La inteligencia artificial ya no es solo una herramienta para escribir correos, resumir documentos o generar imágenes. Las agencias de ciberseguridad de la alianza Cinco Ojos advierten ahora de que también está cambiando el ritmo de los ciberataques contra gobiernos, empresas e infraestructuras críticas.
La conclusión principal es sencilla, pero incómoda. La IA hace más peligrosos a los atacantes, porque les permite ir más rápido y probar más puertas, pero también puede dar a los defensores una oportunidad real de reaccionar antes. La diferencia estará en quién se mueva primero.
La IA ya está aquí
El aviso llega en una declaración conjunta poco habitual de las agencias de Australia, Estados Unidos, Reino Unido, Canadá y Nueva Zelanda. En el texto participan Stephanie Crowe, del Australian Cyber Security Centre, Rajiv Gupta, del Canadian Centre for Cyber Security, Catriona Robinson, del National Cyber Security Centre neozelandés, Richard Horne, del NCSC británico, David Imbordino, de la NSA, y Nick Andersen, de CISA.
«La IA no es una cuestión de futuro, ya está aquí», resume el comunicado. La idea de fondo es que los modelos más avanzados pueden encontrar fallos, preparar ataques y explotar vulnerabilidades en mucho menos tiempo que antes. En lenguaje de calle, es como pasar de buscar una llave a mano a tener una máquina probando miles de cerraduras a la vez.
Qué cambia para los ataques
Una vulnerabilidad es un fallo en un programa, una red o un dispositivo que puede abrir la puerta a un intruso. Antes, encontrarla y aprovecharla podía llevar semanas o meses. Con IA, ese margen puede encogerse mucho.
Las agencias hablan de una reducción del tiempo entre el descubrimiento de un fallo y su explotación. Eso importa porque muchas organizaciones todavía tardan demasiado en instalar actualizaciones, revisar accesos o retirar equipos viejos. Y un ordenador antiguo sin soporte no es una reliquia simpática, es una puerta mal cerrada.
Cinco medidas básicas
El comunicado no propone magia. Propone cosas conocidas, pero con más urgencia. La primera es reducir la superficie de ataque, que significa limitar todo lo que está expuesto a internet y apagar lo que no necesita estar conectado.
También pide acelerar los parches de seguridad, sustituir sistemas heredados, revisar quién puede entrar en los sistemas críticos y ensayar planes de respuesta antes de que ocurra un incidente. Parece básico. Lo es. Pero en ciberseguridad, lo básico suele ser lo que evita el desastre.
Defenderse con IA
La parte más llamativa del aviso es que las agencias no piden huir de la inteligencia artificial. Al contrario. Dicen que los defensores deben usar IA porque los adversarios ya la están usando para moverse más rápido.
Según el comunicado, las organizaciones que integren herramientas de IA en sus operaciones de seguridad pueden detectar vulnerabilidades antes, mejorar la calidad del software, vigilar comportamientos extraños y responder más deprisa a los incidentes. No se trata de comprar la herramienta más brillante del mercado. Se trata de combinarla con buenos controles, personas formadas y planes realistas.
El caso Mythos
El debate se entiende mejor con Claude Mythos Preview, un modelo de Anthropic pensado para encontrar fallos de ciberseguridad. La compañía explicó dentro de Project Glasswing que socios iniciales habían usado el sistema para revisar código y localizar más de 10.000 fallos de alta o crítica gravedad.
El problema es evidente. Una herramienta capaz de encontrar fallos puede ayudar a repararlos, pero también puede señalar el camino a quien quiera explotarlos. Anthropic reconoció que todavía hacen falta salvaguardas muy robustas para evitar usos indebidos y, el 12 de junio de 2026, dijo que una directiva del Gobierno de Estados Unidos le obligó a suspender el acceso a Fable 5 y Mythos 5 para nacionales extranjeros.
Por qué importa fuera del sector tecnológico
Este aviso no afecta solo a bancos, ministerios o gigantes tecnológicos. También toca a hospitales, redes de transporte, colegios, pymes y proveedores pequeños que se conectan a clientes mucho mayores. Un fallo en un eslabón modesto puede acabar abriendo una cadena entera.
Stephanie Crowe, responsable del Australian Cyber Security Centre dentro de la Australian Signals Directorate, defendió que Australia está bien colocada si actúa ahora. «Tenemos las herramientas y las capacidades», dijo, antes de insistir en que las organizaciones deben revisar sus planes de riesgo y aprender a usar la IA de forma defensiva.
Lo que viene ahora
El mensaje final de los Cinco Ojos es que la ciberseguridad ya no puede tratarse como una tarea del departamento informático. Es una cuestión de continuidad del negocio, confianza del mercado y seguridad pública. En la práctica, eso significa que los consejos de administración y los gobiernos tendrán que entender mejor sus propios riesgos.
También significa asumir que algunas brechas ocurrirán. La clave será contenerlas rápido, recuperar sistemas y evitar que un incidente técnico se convierta en una crisis operativa. La IA acelera el juego. Por eso, según las agencias, la defensa también debe acelerar.
El comunicado oficial se ha publicado en el Australian Cyber Security Centre.
