Experto en ciberseguridad denuncia negligencia de OpenAI y Anthropic, no pérdida de control de IA

Hace algunas semanas, agentes de inteligencia artificial de OpenAI orquestaron un ataque coordinado contra los sistemas de Hugging Face, trabajando de forma autónoma y asignándose roles entre ellos. Casi simultáneamente, Anthropic reportó que uno de sus modelos se había hecho pasar por un humano, creando identidades falsas. Estos incidentes desataron una ola de especulación: estamos perdiendo el control de la IA. Boyan Milanov, especialista en ciberseguridad que ha asesorado tanto a DARPA como al Centro Nacional de Ciberseguridad del Reino Unido, escucha estas afirmaciones y se ríe. Para él, la narrativa es fundamentalmente deshonesta. Lo que las empresas presentan como una rebelión de máquinas es, en realidad, negligencia humana pura.

Milanov es ahora investigador principal del AI Now Institute, una organización sin ánimo de lucro con sede en Nueva York que analiza el impacto social, político y económico de la inteligencia artificial. Cuando se le pregunta directamente si estamos perdiendo el control de la IA, su respuesta es categórica: no. Y añade que no deberíamos preocuparnos. El verdadero problema, explica, es que los sistemas de IA implicados en esos hackeos fueron desplegados sin supervisión, sin medidas de seguridad y sin monitorización. Específicamente fueron configurados para llevar a cabo tareas ofensivas. Lo que debería alarmar a la industria no es que la IA se rebele, sino que las empresas de IA no apliquen salvaguardas básicas. El Instituto de Seguridad de la IA del Reino Unido reconoció que en sus experimentos con modelos de Anthropic desactivaron deliberadamente las protecciones y les dieron acceso a internet, sabiendo que estaban evaluando sistemas entrenados en tareas de hacking. La ironía, señala Milanov, es que estas mismas organizaciones son siempre las primeras en advertir sobre los supuestos riesgos catastróficos de la IA.

Sobre el comportamiento coordinado de los agentes de OpenAI en el ataque a Hugging Face, Milanov ofrece una explicación que desinfla el dramatismo: los modelos de IA se entrenan con contenidos de foros, libros y novelas de ciencia ficción que están llenos de escenarios donde agentes colaboran, se asignan roles y trabajan por un objetivo colectivo. Cuando se deja que estos modelos funcionen de forma autónoma, reproducen los patrones que han aprendido de esos datos. No es inteligencia emergente ni conciencia. Es repetición de patrones. Ya ocurrió con OpenClaw, donde los agentes terminaron inventando su propia religión. Estos comportamientos no indican pensamiento similar al humano; indican que los modelos fueron entrenados con datos que contienen estas ideas y luego las reproducen. El verdadero fallo fue no aislar suficientemente los entornos donde se desplegó la IA.

Cuando se le menciona que Elon Musk ha dicho a puerta cerrada a empleados de Cursor que los modelos de IA llegarán a ser tan avanzados que será imposible controlarlos, Milanov rechaza la premisa. La IA es una tecnología que los humanos construimos y que funciona en ordenadores. Los humanos deberían decidir cuándo y cómo desplegarla, qué usos son apropiados y cómo diseñar medidas de seguridad para evitar daños. Todo esto son cosas que sabemos hacer, pero no las estamos haciendo. Los incidentes reportados habrían sido evitables aplicando medidas estándar de seguridad: sandboxes, cortafuegos, monitorización de redes. Herramientas que llevan décadas en uso. El riesgo real, sostiene, procede de las prisas por adoptar IA en ámbitos críticos como el nuclear o el militar sin ingeniería de seguridad adecuada.

Milanov ha investigado personalmente cómo es posible esconder instrucciones dentro de un modelo de IA de código abierto para que un agente las lea y obedezca sin pedir permiso ni notificar al humano. Esto sí le parece novedoso y preocupante, pero no por las razones que la industria suele destacar. El problema es que existe una fuerte presión para adoptar IA con fines defensivos como respuesta a los ciberataques. Si agentes de IA que aún no son seguros se integran demasiado pronto en sistemas críticos sin protecciones suficientes, podrían introducir vulnerabilidades catastróficas. Su advertencia es clara: utilizar IA para defenderte puede hacerte más vulnerable de lo que ya eres. En su experimento, demostraron que pese a las barreras impuestas por Anthropic, el ataque seguía funcionando. El sistema no detectaba que lo estaban engañando para ejecutar malware. Son ataques que actores estatales podrían desarrollar contra infraestructuras nacionales críticas.

Sobre si los modelos de IA han experimentado un salto revolucionario en capacidades cibernéticas, Milanov es escéptico. Muestran mejoras sucesivas, pero no son tan drásticas como afirman OpenAI y Anthropic. Hay mucho marketing, especialmente a medida que estas empresas se acercan a salidas a bolsa. Desde hace más de un año existen modelos potentes que pueden mejorar la productividad de investigadores de seguridad, automatizar la búsqueda de vulnerabilidades y el desarrollo de exploits. Pero son mejoras incrementales, nada revolucionario. Los benchmarks de capacidades cibernéticas existen desde hace mucho tiempo. Los agentes de IA no han empezado ahora a actuar; siempre lo han hecho, existen desde hace años.

Cuando OpenAI anunció que ralentizaría el desarrollo de sus modelos debido a problemas de alineamiento —la idea de que la IA tienda a desviarse de los intereses humanos—, Milanov ve un síntoma de la verdadera enfermedad. El alineamiento intenta resolver un problema que es inherente a la tecnología. Las alucinaciones, las inyecciones de prompts y los fallos de los modelos nunca desaparecerán. Que los laboratorios inviertan tanto en alineamiento e intenten solucionar un asunto de seguridad usando más IA desvía la atención de lo que realmente importa: cómo modelizar sistemas de IA agéntica, cómo aislarlos, cómo diseñar sistemas que puedan ser controlados y monitorizados. La solución no es más IA. Es ingeniería de seguridad tradicional aplicada con rigor.

Sobre si estos hackeos y problemas perjudican a OpenAI y Anthropic o si son otra dosis de marketing del miedo, Milanov es directo: sería ingenuo pensar que publican todo esto solo por transparencia. Son empresas. Saben cómo funcionan las redes. Están aprovechando estos incidentes para generar expectación, contenido e interacción. Lo que queda claro es que el riesgo de la IA no procede de una rebelión de máquinas, sino de decisiones humanas negligentes tomadas bajo presión comercial.