OpenAI, Google y Microsoft firmaron una carta sobre ciberseguridad. Va dirigida a tu empresa, no a la de ellos.

En abril OpenAI empezó a advertirlo. Cuatro meses después, ya no está hablando solo.

El 27 de agosto, más de un centenar de organizaciones —entre ellas OpenAI, Anthropic, Microsoft, Google, AWS, Cloudflare, CrowdStrike, Mastercard, Visa, Cisco, IBM, Fortinet y Palo Alto Networks— hicieron un llamado conjunto para fortalecer urgentemente la ciberdefensa.

La frase con la que comienza la carta debería llamar la atención de cualquier director de empresa:

“Tenemos una ventana limitada para fortalecer las defensas cibernéticas.”

No dice que algún día tendremos un problema.

Habla de los próximos meses.

Los firmantes anticipan que los ataques potenciados por inteligencia artificial serán mucho más extendidos y sofisticados conforme aumenten las capacidades de los modelos. Y ponen especial atención en la infraestructura de la que dependemos todos los días: hospitales, plantas de tratamiento de agua, servicios públicos y la propia infraestructura de Internet.

Pero para mí, lo más interesante de la carta no es la advertencia sobre la inteligencia artificial.

Es lo que reconoce sobre todo lo que ya estaba mal antes de que llegara la IA.

El problema no empezó con ChatGPT

Durante años hemos hablado de inteligencia artificial como si su llegada hubiera creado una nueva categoría de riesgo.

No exactamente.

Muchos de los problemas que ahora preocupan a la industria tecnológica llevan años dentro de nuestras organizaciones.

Software sin actualizar.

Sistemas heredados que nadie quiere tocar porque “todavía funcionan”.

Permisos que alguna vez se otorgaron y nunca se retiraron.

Configuraciones incorrectas.

Autenticaciones débiles.

Vulnerabilidades conocidas que siguen pendientes.

Y una enorme deuda técnica acumulada.

Eso no es interpretación: la propia carta enumera longstanding bugs, excessive permissions, misconfigurations, insecure and unpatched software, weak authentication y deuda técnica en sistemas heredados entre las condiciones que han dejado expuestas a las organizaciones.

La IA no creó toda esa vulnerabilidad. La encontró.

Y, sobre todo, está cambiando la velocidad y la escala con la que puede aprovecharse.

Lo que cambió fue la velocidad

Tradicionalmente, determinadas operaciones cibernéticas requerían conocimientos especializados, herramientas, recursos y tiempo.

La IA está reduciendo algunas de esas barreras de entrada y aumentando la velocidad y la escala con la que determinadas capacidades ofensivas pueden utilizarse.

También puede ayudar a encontrar vulnerabilidades, razonar sobre grandes cantidades de código, automatizar tareas y acelerar algunas operaciones de seguridad.

OpenAI viene advirtiéndolo desde hace meses.

El 14 de abril publicó “Trusted access for the next era of cyber defense” y anunció la expansión de su programa Trusted Access for Cyber, además de GPT-5.4-Cyber, una variante orientada a usos defensivos de ciberseguridad.

El 29 de abril dio otro paso y publicó Cybersecurity in the Intelligence Age, un plan de cinco puntos. Ahí explicaba que las mismas capacidades que permiten a los defensores encontrar vulnerabilidades, automatizar correcciones y responder más rápido también pueden ser utilizadas por actores maliciosos para escalar ataques, reducir barreras de entrada y aumentar su sofisticación.

Y durante agosto la preocupación siguió escalando.

El 7 de agosto OpenAI informó que sus evaluaciones internas de Astra, uno de sus próximos modelos, mostraban avances significativos en programación con agentes y ciberseguridad. La empresa concluyó que ya no podía descartar que el modelo alcanzara capacidades cibernéticas críticas bajo su Preparedness Framework.

Tres días después, el 10 de agosto, amplió su programa Daybreak Cyber junto con socios de servicios y tecnología como Accenture, IBM, Capgemini, KPMG, PwC, Palo Alto Networks, CrowdStrike, Cisco, Fortinet y Cloudflare.

OpenAI afirmó entonces que los atacantes avanzan más rápido de lo que muchos equipos de seguridad pueden responder y planteó Daybreak como parte de un esfuerzo para cerrar esa brecha.

Y entonces llegamos al 27 de agosto.

La advertencia dejó de ser solamente de OpenAI.

Cuando competidores se ponen de acuerdo, vale la pena escuchar

Hay algo particularmente relevante en ver juntas a empresas que compiten ferozmente entre ellas.

OpenAI y Anthropic.

Microsoft y Google.

AWS.

