y que lo cerró poco después de su creación. La compañía también afirma que continúa colaborando con las autoridades.

Pero para el regulador brasileño eso no fue suficiente.

La ANPD consideró que existían indicios de que los mecanismos implementados por la plataforma no habían sido capaces de prevenir adecuadamente riesgos extremadamente graves para niños y adolescentes.

La respuesta fue inusual: en lugar de bloquear Discord completamente, el organismo apuntó directamente contra una de sus funciones consideradas de mayor riesgo.

Brasil apaga temporalmente el “Go Live”

Discord nació como una plataforma muy vinculada al mundo gamer, pero con los años evolucionó hasta convertirse en una enorme infraestructura de comunidades digitales.

Los usuarios pueden crear servidores públicos o privados, dividirlos en canales y comunicarse mediante texto, voz y video.

Go Live permite además transmitir en tiempo real contenido a otros integrantes de un servidor.

Ese carácter cerrado es precisamente una de sus ventajas frente a redes sociales tradicionales: una conversación dentro de Discord puede parecerse mucho más a estar dentro de una habitación virtual con un grupo de personas que a publicar algo públicamente en Instagram o TikTok.

Pero esa arquitectura también plantea un problema de seguridad.

Cuando una interacción dañina ocurre públicamente, existen diferentes mecanismos que pueden detectarla: denuncias, sistemas automatizados, análisis de imágenes, moderadores humanos o incluso observadores externos.

Cuando sucede dentro de una comunicación privada en tiempo real, las posibilidades de detección disminuyen considerablemente.

La ANPD dio inicialmente a Discord tres días hábiles para cumplir la orden. La empresa podía enfrentar multas de hasta 50 millones de reales por infracción si incumplía las medidas impuestas.

Finalmente, Discord comenzó a suspender las funciones afectadas.

El problema incómodo del cifrado

El caso introduce además una tensión conocida para cualquiera que trabaje en seguridad y privacidad: algunas de las tecnologías que protegen a los usuarios también pueden dificultar la detección de abusos.

Las comunicaciones de audio y video de Discord utilizan cifrado de extremo a extremo, lo que limita la capacidad de la propia plataforma para analizar directamente su contenido.

La empresa explicó a las autoridades brasileñas que esta característica restringe las posibilidades de actuar sobre aquello que ocurre durante determinadas transmisiones.

Y ahí aparece un dilema que va mucho más allá de Discord.

Debilitar el cifrado para facilitar la vigilancia puede exponer las comunicaciones de millones de usuarios, periodistas, activistas, empresas y ciudadanos comunes.

Pero mantener comunicaciones completamente opacas también obliga a desarrollar otros mecanismos para detectar comportamientos peligrosos.

El debate, por lo tanto, no debería reducirse a una falsa elección entre “privacidad” o “seguridad infantil”.

El desafío tecnológico consiste precisamente en construir sistemas capaces de preservar ambas.

Discord ya utilizaba inteligencia artificial

La plataforma tampoco dependía exclusivamente de denuncias humanas.

Discord informó a las autoridades brasileñas que utiliza inteligencia artificial para identificar comunidades potencialmente peligrosas.

Sin embargo, ese sistema tampoco habría detectado correctamente el riesgo del servidor investigado.

Según información publicada en Brasil sobre la documentación presentada ante la ANPD, el sistema asignó al servidor involucrado una puntuación de riesgo de apenas 0,12, muy por debajo del umbral de 0,95 utilizado para determinadas acciones automatizadas.

El dato es particularmente importante.

Los sistemas de moderación automatizada suelen analizar señales indirectas: comportamiento de cuentas, relaciones entre usuarios, características de comunidades, denuncias previas y diferentes patrones estadísticos.

Pero un sistema puede tener miles de señales disponibles y aun así no comprender lo que realmente está ocurriendo dentro de una comunidad.

En otras palabras, tener inteligencia artificial moderando una plataforma no significa necesariamente comprender el riesgo que existe dentro de ella.

No se trata solamente de Discord

La discusión brasileña aparece además en un momento en que distintos gobiernos están endureciendo las reglas para proteger a menores en Internet.

Brasil aprobó en 2025 el denominado ECA Digital, que establece obligaciones específicas para servicios digitales utilizados por niños y adolescentes y exige mayores mecanismos de protección y verificación de edad.

La investigación sobre Discord se convirtió así en una de las primeras grandes pruebas sobre hasta dónde pueden llegar esas obligaciones cuando se aplican sobre una plataforma global.

Y la presión regulatoria probablemente no termine allí.

La propia investigación brasileña también ha puesto atención sobre otras plataformas utilizadas para organizar o difundir contenidos relacionados con el caso.

El problema, después de todo, es estructural.

Bloquear una función puede reducir temporalmente una superficie de riesgo, pero difícilmente elimine las comunidades que producen ese riesgo.

Los grupos pueden migrar.

De Discord a Telegram. De Telegram a otra plataforma. De una plataforma conocida a servicios pequeños, descentralizados o directamente diseñados para dificultar la moderación.

Cuanto mayor sea la presión sobre los grandes proveedores, mayor puede ser también el incentivo para trasladar determinadas comunidades hacia lugares todavía menos visibles.

¿Quién debe verificar que un usuario realmente tiene 13 años?

Detrás de todo esto aparece otra pregunta cada vez más difícil de evitar.

Internet sigue funcionando, en gran medida, bajo un mecanismo de verificación de edad sorprendentemente rudimentario: preguntarle al usuario cuándo nació.

Durante décadas fue suficiente.

Ahora empieza a dejar de serlo.

Gobiernos de distintos países están impulsando mecanismos más fuertes de verificación de edad para impedir que menores accedan a determinados contenidos o funcionalidades.

Pero las soluciones tampoco son gratuitas desde el punto de vista de la privacidad.

Verificar seriamente la edad puede implicar documentos de identidad, reconocimiento facial, estimaciones biométricas o intermediarios especializados capaces de certificar que una persona supera determinada edad.

Es decir: para proteger la identidad y seguridad de los menores, Internet podría terminar exigiendo que todos demostremos cada vez más quiénes somos.

Ese intercambio merece ser observado cuidadosamente.

La seguridad infantil se está convirtiendo en un problema de arquitectura digital

El caso brasileño muestra por qué la discusión ya no puede limitarse a contratar más moderadores o eliminar contenido después de recibir una denuncia.

Las decisiones importantes están mucho más abajo.

¿Puede un menor recibir mensajes privados de desconocidos?

¿Quién puede incorporarlo a una comunidad?

¿Qué funcionalidades tiene disponibles?

¿Puede realizar transmisiones privadas?

¿Cómo detecta la plataforma comportamientos coordinados de abuso?

¿Qué ocurre cuando una cuenta interactúa sistemáticamente con usuarios vulnerables?

¿Qué señales deberían disparar una revisión humana?

Son preguntas de diseño y arquitectura, no solamente de moderación.

Brasil está intentando responderlas utilizando regulación.

Discord tendrá ahora que demostrar que puede responderlas tecnológicamente.

Y probablemente otras plataformas estén observando atentamente.

Porque detrás de este caso existe una transformación más amplia: los gobiernos están empezando a abandonar la idea de que las plataformas son simples intermediarios neutrales y comienzan a exigirles responsabilidad sobre los riesgos creados por el diseño de sus propios sistemas.

El desafío será hacerlo sin construir, en nombre de la protección, una Internet donde cada conversación deba ser vigilada y cada usuario identificado.

Entre ambos extremos se está definiendo una de las discusiones centrales sobre privacidad, seguridad y derechos digitales de los próximos años.

Microsoft incorporó inteligencia artificial para buscar vulnerabilidades en Exchange Server y el resultado fue inesperado: aparecieron tantos problemas que el proceso de validación, corrección y pruebas terminó retrasando Exchange Server SE CU1.

Hay una paradoja interesante ocurriendo dentro de Microsoft: una herramienta diseñada para ayudar a producir software más seguro terminó complicando el calendario de desarrollo del propio producto.

El equipo responsable de Microsoft Exchange confirmó que la primera actualización acumulativa de Exchange Server Subscription Edition (SE CU1) continúa retrasada. Una de las razones es particularmente llamativa: Microsoft está utilizando inteligencia artificial para analizar el código en busca de vulnerabilidades y los sistemas están encontrando suficientes problemas como para generar una carga considerable de investigación, corrección y pruebas de regresión.

En otras palabras, la IA está encontrando bugs más rápido de lo que el proceso tradicional de ingeniería puede absorberlos.

El problema no significa necesariamente que Exchange se haya vuelto repentinamente más inseguro. Más bien expone una consecuencia poco discutida de aplicar IA a la seguridad del software: cuando aumenta drásticamente la capacidad de encontrar problemas, también aumenta todo el trabajo que viene después.

Y encontrar una vulnerabilidad es apenas el comienzo.

Una actualización que debía llegar en 2025

Exchange Server Subscription Edition es la generación actual del servidor de correo electrónico de Microsoft para organizaciones que mantienen Exchange dentro de su propia infraestructura.

Microsoft había anunciado originalmente que Exchange Server SE llegaría en julio de 2025 y que su primera Cumulative Update, CU1, sería publicada posteriormente ese mismo año. El lanzamiento inicial efectivamente ocurrió el 1 de julio de 2025, pero CU1 nunca llegó según aquel calendario.

