El responsable de ciberseguridad de Anthropic alerta: las amenazas impulsadas por IA van a empeorar antes de mejorar
La inteligencia artificial está cambiando la velocidad a la que se descubren y explotan las vulnerabilidades informáticas. Jason Clinton, subdirector de ciberseguridad de Anthropic, considera que las organizaciones deben prepararse para una etapa especialmente complicada y reforzar cuanto antes sus defensas más básicas.
Clinton ha pedido a los responsables de seguridad que trasladen esta situación a sus consejos de administración y reclamen apoyo para proteger los sistemas esenciales. Su mensaje no se centra en adquirir más herramientas de IA, sino en garantizar que las empresas cuentan con recursos suficientes para actualizar, aislar y supervisar sus infraestructuras.
La IA reduce el tiempo necesario para atacar
Durante años, una parte importante de la ciberseguridad se ha basado en elevar el coste de un ataque. Si localizar un fallo, comprenderlo y preparar una intrusión requiere mucho tiempo y conocimientos especializados, muchas amenazas pueden detectarse antes de que lleguen a materializarse.
Los sistemas de inteligencia artificial están alterando ese equilibrio. Los modelos avanzados pueden analizar grandes cantidades de código, buscar configuraciones débiles, sugerir métodos de explotación y automatizar tareas que antes exigían equipos especializados durante semanas.
Una vulnerabilidad es un fallo en un programa, una red o un dispositivo que puede utilizarse para acceder a información, ejecutar instrucciones o alterar un sistema. Cuando el atacante puede localizarla con mayor rapidez, las empresas disponen de menos margen para corregirla.
El caso de las vulnerabilidades críticas de PHP
La advertencia llega después de varios episodios que han puesto de manifiesto esa presión. El 20 de octubre comenzaron a difundirse los identificadores de dos vulnerabilidades críticas de PHP antes de que se conocieran públicamente todos sus detalles técnicos.
Los fallos, agrupados bajo el nombre de PHP2Shell, recibieron una puntuación de gravedad de 9,2 sobre 10. En determinadas configuraciones podían permitir la ejecución remota de código, es decir, que un atacante ejecutase instrucciones en un servidor sin necesidad de autenticarse previamente.
La situación se agravó porque Amazon afirmó haber detectado un intento de explotación el 17 de octubre, varios días antes de la divulgación oficial. Cloudflare, por su parte, registró millones de intentos de ataque después de que la información se hiciera pública.
Ante este escenario, la Agencia de la Unión Europea para la Ciberseguridad y otros organismos recomendaron aislar de internet las aplicaciones expuestas que no pudieran actualizarse de inmediato. Algunas administraciones europeas llegaron a suspender temporalmente servicios digitales como medida preventiva.
Encontrar el fallo no equivale a poder solucionarlo
La automatización puede beneficiar tanto a los defensores como a los atacantes. Un modelo de IA puede ayudar a revisar código, identificar comportamientos anómalos o priorizar las vulnerabilidades más peligrosas. Sin embargo, descubrir un problema es solo el primer paso.
Después es necesario desarrollar un parche, comprobar que no introduce nuevos errores, distribuirlo y asegurarse de que todos los sistemas afectados lo han instalado. En entornos empresariales complejos, este proceso puede prolongarse durante días o semanas.
La Fundación PHP ha señalado que los primeros indicios de uno de estos problemas se remontaban a 2024, pero las dificultades técnicas y la falta de recursos retrasaron su corrección. La brecha entre la velocidad de descubrimiento y la capacidad de respuesta es, precisamente, una de las principales preocupaciones del sector.
Un posible tsunami de vulnerabilidades en infraestructuras críticas
Clinton ya había alertado en agosto sobre el uso de código generado con inteligencia artificial contra sistemas industriales. Estos entornos controlan procesos físicos en fábricas, redes eléctricas, plantas de tratamiento o instalaciones de transporte, por lo que un incidente puede tener consecuencias más allá del robo de datos.
El ejecutivo describió el riesgo como un posible tsunami de vulnerabilidades y advirtió de que algunas organizaciones podrían no disponer de tiempo suficiente para aplicar todos los parches. Entre sus recomendaciones figura aislar determinadas redes y emplear diodos de datos.
Un diodo de datos es un dispositivo que permite que la información viaje en una sola dirección. De esta forma, una red crítica puede enviar datos a un sistema de supervisión sin aceptar conexiones de vuelta, lo que limita las posibilidades de intrusión.
La prioridad: reforzar la seguridad básica
La petición de Clinton a los consejos de administración tiene una dimensión estratégica. Los responsables de seguridad necesitan respaldo para aumentar plantillas, renovar sistemas antiguos, realizar auditorías y mantener actualizados los equipos conectados a internet.
Entre las medidas fundamentales se encuentran aplicar parches con rapidez, utilizar autenticación multifactor, limitar los permisos de cada usuario, segmentar las redes y disponer de copias de seguridad aisladas. También resulta esencial registrar la actividad de los sistemas para detectar accesos anómalos.
La autenticación multifactor exige más de una prueba para verificar la identidad de una persona, como una contraseña y un código temporal. La segmentación de redes, por su parte, divide la infraestructura en zonas para impedir que un atacante que entra en un equipo pueda desplazarse fácilmente por toda la organización.
La inteligencia artificial puede mejorar estas defensas, pero no sustituye a una estrategia de seguridad sólida. La advertencia de Anthropic apunta a una realidad cada vez más evidente: mientras los atacantes automatizan el descubrimiento de fallos, las empresas deben acelerar su capacidad para corregirlos y reducir la exposición de los sistemas más sensibles.