Empresas de ciberseguridad como CrowdStrike, Cloudflare, Fortinet, Palo Alto Networks, Check Point, Darktrace, Sophos y Zscaler.

Instituciones financieras y medios de pago como BBVA, Citi, Mastercard, Visa, PayPal y U.S. Bank.

Consultoras como Accenture, BCG, Capgemini, KPMG y PwC.

Todas esas organizaciones aparecen en la lista oficial de firmantes publicada por OpenAI.

No están de acuerdo en todo.

Pero sí parecen estar de acuerdo en esto:

seguir haciendo lo mismo en ciberseguridad ya no es suficiente.

La expresión que utiliza la carta es muy precisa: “status quo security won’t be enough.”

Eso no significa que todo lo que hemos hecho hasta ahora deje de funcionar.

Significa que el contexto cambió.

Y nuestras defensas tienen que cambiar con él.

Esto ya no puede quedarse en el departamento de TI

Hay otra frase de la carta que, para quienes dirigimos empresas, me parece incluso más importante que toda la discusión tecnológica.

La primera recomendación está dirigida a todas las organizaciones:

Convertir la ciberdefensa en una prioridad inmediata de liderazgo.

No dice que compremos otra herramienta.

No dice que contratemos otro antivirus.

No dice que le preguntemos al responsable de sistemas si “estamos protegidos”.

Habla de liderazgo.

Porque una vulnerabilidad tecnológica puede terminar convertida en una interrupción operativa, una pérdida financiera, una filtración de información, un problema regulatorio o una crisis reputacional.

Y entonces deja de ser un problema de sistemas.

Es un problema del negocio.

La carta propone acciones bastante menos espectaculares que hablar de hackers utilizando superinteligencia: corregir primero las vulnerabilidades de mayor riesgo, verificar las correcciones, implementar el principio de mínimo privilegio, fortalecer los controles de acceso, utilizar defensa en profundidad y sustituir o actualizar sistemas cuando sea necesario.

Cuando un sistema crítico no puede parchearse sin afectar un servicio esencial, recomienda implementar y verificar controles compensatorios.

Es decir: hacer bien muchas cosas que ya deberíamos estar haciendo.

La IA también puede ser parte de la defensa

Aquí hay un punto que no podemos perder porque, de lo contrario, terminaríamos cayendo en otra narrativa apocalíptica sobre inteligencia artificial.

La misma tecnología que aumenta las capacidades del atacante también aumenta las capacidades del defensor.

La IA puede ayudar a encontrar vulnerabilidades, priorizar riesgos, analizar código, acelerar remediaciones y poner capacidades especializadas al alcance de equipos que antes no podían tenerlas.

De hecho, uno de los principios de la carta es ampliar el acceso de los defensores a IA con capacidades de ciberseguridad.

OpenAI sostiene que estas herramientas pueden hacer tareas fundamentales de seguridad más rápidas, más económicas y mejores, y pide priorizar especialmente a quienes protegen infraestructura crítica y tienen recursos limitados.

Por eso creo que estamos planteando mal la conversación cuando preguntamos:

“¿La inteligencia artificial hará que tengamos más ciberataques?”

La pregunta empresarial tendría que ser otra:

¿Nuestra capacidad para defendernos está evolucionando a la misma velocidad que la capacidad para atacarnos?

La carrera ya empezó

No necesitamos esperar a que aparezca una amenaza futurista.

Tenemos suficiente trabajo con las vulnerabilidades que ya existen.

La inteligencia artificial simplemente está haciendo mucho más costoso ignorarlas.

Durante años una empresa podía convivir con cierta deuda técnica porque actualizar sistemas era complicado, porque había otras prioridades, porque nunca había ocurrido nada o porque alguien decía aquella frase peligrosísima:

“Así llevamos años y funciona.”

Ese argumento pierde fuerza cuando del otro lado también hay inteligencia artificial.

Por eso quizás la carrera que estamos comenzando a ver no sea IA contra humanos.

Es algo bastante más cercano:

atacantes utilizando IA contra organizaciones que todavía se defienden como si la IA no existiera.

Y ahí está nuestra verdadera ventana de oportunidad.

No prepararnos desde el miedo.

Prepararnos desde la responsabilidad.

Revisar tecnología, sí. Pero también procesos, controles, proveedores, permisos, gobierno, cumplimiento y, especialmente, las capacidades de las personas responsables de proteger la organización.

Porque si algo deja claro el llamado que acaba de hacer buena parte de la industria tecnológica mundial es que la ciberseguridad ya no puede ser solamente responsabilidad de quien administra los sistemas.

Es una conversación que tiene que llegar a la dirección.

Y tiene que llegar ahora.