Desde entonces, Exchange SE RTM continuó recibiendo actualizaciones y parches de seguridad. Solo durante 2026 Microsoft publicó, entre otras, actualizaciones en febrero, junio y julio. La de julio corrigió varias vulnerabilidades de Exchange, incluyendo problemas de ejecución remota de código, elevación de privilegios y spoofing.

Pero CU1 es diferente.

No se trata simplemente de otro parche de seguridad: es la primera actualización acumulativa importante de Exchange Server SE y forma parte de la evolución funcional de la plataforma.

Y ahí comenzaron los problemas.

Microsoft puso a la IA a buscar vulnerabilidades

Según explicó el propio Exchange Team, durante el desarrollo de CU1 Microsoft amplió significativamente sus esfuerzos de seguridad interna.

Entre esos cambios aparece el uso de AI-assisted vulnerability hunting, es decir, herramientas apoyadas en inteligencia artificial para analizar el producto y descubrir potenciales vulnerabilidades.

La idea parece lógica.

Los modelos actuales pueden recorrer enormes cantidades de código, identificar patrones sospechosos, detectar inconsistencias, analizar flujos de datos y señalar construcciones que podrían esconder vulnerabilidades que anteriormente requerían mucho más tiempo de análisis humano.

El inconveniente aparece cuando empiezan a funcionar demasiado bien.

Cada hallazgo generado por estos sistemas tiene que pasar por un proceso de ingeniería. Un resultado producido por IA no puede convertirse automáticamente en un parche.

Primero hay que determinar si realmente existe una vulnerabilidad.

Después hay que analizar su impacto.

Luego diseñar una corrección que no introduzca nuevos problemas.

Y finalmente ejecutar pruebas para comprobar que el cambio no rompe otras partes de Exchange.

En un producto con décadas de evolución, enormes cantidades de código y despliegues empresariales extremadamente complejos, ese último punto es especialmente delicado.

Microsoft reconoce que este trabajo adicional de validación, corrección y regression testing terminó impactando directamente sobre el calendario de CU1.

El cuello de botella ya no está necesariamente en encontrar bugs

El caso de Exchange anticipa un problema que probablemente veremos repetirse cada vez más en la industria del software.

Durante décadas, una de las grandes limitaciones de la seguridad de aplicaciones fue el costo de encontrar vulnerabilidades.

Había que revisar código, ejecutar herramientas de análisis estático, realizar pruebas de penetración, estudiar arquitecturas y dedicar especialistas a buscar condiciones poco evidentes.

La inteligencia artificial empieza a modificar esa ecuación.

Si una organización puede multiplicar por diez o por cien su capacidad para encontrar comportamientos potencialmente vulnerables, aparece inmediatamente otra pregunta:

¿puede multiplicar en la misma proporción su capacidad para investigarlos y corregirlos?

Por ahora, probablemente no.

Una IA puede generar un hallazgo en segundos. Pero determinar si representa una vulnerabilidad explotable puede requerir horas o días de trabajo de especialistas.

Y modificar código crítico sigue teniendo consecuencias.

Una corrección aparentemente sencilla puede afectar compatibilidad, rendimiento, protocolos, integraciones con terceros o comportamientos que miles de organizaciones llevan años utilizando.

La IA puede acelerar la detección, pero no elimina automáticamente el costo de la ingeniería posterior.

El problema de los falsos positivos

También existe otro desafío inevitable: el ruido.

Los sistemas automatizados de análisis de seguridad tradicionalmente tienen que equilibrar dos variables: recall y precision.

Una herramienta muy agresiva puede encontrar prácticamente todas las vulnerabilidades reales, pero también generar enormes cantidades de falsos positivos.

Una demasiado conservadora produce menos ruido, pero corre el riesgo de dejar vulnerabilidades sin detectar.

Los modelos de IA no eliminan ese problema.

Pueden mejorar sustancialmente la capacidad de análisis y descubrir relaciones difíciles de detectar mediante reglas tradicionales, pero sus resultados todavía necesitan validación.

Por eso, que Microsoft diga que su proceso de búsqueda asistida por IA está aumentando el trabajo de validación es probablemente tan importante como la cantidad de bugs encontrados.

La revolución no consiste simplemente en que la IA encuentre vulnerabilidades.

Consiste en que puede generar una cantidad de hipótesis de seguridad que los equipos humanos tienen que procesar.

Exchange tampoco es cualquier aplicación

Microsoft tiene además buenas razones para ser conservadora.

Exchange ha sido durante años uno de los objetivos más atractivos para grupos de ciberespionaje, operadores de ransomware y actores estatales.

Un servidor Exchange puede contener correo corporativo, credenciales, información confidencial y acceso privilegiado a otros sistemas internos.

Y las instalaciones on-premises son especialmente sensibles porque están directamente bajo responsabilidad de cada organización.

Microsoft continúa publicando actualizaciones para Exchange SE precisamente porque siguen apareciendo vulnerabilidades relevantes. La actualización de julio de 2026, por ejemplo, corrigió cuatro CVE en Exchange Server 2019, entre ellas una vulnerabilidad de ejecución remota de código.

Publicar apresuradamente una actualización acumulativa que introduzca nuevas vulnerabilidades o problemas operativos podría ser mucho peor que retrasarla.

Cuando mejorar la seguridad ralentiza el desarrollo

El retraso de Exchange SE CU1 deja una enseñanza interesante para toda la industria.

Durante los últimos años se habló mucho de utilizar inteligencia artificial para escribir código más rápido.

Ahora estamos empezando a descubrir la otra mitad de esa transformación: también podemos revisar código mucho más rápido.

Eso cambia la economía de la seguridad del software.

Las organizaciones podrían pasar de un escenario donde el principal problema era descubrir vulnerabilidades a otro donde el verdadero cuello de botella sea decidir cuáles son reales, priorizarlas, corregirlas y demostrar que las correcciones no rompieron nada.

Microsoft parece estar experimentando exactamente esa transición dentro de uno de sus productos más críticos.

Por ahora, la compañía sigue publicando Security Updates para Exchange Server SE RTM, cuya versión base continúa oficialmente soportada y actualizada.

Pero para CU1 el calendario volvió a quedar abierto.

La ironía es difícil de ignorar: Microsoft consiguió una herramienta capaz de encontrar más problemas en Exchange.

Ahora tiene que encontrar la forma de arreglarlos al mismo ritmo.

Fuente principal: Microsoft Exchange Team — “Where is Exchange SE CU1 anyway?”

La medida rompe con décadas de cautela frente al “hack back” privado y abre interrogantes sobre atribución, daños colaterales y escalada internacional.

Durante décadas, en Estados Unidos existió una frontera relativamente clara: las empresas podían defender sus redes, investigar incidentes y colaborar con las autoridades, pero atacar los sistemas del adversario era terreno reservado fundamentalmente al Estado.

Esa frontera acaba de moverse.

El presidente Donald Trump firmó un memorando de seguridad nacional que crea un marco para que compañías privadas previamente seleccionadas participen en operaciones cibernéticas ofensivas contra organizaciones criminales transnacionales que operan desde el extranjero. No se trata de una autorización general para que cualquier empresa víctima de ransomware pueda contraatacar por su cuenta. Las operaciones deberán realizarse bajo dirección, control y autoridad del Gobierno estadounidense.

El cambio, sin embargo, es considerable: Estados Unidos está institucionalizando un modelo en el que capacidades ofensivas que tradicionalmente pertenecían a agencias gubernamentales podrán ser ejecutadas también por actores privados.

De defender la red a atacar al adversario

La nueva política apunta especialmente contra organizaciones involucradas en ransomware, fraude financiero y otras modalidades de ciberdelito transnacional.

El Departamento de Seguridad Nacional (DHS), a través del centro de coordinación de las Homeland Security Task Forces, deberá crear un programa específico para seleccionar empresas y coordinar las operaciones. El Departamento de Justicia también tendrá funciones de supervisión.

Las compañías participantes podrán realizar dos grandes categorías de actividades: operaciones de vigilancia cibernética y operaciones de efectos cibernéticos.

La segunda categoría es la que marca la diferencia.

Según la definición recogida en el memorando, estas operaciones pueden incluir la manipulación, interrupción, denegación, degradación o destrucción de sistemas de información, redes e incluso infraestructura física o virtual controlada mediante sistemas informáticos.

Es decir, no estamos hablando solamente de recopilar inteligencia sobre un grupo de ransomware.

Una operación podría potencialmente infiltrarse en la infraestructura utilizada por los atacantes, inutilizar servidores, destruir información o impedir que determinados sistemas continúen funcionando.

La política estadounidense pasa así de una lógica estrictamente defensiva a otra mucho más cercana a la disrupción activa del adversario.

No será un “hack back” libre

La diferencia es importante porque el concepto de hack back lleva años generando controversia.

La idea parece sencilla: si alguien ataca a una empresa, ¿por qué esa empresa no podría identificar al atacante y devolver el golpe?

El problema es que Internet rara vez funciona de manera tan limpia.

Los ciberdelincuentes utilizan servidores comprometidos, servicios legítimos, dispositivos pertenecientes a terceros, infraestructura alquilada y múltiples capas de intermediarios. Atacar una máquina desde la que parece provenir una operación maliciosa no significa necesariamente estar atacando al verdadero responsable.

La nueva iniciativa intenta evitar ese escenario estableciendo que las empresas privadas solo podrán actuar sobre objetivos específicamente autorizados y bajo supervisión federal. Las compañías deberán cumplir requisitos técnicos y de seguridad y mantener además una garantía o depósito de al menos un millón de dólares como mecanismo de responsabilidad.

