Fantasmas en la informática: hora de cambiar las reglas del juego

Fantasmas en la máquina: cuando la inteligencia artificial escribe código malicioso, la ciberseguridad tradicional queda indefensa

Antes se decía que, si querías que algo saliera bien, se lo confiaras a una persona. Los programadores escribían, otros programadores revisaban: todo era transparente y, si había suerte, seguro. Pero los tiempos han cambiado: ahora las máquinas escriben cada vez más código. Por ejemplo, la empresa Anthropic reconoció que más del 80 % del código de sus programas de trabajo lo crea su propia inteligencia artificial, el modelo Claude.

Cuanto mejor ayuda la IA a acelerar el trabajo de los desarrolladores honrados, más fácil se lo pone también a los hackers. Las máquinas pueden generar código malicioso, probar distintas variantes de ataque y adaptarse al instante a diferentes «víctimas»; todo a tal velocidad que los viejos métodos de seguridad se sienten tristes e indefensos.

Una empresa típica confía en que hay tiempo para revisar el código, aprobarlo, probarlo y desplegarlo. Si algo sale mal, ya nos ocuparemos después. Pero si el código, sea corriente o malicioso, aparece y se introduce casi al instante, todos esos procedimientos de varias etapas se convierten en una danza de sombras. El control humano queda apagado como un monitor viejo en el Black Friday.

Y, para colmo, la IA no solo está al alcance de los buenos: los ciberdelincuentes están encantados de quitarse de encima las tareas rutinarias. La automatización del reconocimiento, la búsqueda de vulnerabilidades y la escritura de exploits: todo eso se mecaniza con una eficacia aterradora. Los viejos algoritmos defensivos, acostumbrados a los errores humanos, están condenados a fallar: los ataques de las máquinas no repiten patrones, sino que cambian más rápido de lo que uno parpadea.

La diferencia fundamental es esta: una persona escribe código con sus hábitos y errores; la IA crea cada ataque a medida, para un objetivo concreto. Así que no verás las «firmas» conocidas ni las alertas de reputación: un archivo malicioso puede existir un par de minutos y desaparecer. Pero ni siquiera la inteligencia artificial convierte el código malicioso en un fantasma: aun así tiene que «delatarse» con su actividad, meterse en carpetas prohibidas, cambiar ajustes, enviar cosas al exterior. Es por su comportamiento por lo que se le reconoce.

El problema es que la mayoría de las medidas de ciberseguridad son bastante «ingenuas»: se fijan en la procedencia del archivo y confían en él si viene de una fuente oficial, está firmado o se ha comprobado hace poco. Pero hay un inconveniente: incluso un código «limpio» puede convertirse sobre la marcha en una amenaza si la IA decide «burlar el sistema». Ya no sirve confiar en que un archivo bueno no hará daño.

Por eso, los métodos de defensa clásicos, que reaccionan «después de la pelea», se han quedado anticuados. Cuando se detecte un comportamiento sospechoso, la IA ya puede haberse llevado datos o haberse instalado en el sistema. Ahora no basta con pillarla con las manos en la masa; también hay que decidir si se le permite actuar.

Esto no elimina las comprobaciones, pero exige cambiar el momento de tomar la decisión: la pregunta ya no es «¿podemos gestionar las consecuencias?», sino «¿conviene ejecutar esto ahora?». Así funciona el famoso enfoque Zero Trust, o confianza cero: el sistema no debe «creer» sin más a los dispositivos, usuarios o programas conocidos. Todo se cuestiona hasta que se comprueba por completo.

La confianza cero aplicada al código es uno de los conceptos más actuales: el código no debe considerarse seguro solo porque se haya descargado de GitHub o esté firmado por Microsoft. Lo importante es analizar qué va a hacer exactamente. Si resulta sospechoso, se bloquea, se aísla y se envía a un análisis más exhaustivo.

La empresa debe empezar por revisar todos los puntos en los que se ejecuta código: no solo los repositorios y las cadenas oficiales, sino también los archivos adjuntos de correo, los archivos descargados, las macros, las extensiones del navegador y cualquier script o automatización de terceros. Hay que ver dónde se confía a ciegas y dónde se evalúa de verdad el comportamiento.

La IA empieza poco a poco a escribir cada vez más código, tanto bueno como malicioso. ¿Crees que, si ha superado la comprobación de siempre, tiene vía libre? Ya no. Cada ejecución es una decisión consciente de seguridad.

Nadie ha cancelado la detección ni la respuesta a incidentes, pero ya no se puede vivir como antes, confiando en que todo saldrá bien: las máquinas te ganarán la partida y ni te darás cuenta.