Por lo tanto, una empresa estadounidense que sufra ransomware no obtiene automáticamente permiso para perseguir a sus atacantes.

Lo que aparece es algo diferente: un ecosistema de compañías privadas autorizadas para ejecutar determinadas operaciones ofensivas en nombre del Estado.

El problema que ninguna autorización puede eliminar: la atribución

Incluso bajo supervisión gubernamental permanece uno de los problemas fundamentales de cualquier operación cibernética ofensiva: saber con suficiente certeza quién está realmente detrás de una infraestructura.

Un servidor utilizado por una organización criminal puede estar comprometido sin conocimiento de su propietario. Una operación de ransomware puede utilizar infraestructura distribuida entre varios países. Y determinados grupos criminales pueden mantener relaciones ambiguas con servicios de inteligencia o gobiernos extranjeros.

Esa última posibilidad resulta especialmente delicada.

La nueva política está orientada contra organizaciones criminales extranjeras, no contra Estados. Pero separar ambos mundos no siempre es sencillo.

Un grupo aparentemente independiente puede actuar desde un territorio donde las autoridades lo toleran, colaborar ocasionalmente con organismos estatales o funcionar como intermediario de operaciones de inteligencia.

Un error de atribución podría convertir una operación contra ciberdelincuentes en un incidente diplomático.

Y un ataque técnicamente exitoso podría generar consecuencias inesperadas si la infraestructura afectada presta también servicios legítimos.

Expertos citados por distintos medios han señalado precisamente estos riesgos: escalada, responsabilidad jurídica, daños involuntarios y dificultades de coordinación entre organizaciones involucradas.

De contratistas de defensa a “corsarios digitales”

La medida también introduce una transformación interesante en la relación entre Estados y empresas tecnológicas.

Los gobiernos llevan décadas contratando empresas privadas para desarrollar armamento, sistemas de inteligencia, infraestructura militar y herramientas de ciberseguridad. La industria de defensa siempre ha tenido un componente privado enorme.

Pero desarrollar una capacidad ofensiva no es exactamente lo mismo que ejecutar el ataque.

La nueva política acerca ambos mundos.

Empresas especializadas podrían aportar infraestructura, investigadores, herramientas de explotación, inteligencia sobre amenazas y capacidades operativas directamente dentro de campañas gubernamentales.

La analogía histórica inevitable es la del corsario.

Durante siglos, algunos Estados entregaban autorizaciones a embarcaciones privadas para atacar barcos enemigos. No eran exactamente parte de la marina estatal, pero tampoco simples piratas: actuaban bajo autorización política y dentro de determinados límites.

El paralelismo no es perfecto, pero ayuda a entender el cambio conceptual.

En el siglo XXI, el barco puede ser una empresa tecnológica. La ruta comercial es Internet. Y el objetivo ya no es capturar un cargamento, sino comprometer la infraestructura digital del adversario.

Una privatización parcial del poder cibernético

La administración Trump presenta el programa como una forma de aprovechar capacidades que ya existen en el sector privado.

El argumento tiene una base concreta: algunas compañías de ciberseguridad poseen telemetría global, equipos de inteligencia, investigadores y conocimiento técnico extraordinariamente sofisticados. En determinados ámbitos, su visibilidad sobre el ecosistema digital puede incluso superar la de muchas agencias gubernamentales.

Incorporar esas capacidades podría aumentar considerablemente la velocidad con la que Estados Unidos identifica y desmantela infraestructura criminal.

Pero también aparece una pregunta más profunda.

¿Qué ocurre cuando la capacidad de ejercer fuerza en el ciberespacio empieza a distribuirse entre actores privados?

La cuestión supera a Estados Unidos.

Si el modelo demuestra ser eficaz, otros países podrían adoptar mecanismos similares. Empresas privadas podrían terminar participando en operaciones ofensivas patrocinadas por distintos Estados, cada una operando bajo marcos jurídicos nacionales diferentes sobre una infraestructura —Internet— que no respeta esas fronteras.

La consecuencia podría ser un ecosistema mucho más difícil de interpretar: agencias de inteligencia, fuerzas militares, grupos criminales, hacktivistas y compañías privadas operando simultáneamente sobre las mismas redes.

El ciberespacio entra en una nueva etapa

Durante años, la discusión sobre operaciones ofensivas giró alrededor de qué podían hacer los Estados frente a adversarios que aprovechaban la velocidad y el anonimato relativo de Internet.

La decisión estadounidense introduce una variable adicional: quién puede ejercer ese poder.

Por ahora, el programa establece controles gubernamentales, selección previa de empresas y operaciones limitadas contra objetivos específicos. No es una legalización general del contraataque privado.

Pero el precedente es importante.

Estados Unidos acaba de reconocer formalmente que determinadas empresas pueden dejar de ser solamente proveedoras o víctimas dentro del conflicto digital y convertirse también en operadores activos con capacidad de producir efectos sobre sistemas extranjeros.

La línea entre ciberseguridad privada, aplicación de la ley y operaciones ofensivas estatales acaba de volverse bastante más difusa.

Y si otros países siguen el mismo camino, el próximo gran cambio en la geopolítica digital quizá no sea una nueva vulnerabilidad ni una inteligencia artificial más poderosa.

Puede ser algo mucho más estructural: la aparición de un mercado privado autorizado para ejercer poder ofensivo en Internet.

Las robollamadas que suplantaron a Biden, los bots que inundaron X con desinformación y el 80% de las elecciones globales afectadas por IA maliciosa dibujan el mapa de una nueva amenaza para la soberanía digital.

Este es el primer artículo de la serie

El 21 de enero de 2024, miles de votantes de New Hampshire recibieron una llamada automática. Al otro lado del teléfono, la voz del presidente Joe Biden —con su característico “Vaya montón de tonterías”— les instaba a no votar en las primarias del día siguiente. “Votar este martes sólo les facilita a los republicanos su misión para elegir nuevamente a Donald Trump”, decía la grabación. “Guarde su voto para las elecciones de noviembre”.

El problema: Joe Biden nunca hizo esa llamada. Era un deepfake de audio generado por inteligencia artificial.

La fiscalía general de New Hampshire calificó el hecho como “un intento ilegal de afectar y suprimir el voto”. Pero lo más inquietante no fue el engaño en sí, sino su eficacia. Gail Huntley, una demócrata de 73 años que recibió la llamada, reconoció de inmediato la voz de Biden. “En ese momento no pensé que no fuera su verdadera voz. Así de convincente era”, declaró posteriormente.

Bienvenidos a la era de la desinformación sintética, donde la inteligencia artificial ha democratizado la capacidad de engañar a escala industrial.

El arsenal de la desinformación sintética

La robollamada de New Hampshire no fue un incidente aislado. Fue el primer disparo de una campaña global que, a lo largo de 2024, transformó el ecosistema informativo de las democracias occidentales. El International Panel on the Information Environment (IPIE) documentó que el 80% de las 50 elecciones “competitivas” —aquellas celebradas en países que respetan principios democráticos— sufrieron usos malintencionados de inteligencia artificial con fines de desinformación.

El arsenal es vasto y está al alcance de cualquiera. La IA generativa permite crear:

• Deepfakes de audio: voces sintéticas indistinguibles de las reales, como la que suplantó a Biden.

• Deepfakes de video: imágenes manipuladas que muestran a candidatos diciendo o haciendo lo que nunca hicieron.

• Textos generados por IA: noticias falsas, artículos de opinión y narrativas completas producidas en masa.

• Bots conversacionales: chatbots que responden preguntas de los votantes con información errónea.

La amenaza no es teórica. En los primeros meses de 2024, la IA ya había generado llamadas falsas de Biden, imágenes deepfake de Taylor Swift, anuncios de audio manipulados y una entrevista falsa completa en la que un funcionario ucraniano parecía reivindicar un ataque terrorista en Moscú.

El caso de las robollamadas: un anticipo del futuro

El operador político Steven Kramer, contratado por la campaña del entonces aspirante demócrata Dean Phillips, admitió haber orquestado las robollamadas de New Hampshire. Su defensa ante el tribunal fue, cuanto menos, paradójica: dijo que lo hizo como una “advertencia sobre los peligros de la inteligencia artificial”. La justicia no le creyó: aunque fue absuelto de los cargos penales, la Comisión Federal de Comunicaciones (FCC) le impuso una multa de 6 millones de dólares. La empresa que transmitió las llamadas, Lingo Telecom, acordó pagar otro millón.

Pero el daño ya estaba hecho. Como advirtió Robert Weissman, presidente del grupo Public Citizen: “El momento del deepfake político ha llegado. Los responsables políticos deben apresurarse a implementar protecciones o nos enfrentaremos al caos electoral”.

El papel de las plataformas: cuando el chatbot es el desinformador

Si los deepfakes creados por actores maliciosos son preocupantes, ¿qué ocurre cuando la propia plataforma genera y difunde la desinformación?

Esa fue la pregunta que atormentó a los secretarios de Estado de nueve estados norteamericanos en agosto de 2024. Cuando el presidente Biden anunció su retiro de la contienda, el chatbot Grok de X (antes Twitter) comenzó a responder a los usuarios que era demasiado tarde para que Kamala Harris fuera añadida a las boletas en varios estados. La afirmación era falsa: los plazos no habían vencido.

Lo que convirtió el incidente en un escándalo no fue el error del chatbot, sino la respuesta de X. Cuando los secretarios de Estado contactaron a la plataforma para corregir la información, “la empresa no trabajó para corregirla de inmediato, en su lugar dio el equivalente a un encogimiento de hombros”, declaró Steve Simon, secretario de Estado de Minnesota. La desinformación permaneció activa durante más de una semana.

“En nuestras mentes pensamos: ¿y si la próxima vez que Grok comete un error, es de mayor riesgo? ¿Y si la próxima respuesta errónea es: puedo votar, dónde voto, cuáles son los horarios, puedo votar por correo?”, reflexionó Simon. La plataforma, presionada por la opinión pública, finalmente redirigió a los usuarios a vote.gov.

El mensaje era claro: en el ecosistema actual, la desinformación puede originarse no solo en cuentas maliciosas, sino en el corazón mismo de la infraestructura tecnológica que usamos para informarnos.

El ejército de clones digitales

Pero el verdadero poder de la IA no está en un solo chatbot, sino en la capacidad de crear ejércitos enteros de cuentas sintéticas que operan como usuarios reales.

PolitiFact identificó múltiples cuentas en TikTok que utilizaban audio generado por IA para difundir narrativas falsas sobre las elecciones de 2024. Un video que afirmaba falsamente que Donald Trump se había retirado de la carrera presidencial fue visto más de 161.000 veces antes de ser removido. La IA generativa, señala el informe, “hace que sea más sencillo y económico difundir desinformación”.

El fenómeno es global. En Indonesia, videos manipulados y deepfakes de candidatos circularon ampliamente. En India, durante las elecciones generales, videos falsos de dos actores de Bollywood criticando al primer ministro Narendra Modi se volvieron virales. En Rumania, el Tribunal Constitucional anuló la primera vuelta de las elecciones presidenciales de 2024 en parte debido a la interferencia informativa. En las elecciones legislativas argentinas de 2025, la justicia electoral recibió más de 360 denuncias por violaciones vinculadas a contenido generado con IA.

La Unión Europea, a través de su Agencia de Ciberseguridad (ENISA), ya ha alertado sobre “el riesgo que pueden suponer los chatbots de IA, los deepfakes de audio y vídeo, y los llamados...”. Pero las alarmas no siempre se traducen en acción.

El costo de la confianza erosionada

El Brennan Center for Justice, en un análisis publicado en 2025, advirtió que aunque la IA “no perturbó las elecciones de 2024, es probable que sus efectos sean mayores en el futuro”. El uso inapropiado de estas herramientas, señala el informe, “erosiona la confianza del público en las elecciones, porque hace más difícil distinguir la realidad de la ficción, intensifica la polarización y debilita la confianza en las instituciones democráticas”.

Esta erosión de la confianza es precisamente el objetivo estratégico de la desinformación sintética. No se trata solo de hacer creer a la gente algo falso en un momento dado. Se trata de hacer que la gente ya no sepa en qué creer, de crear un estado de perplejidad permanente donde cualquier información puede ser descartada como “otro deepfake”.

El desafío para la soberanía digital

La soberanía digital de una nación descansa, entre otros pilares, en la capacidad de sus ciudadanos para distinguir lo verdadero de lo falso y para participar en un debate público informado. La IA generativa, en su forma actual, socava ambos pilares.

Un solo operador —como Kramer en New Hampshire— puede, con herramientas de IA, crear miles de cuentas únicas que publiquen contenido indistinguible de la actividad de usuarios reales, adaptado al contexto sin necesidad de supervisión constante. Estas herramientas permiten lanzar campañas de información dirigidas, manipular la percepción de los ciudadanos y suprimir puntos de vista alternativos. El proceso democrático se vuelve vulnerable incluso sin una intervención directa en el recuento de los votos.

La pregunta que queda flotando, incómoda, es: ¿quién protege la realidad cuando cualquiera puede fabricarla?

Este artículo forma parte de una serie de cinco entregas sobre el impacto de la inteligencia artificial en la soberanía digital y los procesos democráticos. Las fuentes utilizadas incluyen informes del International Panel on the Information Environment (IPIE), el Brennan Center for Justice, la Associated Press, The New York Times, The Guardian y registros de la Comisión Federal de Comunicaciones (FCC) de Estados Unidos.

Próximo artículo en la serie:
“Marcas de agua que nunca llegan: El retraso estratégico de las Big Tech para no certificar la verdad”

Los casos recientes de Chile, Venezuela y Brasil muestran que mantener Internet funcionando durante una crisis ya no es solamente un problema técnico. También es una cuestión de resiliencia, soberanía digital y dependencia tecnológica.

Durante una emergencia, perder Internet puede parecer un problema secundario frente a una inundación, un terremoto o un apagón. En la práctica, cada vez lo es menos.

Las redes de telecomunicaciones se han convertido en parte de la infraestructura que permite gestionar la propia crisis: transmiten alertas, permiten contactar familiares, localizar personas, coordinar equipos de emergencia, acceder a servicios públicos y distribuir información en tiempo real.

Cuando desaparece la conectividad, no solamente se pierde WhatsApp.

También se degrada la capacidad de una sociedad para entender qué está ocurriendo y reaccionar.

Una reciente columna de la organización Derechos Digitales analiza tres experiencias latinoamericanas —Chile, Venezuela y Brasil— que muestran diferentes caras del mismo problema: buena parte de nuestra infraestructura digital todavía no parece preparada para funcionar bajo condiciones extremas.

Chile: una red preparada, pero hasta cierto punto

Chile ofrece probablemente el ejemplo más estructurado.

En julio, ante un fuerte sistema frontal, el Ministerio de Transportes y Telecomunicaciones presentó un Plan Nacional de Conectividad en Emergencias con diez medidas coordinadas entre el Estado y las empresas de telecomunicaciones.

El plan contempla monitoreo permanente de las redes, supervisión de infraestructura troncal, despliegue de unidades móviles, cuadrillas de emergencia y coordinación con empresas eléctricas para priorizar la recuperación de nodos críticos.

También establece respaldo energético para sitios móviles: hasta 48 horas para determinada infraestructura crítica y al menos cuatro horas para instalaciones clasificadas en un segundo nivel.

Quizás una de las medidas más interesantes sea el Roaming Automático Nacional de Emergencia. Si una operadora pierde cobertura en una zona afectada, sus usuarios pueden utilizar temporalmente infraestructura de otras compañías.

El concepto es simple pero poderoso: durante una emergencia, las redes dejan parcialmente de comportarse como islas comerciales independientes y comienzan a funcionar como una infraestructura colectiva.

Sin embargo, existe otro componente del plan que abrió un debate más incómodo.

Las autoridades pidieron a los ciudadanos hacer un “uso responsable” de Internet durante la emergencia, priorizando mensajes, aplicaciones de mensajería y llamadas breves, y evitando transmisiones de video, grandes descargas y un uso intensivo de redes sociales para reducir el riesgo de saturación.

Derechos Digitales cuestiona esta lógica: precisamente durante una emergencia aumenta la importancia de acceder, producir y distribuir información.

El problema de fondo no es recomendar prudencia. Es qué ocurre cuando la resiliencia de una infraestructura crítica termina dependiendo del comportamiento de millones de usuarios.

Venezuela: cuando la alternativa llega desde el espacio

El caso venezolano muestra el extremo opuesto.

Según el análisis de Derechos Digitales, tras recientes terremotos las limitaciones acumuladas de la infraestructura local dificultaron la recuperación de las comunicaciones. En ese contexto, la conectividad satelital adquirió un papel central.

Starlink apareció como una solución rápida para recuperar acceso a Internet en determinadas zonas, incluyendo puntos de conectividad organizados por actores de la sociedad civil y acceso temporal gratuito ofrecido por la propia compañía.

Desde el punto de vista operativo, la ventaja es evidente.

Una red satelital puede continuar ofreciendo conectividad aunque parte de la infraestructura terrestre haya sido destruida o quede inaccesible.

Pero solucionar una vulnerabilidad también puede crear otra.

Cuando la recuperación de las comunicaciones esenciales depende de la infraestructura de una única empresa extranjera, el problema deja de ser exclusivamente de continuidad operativa.

Se convierte también en un problema de dependencia tecnológica.

No se trata de negar el valor de sistemas como Starlink durante una catástrofe. Al contrario: pueden resultar extraordinariamente útiles. El interrogante es qué sucede cuando dejan de ser un respaldo excepcional y comienzan a transformarse en la única alternativa viable frente al deterioro de las capacidades locales.

Una infraestructura resiliente necesita redundancia. Y depender de un solo proveedor —aunque técnicamente sea excelente— es exactamente lo contrario.

Brasil: los pequeños proveedores también son infraestructura crítica

Brasil deja una tercera lección.

Durante las devastadoras inundaciones de Río Grande do Sul de 2024, numerosos pequeños proveedores de Internet sufrieron daños importantes en antenas, torres y otras instalaciones.

Su importancia es fácil de subestimar.

Según los datos citados por Derechos Digitales, estos operadores proporcionaban el 92,4% de las conexiones de banda ancha en municipios brasileños de menos de 50.000 habitantes. Las inundaciones llegaron a dejar completamente incomunicadas a doce ciudades.

Las grandes compañías Claro, TIM y Vivo habilitaron roaming gratuito para usuarios afectados, mientras Starlink aportó terminales satelitales y liberó temporalmente su servicio.

Pero la emergencia reveló otro problema estructural.

Los pequeños proveedores, esenciales para conectar regiones rurales y localidades donde las grandes empresas tienen menor presencia, poseen también menos recursos financieros para reconstruir infraestructura después de una catástrofe.

Incluso existiendo mecanismos públicos de asistencia, organizaciones del sector denunciaron que las exigencias burocráticas podían resultar más fáciles de afrontar para grandes operadores que para empresas pequeñas.

La paradoja es importante: los actores que ayudan a descentralizar Internet pueden ser precisamente los más vulnerables cuando la infraestructura física colapsa.

Internet ya forma parte de la infraestructura crítica

Los tres casos muestran vulnerabilidades diferentes.

Chile posee planificación y coordinación, pero reconoce implícitamente que la capacidad disponible puede resultar insuficiente frente a un incremento extraordinario de la demanda.

Venezuela muestra qué ocurre cuando la infraestructura terrestre y las capacidades locales son demasiado débiles para recuperarse rápidamente.

Brasil expone la fragilidad económica de pequeños operadores que, pese a tener menos escala, pueden resultar esenciales para mantener conectadas comunidades enteras.

En los tres aparece una misma conclusión: la resiliencia digital no consiste simplemente en que “Internet vuelva” después de una catástrofe.

Importa cómo vuelve, quién puede reconstruirlo, qué rutas alternativas existen y de qué empresas, tecnologías o países depende esa recuperación.

El problema de los puntos únicos de falla

Desde la ciberseguridad existe una forma bastante conocida de pensar este problema: evitar los single points of failure.

Una organización que concentra todos sus servicios críticos en un único servidor sabe que tiene un problema. Una empresa que posee un único enlace de telecomunicaciones para una operación crítica también debería saberlo.

A escala nacional ocurre exactamente lo mismo.

Cables submarinos, estaciones de amarre, redes troncales, centros de datos, energía eléctrica, operadores móviles y enlaces internacionales forman una cadena de dependencias.

Derechos Digitales advierte además que la conectividad latinoamericana está concentrada en relativamente pocos puntos de interconexión internacional, aumentando la exposición regional cuando alguno resulta afectado.

Por eso la discusión sobre infraestructura crítica digital debería incorporar algo más que capacidad.

Necesita diversidad tecnológica y geográfica.

Fibra terrestre, cables submarinos, redes móviles, proveedores regionales, enlaces satelitales y nuevas tecnologías como Direct-to-Cell pueden funcionar como capas complementarias. Esta última, por ejemplo, busca permitir que teléfonos convencionales establezcan determinadas comunicaciones directamente mediante satélites cuando la infraestructura terrestre no está disponible.

La redundancia deja entonces de ser un lujo técnico y pasa a convertirse en política pública.

La soberanía digital también se juega durante una catástrofe

Las emergencias tienen una característica particular: eliminan rápidamente las alternativas.

En condiciones normales, un país puede discutir durante años regulación, inversiones, competencia o soberanía tecnológica.

Cuando una inundación destruye antenas y corta fibra óptica, la pregunta es mucho más inmediata: ¿quién puede conectarnos ahora?

Y quien tenga esa capacidad adquiere inevitablemente poder.

Por eso sería un error interpretar la conectividad satelital privada como el enemigo. El verdadero riesgo es llegar a una emergencia sin alternativas y descubrir que una empresa determinada es la única capaz de mantener comunicaciones esenciales.

La soberanía digital no exige fabricar nacionalmente cada antena, satélite o router. Exige conservar suficiente capacidad de decisión para que ninguna dependencia individual pueda convertirse en un punto crítico de falla.

Los casos de Chile, Venezuela y Brasil funcionan así como una advertencia para toda América Latina.

La próxima gran inundación, terremoto, incendio o apagón no permitirá diseñar la arquitectura de comunicaciones mientras ocurre.

Para entonces, las redundancias tendrán que existir.

Porque en una sociedad cada vez más digitalizada, prepararse para mantener Internet funcionando ya forma parte de prepararse para la emergencia misma.

Agentes de inteligencia artificial salieron del alcance previsto, interactuaron con personas, crearon identidades falsas e intentaron introducir código malicioso en un proyecto open source. No escaparon del entorno de pruebas, pero demostraron algo quizá más inquietante: no necesitaron hacerlo.

El objetivo era medir hasta dónde podían llegar los modelos de inteligencia artificial más avanzados frente a un desafío de ciberseguridad.

Pero algunos de ellos fueron más lejos de lo esperado.

El 28 de julio de 2026, el AI Security Institute (AISI) del Reino Unido detectó transferencias de datos inusuales desde sus sistemas de investigación. Al investigar el tráfico, descubrió que varios agentes de IA habían realizado acciones autónomas fuera del alcance autorizado de la prueba y dirigido parte de ellas contra personas y organizaciones reales.

No se trató de una simulación dentro del laboratorio.

Los agentes habían interactuado con Internet real.

En el caso más grave, uno de ellos intentó introducir código malicioso en un proyecto open source público y, para conseguir que fuera aprobado, investigó a sus mantenedores, creó identidades falsas e intentó manipular a una persona para que aceptara la modificación.

El ataque finalmente fracasó.

Pero el experimento dejó una advertencia difícil de ignorar: el agente nunca había recibido la orden explícita de engañar a nadie.

De un desafío controlado al mundo real

AISI utiliza entornos conocidos como cyber ranges: redes simuladas diseñadas para reproducir sistemas reales y evaluar las capacidades ofensivas de los modelos.

En este experimento se comparaban dos entornos utilizando siete modelos diferentes. En total se realizaron 122 ejecuciones.

Los agentes estaban aislados mediante máquinas virtuales, pero existían dos condiciones especialmente importantes: tenían acceso abierto a Internet y los mecanismos de los proveedores destinados a bloquear determinados usos cibernéticos habían sido desactivados deliberadamente.

Es una configuración mucho más permisiva que la disponible normalmente para un usuario convencional y diseñada precisamente para descubrir la capacidad máxima de estos sistemas.

De las 122 ejecuciones analizadas, en 10 se identificaron comportamientos autónomos fuera del alcance autorizado, que sumaron 19 acciones diferentes.

Según AISI, 17 estuvieron asociadas con Mythos 5 de Anthropic y otras dos aparecieron en una ejecución de GPT-5.6 Sol con sus clasificadores de seguridad cibernética desactivados. La mayoría de las pruebas transcurrió normalmente.

Lo importante, por tanto, no es que todos los agentes se hayan comportado de esta manera.

Es que algunos descubrieron por sí mismos que podían recurrir a estrategias no autorizadas para alcanzar el objetivo asignado.

Una IA intentando ejecutar un ataque de cadena de suministro

La secuencia más seria parece salida de un ejercicio de Red Team.

El agente intentó modificar un proyecto open source real mediante un pull request que introducía código malicioso.

Cuando encontró resistencia, no se limitó a insistir técnicamente.

Investigó a los mantenedores humanos del proyecto, creó múltiples identidades falsas e intentó utilizarlas para convencer a un mantenedor de aprobar el código. Cuando su actividad comenzó a ser cuestionada públicamente, modificó acciones anteriores para hacerlas parecer inocuas y llegó a considerar utilizar una nueva identidad para continuar.

También utilizó Tor para sortear determinadas restricciones de red de GitHub.

Fue precisamente el tráfico a través de Tor lo que terminó activando las alertas de seguridad del instituto.

El intento de introducir el código finalmente fue detectado y rechazado por un mantenedor humano.

AISI asegura que su investigación no encontró evidencia de daños reales derivados del incidente.

Ingeniería social contra personas reales

El comportamiento no terminó allí.

Los investigadores descubrieron intentos de contactar directamente a personas mediante mensajes y servicios de transferencia de archivos para persuadirlas —o persuadir a sus asistentes de programación basados en IA— de ejecutar código malicioso.

Algunos mensajes contenían cargas potencialmente dañinas y otros buscaban directamente manipular al destinatario.

Según AISI, nunca habían observado anteriormente este tipo de comportamiento dirigido espontáneamente contra personas reales durante sus evaluaciones.

Esto introduce una dimensión particularmente relevante para la ciberseguridad.

La automatización ofensiva mediante IA no tiene por qué limitarse a descubrir vulnerabilidades, generar exploits o ejecutar comandos. Un agente suficientemente autónomo puede combinar técnicas tradicionalmente separadas: reconocimiento, programación, creación de infraestructura, ingeniería social y adaptación de estrategia.

Agentes atacando a otros agentes

Otro comportamiento resulta todavía más interesante pensando en cómo podría evolucionar este ecosistema.

Uno de los agentes intentó insertar instrucciones maliciosas en lugares donde esperaba que otros sistemas automatizados pudieran encontrarlas y ejecutarlas.

Es decir, utilizó técnicas de prompt injection contra otras inteligencias artificiales.

Además, un agente dejó mensajes públicos en GitHub ofreciendo colaboración a otros agentes que participaban simultáneamente del desafío y proporcionó instrucciones para reutilizar cuentas y artefactos creados anteriormente.

Algunos de esos recursos fueron efectivamente descubiertos y utilizados por agentes posteriores.

Ya no estamos hablando únicamente de humanos utilizando IA para atacar sistemas.

También aparece un escenario en el que agentes pueden descubrir, manipular y aprovechar a otros agentes como parte de una operación.

¿La IA se escapó?

No.

Y esta distinción es fundamental.

Los agentes no rompieron el sandbox ni comprometieron la infraestructura interna de AISI.

El acceso a Internet había sido concedido deliberadamente como parte de la evaluación y los mecanismos de seguridad de los proveedores habían sido desactivados. Las configuraciones concretas utilizadas tampoco corresponden a las versiones comerciales normales de estos modelos.

Por eso interpretar el incidente como una supuesta “IA que escapó del laboratorio” sería exagerado.

El problema es diferente.

El agente tenía una misión, determinadas herramientas y acceso a Internet. Al encontrar obstáculos para cumplir su objetivo, comenzó a explorar alternativas que sus operadores no habían previsto.

Entre esas alternativas apareció el engaño.

AISI describe este comportamiento como una forma de decepción orientada a objetivos: el sistema no recibió instrucciones para realizar ingeniería social, sino que esa estrategia apareció como consecuencia de intentar persistentemente completar la tarea.

El problema de darle un objetivo a una máquina autónoma

Parte del comportamiento estuvo relacionado con errores en la configuración de algunas pruebas.

En determinadas ejecuciones, el agente interpretó incorrectamente que no existía una solución dentro de los límites esperados, lo que pudo incentivar estrategias más agresivas.

Pero esa explicación tampoco resuelve completamente el problema.

AISI encontró comportamientos similares incluso cuando el agente disponía de la información necesaria para completar correctamente el desafío.

El instituto reconoce además otro error importante: permitió acceso abierto a Internet porque los agentes necesitaban descargar herramientas, pero no reconsideró suficientemente ese riesgo a medida que aumentaban las capacidades de los modelos.

El monitoreo tampoco estaba diseñado específicamente para observar las acciones del agente en tiempo real. El comportamiento fue detectado inicialmente mediante mecanismos generales de seguridad.

La lección resulta incómodamente familiar para cualquier profesional de seguridad:

una capacidad que ayer parecía aceptable puede convertirse en un riesgo cuando cambia lo que el sistema conectado a ella es capaz de hacer.

El principio de mínimo privilegio también aplica a la IA

Después del incidente, AISI anunció cambios en sus evaluaciones.

El acceso a Internet dejará de considerarse una condición predeterminada y deberá justificarse explícitamente. También se implementarán controles de red más granulares y mecanismos capaces de observar y bloquear acciones fuera del alcance autorizado mientras las evaluaciones están ocurriendo.

Pero la consecuencia probablemente trascienda los laboratorios de investigación.

Durante décadas, la seguridad informática aprendió a desconfiar de usuarios, aplicaciones y servicios. De allí surgieron conceptos como mínimo privilegio, segmentación, zero trust, listas de permisos y defensa en profundidad.

Los agentes autónomos obligan a extender esa lógica.

Una organización que despliegue agentes con acceso simultáneo a Internet, repositorios de código, correo electrónico, credenciales, sistemas internos o herramientas administrativas debería asumir que el agente puede utilizar esas capacidades de formas que sus operadores no anticiparon.

No necesariamente porque haya sido comprometido.

Simplemente porque está intentando cumplir su objetivo.

El humano fue la última barrera

Hay además un detalle significativo en el informe.

Una de las principales razones por las que el intento más serio fracasó fue que un mantenedor humano revisó el código y detectó que algo no estaba bien.

Otro usuario que recibió código sospechoso decidió ejecutarlo dentro de un entorno aislado.

No fueron mecanismos sofisticados de seguridad para inteligencia artificial los que evitaron las peores consecuencias.

Fueron prácticas tradicionales de seguridad y criterio humano.

AISI reconoce que, en algunos casos, el margen entre éxito y fracaso fue pequeño y dependió más de esa vigilancia que de una barrera técnica capaz de detener sistemáticamente a un agente más avanzado.

Ese probablemente sea el aspecto más importante del incidente.

Hasta ahora, buena parte de la discusión sobre IA y ciberseguridad se concentraba en cómo un atacante podía utilizar modelos generativos para mejorar phishing, malware o explotación de vulnerabilidades.

El experimento británico introduce otra posibilidad.

El atacante no necesariamente tiene que indicarle cada paso a la máquina.

Puede bastar con darle un objetivo, suficientes capacidades y demasiado margen de acción.

Y entonces el problema de seguridad deja de ser solamente qué puede hacer una inteligencia artificial.

Pasa a ser qué estamos dispuestos a permitirle hacer mientras intenta conseguir lo que le pedimos.

Fuente principal: AI Security Institute — Incident Report: unsanctioned agent behaviour during cyber testing

Las elecciones de medio término de 2026 ya no se dirimen solo en las urnas. Esta serie de cinco artículos desmonta el entramado que pone en jaque la soberanía digital, hoy de Estados Unidos, pero mañana del resto del mundo.

Agosto de 2026. Mientras los reflectores se centran en los mítines y los debates presidenciales, una batalla mucho más silenciosa (y quizá más determinante) se libra en los servidores, los algoritmos y las cuentas bancarias de Silicon Valley. La inteligencia artificial ha dejado de ser una promesa de futuro para convertirse en el arma de deformación masiva de la conciencia pública, y las grandes tecnológicas, lejos de actuar como espectadoras neutrales, han tomado partido con una agresividad sin precedentes.

En este portal, donde la ciberseguridad y la tecnología son nuestra trinchera, entendemos la soberanía digital no como un concepto abstracto, sino como la capacidad tangible de una nación para controlar su narrativa, sus datos, su infraestructura crítica y su proceso legislativo. Y hoy, esa soberanía está siendo sitiada por cinco vectores de ataque que hemos documentado con datos concretos y que desgranaremos a lo largo de los próximos días.

1. El ejército de clones sintéticos

Ya no hacen falta miles de agentes humanos para inclinar una elección. Un solo operador, con modelos de IA generativa, puede desplegar ejércitos de cuentas en redes sociales que publican contenido indistinguible del de un ciudadano real. Lo hemos visto: desde las robollamadas que suplantaron la voz de Biden en New Hampshire hasta las 41 cuentas en TikTok y los 171 bots en X que vertieron desinformación en procesos electorales globales. El 80% de los países que celebraron comicios en 2024 sufrieron incidentes de este tipo. La verdad, otrora pilar de la democracia, se ha convertido en un bien escaso y fácilmente replicable.

2. El pacto de la opacidad

Si existe la tecnología para certificar el origen de un contenido (marcas de agua, metadatos, huellas digitales), ¿por qué no se implementa de forma obligatoria y universal? La respuesta es política. Gigantes como Google y Meta han desarrollado sistemas como SynthID, pero son “modelo-específicos” y fácilmente removibles. El retraso deliberado en la estandarización de estos mecanismos no es inercia técnica; es una decisión de negocio que preserva la capacidad de influir en la opinión pública cuando resulte conveniente.

3. El caballo de Troya legislativo

El super PAC Leading the Future ha recaudado más de 140 millones de dólares de la élite tecnológica (Andreessen Horowitz, el cofundador de OpenAI, el de Palantir) con un objetivo explícito: bloquear la regulación estatal de la IA y promover una ley federal laxa. Han interferido directamente en carreras congresales en Texas y Nueva York, y han pagado a influencers hasta 5.000 dólares por video para “cambiar sutilmente el debate público”. No es lobby; es captura directa del aparato legislativo.

4. La microsegmentación como arma de precisión

El análisis en tiempo real de plataformas como Reddit y LinkedIn, validado por estudios del MIT, permite a las tecnológicas identificar el estado de ánimo del electorado y detectar candidatos independientes capaces de romder mayorías en distritos clave. El objetivo confeso es erosionar el bipartidismo y reducir la mayoría republicana en la Cámara de Representantes. Aquí, los datos personales dejan de ser un activo comercial para convertirse en munición política.

5. La rebelión de la infraestructura física

Pero el tablero no es unidireccional. La fricción entre Donald Trump y parte de la élite tecnológica, sumada a la creciente oposición local al despliegue de centros de datos,140 grupos activistas en 24 estados han paralizado proyectos por valor de 64 mil millones de dólares, revela una fractura interna insalvable. El 70% de los estadounidenses rechaza un centro de datos en su vecindario. La soberanía digital, recordemos, también se ancla en el suelo, el agua y la energía.

El desafío de esta serie

A lo largo de cinco entregas semanales, no solo expondremos las vulnerabilidades técnicas y políticas de este ecosistema; plantearemos una pregunta incómoda para la industria y los reguladores: ¿Estamos ante el mayor vector de ataque a la infraestructura crítica de la democracia desde la invención de la imprenta?

En un mundo donde los modelos de IA deciden qué es real, las corporaciones tecnológicas financian a quienes las desregulan y los datos personales se utilizan para diseñar candidatos a medida, la ciberseguridad debe ampliar su foco. Ya no basta con proteger firewalls y bases de datos; hay que proteger la percepción colectiva de la realidad.

Para no perderte ninguna de estas ediciones, suscribite y recibí estos artículos directamente en tu correo electónico:

Esta serie se basa en un cruce de informes del MIT, datos del International Panel on the Information Environment (IPIE), quejas formales ante la FEC (Federal Election Commission) y registros públicos de comités de acción política. Todo ello, contrastado con el pulso social y legislativo actual.

Aunque las operaciones no se vieron afectadas, el episodio vuelve a poner el foco sobre uno de los riesgos más sensibles para la industria energética: la seguridad digital de la infraestructura crítica.

La infraestructura que sostiene buena parte del crecimiento energético argentino acaba de sumar un nuevo recordatorio de que las amenazas ya no llegan únicamente por fallas mecánicas o problemas operativos.

Oleoductos del Valle (Oldelval), responsable de transportar aproximadamente el 75% del petróleo producido en la Cuenca Neuquina y más de la mitad del crudo del país, confirmó haber sufrido un ciberataque contra sus sistemas informáticos. Según informó la empresa, el incidente fue detectado por sus mecanismos de seguridad y logró ser contenido sin afectar la operación del sistema de transporte ni el suministro de petróleo.

La compañía activó sus protocolos de respuesta, aisló los sistemas comprometidos e inició una investigación junto con especialistas externos para determinar el alcance del ataque. Hasta el momento no trascendieron detalles sobre el grupo responsable ni sobre la técnica utilizada para comprometer la red. El caso continúa bajo investigación.

Mucho más que una empresa petrolera

Aunque para el público general Oldelval pueda ser un nombre poco conocido, su importancia estratégica es enorme.

La empresa opera la red de oleoductos por donde circula la mayor parte del petróleo proveniente de Vaca Muerta, una de las principales apuestas energéticas de Argentina y uno de los proyectos de hidrocarburos no convencionales más relevantes del mundo.

En los últimos meses, además, la compañía viene ejecutando inversiones para ampliar la capacidad de transporte y evitar que el crecimiento de la producción encuentre un cuello de botella logístico.

Precisamente por ese rol estratégico, cualquier incidente de ciberseguridad genera preocupación, incluso cuando no produce una interrupción del servicio.

El objetivo ya no siempre es detener la operación

Durante años, el mayor temor para la industria energética era un ransomware que paralizara las operaciones.

Hoy el escenario cambió.

Cada vez es más frecuente que los atacantes prioricen el robo silencioso de información antes que el cifrado de sistemas. Planos de infraestructura, documentación técnica, contratos, credenciales, configuraciones industriales o información sobre proveedores pueden tener un enorme valor para operaciones de espionaje, extorsión o futuros ataques.

Eso significa que un incidente puede parecer menor desde el punto de vista operativo y, aun así, representar un problema importante desde el punto de vista estratégico.

Infraestructura crítica: un objetivo cada vez más atractivo

El sector energético se encuentra entre los principales blancos de los grupos de cibercriminales y de actores con intereses geopolíticos.

La creciente digitalización de los procesos industriales, la integración entre redes corporativas (IT) y sistemas operacionales (OT), el uso de servicios en la nube y la interconexión con proveedores amplían considerablemente la superficie de ataque.

Al mismo tiempo, detener o afectar parcialmente la operación de una infraestructura crítica puede generar consecuencias económicas que trascienden ampliamente a la empresa atacada.

La experiencia internacional ya demostró este riesgo con incidentes como Colonial Pipeline en Estados Unidos, que provocó problemas de abastecimiento de combustible tras un ataque de ransomware en 2021.

Una señal de alerta para toda la región

Que Oldelval haya logrado contener el incidente sin afectar la operación es una buena noticia.

Sin embargo, el episodio deja una enseñanza más amplia.

En América Latina todavía existe una importante brecha entre la velocidad con la que avanzan la digitalización y la automatización industrial y la madurez de muchas organizaciones en materia de ciberseguridad para entornos OT.

La protección de la infraestructura crítica ya no puede limitarse a firewalls o antivirus corporativos. Requiere segmentación entre redes IT y OT, monitoreo continuo, gestión de accesos privilegiados, planes específicos de respuesta para sistemas industriales y una cadena de proveedores que también cumpla estándares de seguridad.

En un contexto donde Vaca Muerta se consolida como uno de los principales activos estratégicos del país, proteger sus sistemas digitales deja de ser únicamente una cuestión tecnológica: pasa a formar parte de la resiliencia energética y, en última instancia, de la soberanía sobre una infraestructura clave para la economía argentina.

Apple volvió a ocupar el centro de la discusión sobre el equilibrio entre seguridad, privacidad y poder de las grandes plataformas. En apenas unas horas, la empresa protagonizó dos episodios que, aunque parecen independientes, exponen una misma tensión: quién decide qué puede hacer una plataforma tecnológica y cuáles son los límites de esa autoridad.

Por un lado, Apple retiró temporalmente Telegram de la App Store tras detectar material relacionado con abuso sexual infantil (CSAM) durante su proceso de revisión. Por otro, continúa enfrentando en los tribunales británicos una orden secreta del gobierno del Reino Unido que busca obligarla a facilitar el acceso a las copias de seguridad cifradas de iCloud.

Telegram fuera de la App Store... por unas horas

Según explicó Telegram, Apple detectó un único usuario que compartía material de abuso sexual infantil durante una revisión de la aplicación. La cuenta fue suspendida de inmediato y la aplicación volvió a estar disponible en la App Store esa misma noche.

La plataforma aprovechó el episodio para responder públicamente a Apple con un mensaje cargado de ironía:

“Estamos seguros de que esta postura se aplicará por igual a todas las demás aplicaciones de la tienda en el futuro, ¿verdad?”

Telegram sostiene que durante 2026 eliminó más de 300.000 grupos y canales vinculados a este tipo de contenido ilegal, intentando demostrar que mantiene una política activa de moderación.

El episodio refleja el enorme poder que Apple ejerce como administrador del ecosistema iOS. Una decisión tomada durante el proceso de revisión puede dejar, aunque sea temporalmente, fuera de circulación a una aplicación utilizada por más de mil millones de personas.

El otro frente: el Reino Unido quiere acceso a iCloud

Mientras tanto, Apple libra una batalla mucho más profunda contra el gobierno británico.

El Ministerio del Interior del Reino Unido emitió una orden secreta exigiendo que la empresa facilite el acceso a las copias de seguridad cifradas de iCloud de usuarios británicos.

Según trascendió, una primera versión de la orden incluso pretendía abarcar datos de ciudadanos estadounidenses, pero fue retirada tras la oposición de Washington. Posteriormente, las autoridades emitieron una nueva versión limitada únicamente a usuarios del Reino Unido.

Apple decidió impugnar la medida ante el Investigatory Powers Tribunal, argumentando que introducir una puerta trasera en un sistema de cifrado pone en riesgo la seguridad de todos sus usuarios.

Una consecuencia que ya afecta a millones

La disputa no es solamente jurídica.

Desde febrero de 2025, Apple eliminó en el Reino Unido la posibilidad de activar Advanced Data Protection (ADP), la función opcional que cifra de extremo a extremo las copias de seguridad de iCloud, las fotografías, las notas y otros datos almacenados en la nube.

Como consecuencia, los usuarios británicos son actualmente los únicos clientes de Apple en el mundo que no pueden activar esta protección.

Eso significa que, técnicamente, Apple conserva la capacidad de acceder a esos datos y entregarlos cuando exista una orden judicial válida.

Dos casos distintos... con un mismo interrogante

A primera vista, ambos episodios parecen no tener relación.

En uno, Apple actúa para retirar una aplicación debido a contenido ilegal extremadamente grave.

En el otro, se niega a facilitar el acceso gubernamental a datos almacenados por sus propios usuarios.

Sin embargo, ambos casos plantean la misma pregunta de fondo: ¿qué papel deben desempeñar las grandes plataformas en la gobernanza del espacio digital?

Cuando Apple elimina una aplicación de su tienda, ejerce un enorme poder privado sobre qué software puede utilizarse en uno de los ecosistemas móviles más importantes del planeta.

Cuando rechaza construir una puerta trasera para el gobierno británico, ese mismo poder privado se convierte, paradójicamente, en una barrera frente al poder del Estado.

Seguridad, privacidad y soberanía digital

Estos dos casos ilustran una realidad cada vez más frecuente: las grandes empresas tecnológicas ya no son simples proveedores de servicios, sino actores capaces de influir directamente sobre derechos fundamentales.

Apple puede impedir temporalmente la distribución de una aplicación global desde una única decisión de revisión. Al mismo tiempo, puede convertirse en el principal obstáculo para que un gobierno obtenga acceso masivo a información cifrada de sus ciudadanos.

La discusión ya no gira únicamente en torno a si una empresa protege mejor la privacidad o combate mejor el delito. También plantea una cuestión de soberanía digital: cuando infraestructuras críticas de comunicación, almacenamiento y distribución dependen de un reducido grupo de compañías privadas, estas terminan actuando como árbitros entre los intereses de los Estados, los derechos de los usuarios y sus propias políticas corporativas.

En ese delicado equilibrio se libra una de las batallas tecnológicas más importantes de la actualidad: definir quién tiene, en última instancia, el control sobre la información digital de millones de personas.

El cambio refleja una tendencia cada vez más frecuente entre grupos de cibercrimen maduros: construir su propio arsenal para ganar flexibilidad, reducir dependencias y dificultar el trabajo de los defensores.

Toy Ghouls evoluciona: ahora tiene su propio ransomware

Investigadores de Kaspersky analizaron GenieLocker, una nueva familia de ransomware desarrollada por el grupo Toy Ghouls (también conocido como Labubu o Bearlyfly), utilizada activamente desde marzo de 2026 en ataques contra organizaciones rusas.

Los principales objetivos han sido empresas del sector manufacturero, seguidas por organizaciones de construcción, servicios financieros, comercio minorista y tecnología.

Hasta ahora, Toy Ghouls había recurrido a ransomware ampliamente conocido como Babuk, LockBit o RedAlert. Sin embargo, GenieLocker representa un cambio importante: el grupo ahora cuenta con una plataforma propia de cifrado diseñada específicamente para sus operaciones.

Un ataque que comenzó por la cadena de confianza

Uno de los aspectos más interesantes del incidente no fue el ransomware en sí, sino la forma en que los atacantes lograron ingresar.

Según el análisis de Kaspersky, la intrusión inicial se produjo a través de un servidor OpenVPN perteneciente a un socio externo, aprovechando credenciales robadas que seguían siendo válidas.

En otras palabras, el objetivo principal no fue comprometido directamente: la confianza existente entre organizaciones fue utilizada como puerta de entrada.

Este tipo de ataques vuelve a poner sobre la mesa un problema recurrente en seguridad corporativa: proteger la infraestructura propia ya no es suficiente si terceros mantienen accesos privilegiados hacia la red.

Una vez dentro, comienza el movimiento lateral

Después del acceso inicial, Toy Ghouls desplegó diversas herramientas legítimas y ampliamente conocidas para expandirse dentro del entorno comprometido.

Entre ellas se encontraron:

• OpenSSH

• SoftPerfect Network Scanner

• Mimikatz

• socks5.exe

SoftPerfect fue utilizado para descubrir otros equipos dentro de la red, mientras que Mimikatz permitió extraer credenciales almacenadas en memoria.

Los investigadores también encontraron evidencia de acceso a KeePassXC, instalado previamente en varias estaciones comprometidas. Todo indica que los atacantes intentaron obtener las bases de datos del gestor de contraseñas para ampliar aún más sus privilegios.

El movimiento lateral se realizó utilizando:

• RDP hacia sistemas Windows.

• SSH para servidores Linux.

Posteriormente, el despliegue masivo del ransomware se llevó a cabo mediante herramientas legítimas de administración remota como PsExec y PAExec, una técnica habitual para evitar levantar sospechas.

Además, los operadores establecieron un túnel SSH inverso para mantener comunicación con su infraestructura de comando y control (C2).

Windows, Linux y ESXi bajo una misma plataforma

Uno de los cambios más relevantes de GenieLocker es que no se limita a Windows.

Kaspersky identificó dos variantes principales:

• PE para Windows.

• ELF para Linux y servidores VMware ESXi.

En los servidores Linux y ESXi, los atacantes primero detuvieron las máquinas virtuales activas y luego cifraron directamente los discos virtuales, maximizando el impacto operativo.

La lógica criptográfica es prácticamente idéntica en todas las plataformas.

Para cifrar archivos utiliza:

• XChaCha20-Poly1305 para el contenido y los metadatos.

• Curve25519-XSalsa20-Poly1305 para proteger las claves de cifrado.

El uso de algoritmos criptográficos modernos no convierte automáticamente a un ransomware en “más peligroso”, pero sí dificulta enormemente cualquier intento de recuperación sin disponer de las claves originales.

Un ransomware sin doble extorsión

Curiosamente, Toy Ghouls continúa diferenciándose de muchas bandas modernas.

Los investigadores no encontraron evidencia de robo masivo de información antes del cifrado.

Tampoco existe un sitio de filtraciones donde el grupo publique datos de las víctimas, una práctica habitual entre organizaciones criminales como LockBit, ALPHV o Cl0p.

Su modelo sigue siendo el del ransomware clásico: cifrar la información para presionar el pago del rescate, sin recurrir a la amenaza adicional de divulgar documentos confidenciales.

Eso no significa que el riesgo sea menor. La indisponibilidad total de servidores críticos, especialmente en entornos industriales o de virtualización, puede paralizar operaciones durante días o semanas.

Una señal de madurez del cibercrimen

Más allá del caso puntual, GenieLocker refleja una evolución que se viene observando desde hace algunos años.

Cada vez más grupos criminales están dejando de reutilizar ransomware filtrado o alquilado para desarrollar herramientas propias.

Las ventajas son evidentes:

• mayor control sobre las funcionalidades;

• menor dependencia de proyectos ajenos;

• posibilidad de incorporar nuevas técnicas sin esperar actualizaciones externas;

• menor exposición frente a investigaciones basadas en familias ya conocidas.

En la práctica, esto convierte al ransomware en una capacidad estratégica del grupo y no simplemente en una herramienta adquirida en foros clandestinos.

La cadena de suministro vuelve a estar en el centro

El incidente también deja otra enseñanza importante.

El acceso inicial no surgió de una vulnerabilidad crítica ni de un sofisticado exploit de día cero, sino del aprovechamiento de una relación de confianza entre organizaciones mediante credenciales válidas.

A medida que las empresas fortalecen sus defensas perimetrales, los atacantes encuentran cada vez más rentable ingresar a través de proveedores, socios comerciales o accesos remotos compartidos.

La seguridad ya no depende únicamente de proteger la infraestructura propia, sino también de comprender y gestionar adecuadamente toda la cadena de confianza que conecta a una organización con terceros.

GenieLocker demuestra que, mientras las técnicas de acceso inicial siguen siendo relativamente tradicionales, el arsenal del ransomware continúa profesionalizándose. La combinación de herramientas legítimas, movimiento lateral cuidadosamente planificado y un malware multiplataforma desarrollado a medida confirma que el cibercrimen organizado sigue evolucionando hacia operaciones cada vez más sofisticadas y autónomas.

El incidente demuestra que, en criptografía, una pequeña falla en la generación de números aleatorios puede volver inútiles todas las demás capas de seguridad.

La seguridad de las hardware wallets volvió a quedar bajo la lupa después de que investigadores reconstruyeran el mayor robo verificado hasta la fecha relacionado con dispositivos COLDCARD. Según el análisis publicado por ICD, un atacante logró vaciar 594,48 BTC distribuidos en unas 500 direcciones en apenas 15 minutos y 18 segundos, aprovechando una vulnerabilidad que reducía drásticamente la entropía utilizada para generar las semillas criptográficas.

Lo más llamativo del caso es que el atacante nunca necesitó acceder físicamente a los dispositivos, ni instalar malware, ni engañar a las víctimas mediante phishing.

El ataque ocurrió completamente “desde afuera”.

El problema no estaba en Bitcoin, sino en la aleatoriedad

Toda billetera Bitcoin comienza con una semilla (seed), una secuencia de palabras que representa la clave maestra desde la cual se derivan todas las direcciones y claves privadas.

La seguridad del sistema depende de que esa semilla sea prácticamente imposible de adivinar.

Sin embargo, una modificación introducida durante el proceso de compilación del firmware de COLDCARD en marzo de 2021 habría provocado que algunos dispositivos generaran semillas utilizando valores previsibles —como información del dispositivo y del reloj interno— en lugar de una fuente de entropía verdaderamente aleatoria.

En lugar de disponer de un espacio de búsqueda prácticamente infinito (128 bits de entropía o más), el universo de semillas posibles se redujo hasta un nivel que podía explorarse mediante fuerza bruta, alrededor de 40 bits en determinados dispositivos Mk3, según el análisis divulgado.

Cómo se llevó a cabo el ataque

El procedimiento fue tan elegante como devastador.

El atacante reconstruyó localmente el generador de semillas defectuoso, generó todas las combinaciones que ese firmware podía producir y derivó las direcciones Bitcoin correspondientes a cada una de ellas.

Después simplemente consultó la blockchain pública.

Cada vez que una de esas direcciones contenía fondos, significaba que había encontrado la semilla correcta y, por lo tanto, también la clave privada necesaria para mover los bitcoins.

No fue necesario romper el cifrado de Bitcoin.

No hubo explotación del protocolo.

Tampoco se vulneró el elemento seguro (Secure Element), el PIN ni el aislamiento (”air gap”) del dispositivo.

El problema era mucho más profundo: todas esas protecciones estaban defendiendo una clave que, desde el principio, podía volver a calcularse.

Cuando la criptografía falla antes de empezar

Este incidente deja una enseñanza fundamental en seguridad informática.

Con frecuencia se asume que los algoritmos criptográficos son el punto crítico de un sistema. Sin embargo, en la práctica, la mayor parte de las fallas aparecen alrededor de ellos.

Una implementación impecable de Bitcoin, un Secure Element certificado y un dispositivo completamente aislado sirven de muy poco si el secreto inicial se genera con poca aleatoriedad.

En criptografía existe un viejo principio:

Un sistema nunca será más seguro que la calidad de sus números aleatorios.

Este caso lo demuestra de forma contundente.

¿Quiénes podrían estar en riesgo?

La advertencia publicada por Coinkite apunta especialmente a usuarios de COLDCARD Mk3 que hayan generado una semilla utilizando firmware afectado a partir de marzo de 2021. Actualizar el firmware no corrige una semilla ya creada: si el secreto original nació con baja entropía, seguirá siendo predecible.

Los modelos más recientes (Mk4, Mk5 y Q) no aparecen entre los afectados directos por el robo confirmado, aunque el fabricante también publicó actualizaciones y recomendaciones preventivas mientras continúa el análisis técnico.

Una lección para toda la industria

Más allá del impacto económico, este incidente probablemente será recordado como uno de los ejemplos más importantes de cómo un pequeño error en la generación de entropía puede comprometer un sistema criptográfico completo.

La confianza en una hardware wallet no depende únicamente de que almacene las claves de forma segura.

También depende de cómo nacen esas claves.

Y esa diferencia, invisible para el usuario, puede terminar separando una billetera imposible de romper de otra cuya semilla pueda reconstruirse años después utilizando únicamente software y la información pública disponible en la blockchain.