El surgimiento de modelos de IA capaces de identificar vulnerabilidades de forma autónoma a gran escala y celeridad está cuestionando los paradigmas actuales de la ciberseguridad. Propuestas como Mythos Preview de Anthropic y ChatGPT 5.5 Cyber de OpenAI ponen de manifiesto el vertiginoso ritmo de innovación de la inteligencia artificial y están cambiando las reglas del juego. Además, los ciclos de seguridad tradicionales están siendo superados por la velocidad a la que surgen nuevos modelos, obligando a las empresas a abandonar la reactividad en favor de una postura de resiliencia dinámica.
El informe Shields Up: Guidance for defending in the age of AI-enabled attacks, lanzado con motivo de la participación de Cisco en el programa Glasswing (la alianza estratégica de ciberseguridad liderada por Anthropic que utiliza su sistema de inteligencia artificial Claude Mythos para identificar y corregir debilidades críticas en infraestructuras digitales y software de código abierto), advierte que la IA acelera drásticamente el descubrimiento de vulnerabilidades y los tiempos de ataque. Es por ello que las estrategias de defensa deben evolucionar urgentemente para proteger la infraestructura, asegurar el uso de agentes de IA y acelerar la respuesta ante incidentes.
Así pues, la inteligencia artificial es un potente aliado al servicio de la ciberseguridad, pero también se ha convertido en nuevo vector de ataque. En la actualidad, la gran preocupación para las organizaciones es ¿cómo protegemos la IA? ¿Cómo aseguramos un uso adecuado de la misma?
De estos temas se ha hablado en el encuentro organizado por Redes&Telecomen Madrid en colaboración con Cisco e Ikusi y en el que han participado directivos de Enagás, Engie, Grupo UAX, Ibercaja, Iberdrola, Nebrija, Nordex Group, Pelayo y Tendam.
Índice de temas
La velocidad de la inteligencia artificial
El “campamento base” al que siempre volvían los asistentes al evento era la velocidad de la inteligencia artificial. La IA ha acelerado todos los procesos, tanto de las empresas como de los ciberdelincuentes, y la llegada de los agentes no hace sino demostrar que la tecnología supera al humano en rapidez.
De hecho, la velocidad de la IA ha provocado que, en ocasiones, se piense que los retos y riesgos son novedosos. Los expertos TI confirmaban que “nada es nuevo, es lo mismo de siempre a velocidad de vértigo”. Los riesgos son los mismos, pero aumentados por la rapidez de las nuevas herramientas.
Sobre este particular, los portavoces veían la llegada de los agentes como algo “muy peligroso, pero que hay que aceptar”. Esta afirmación la sostenían por la incapacidad de controlar todos los usos y el hype de los empleados que innovaban fuera de la oficina e introducían los avances con agentes sin que TI pudiese controlarlo o poner puertas al campo.
Gobernanza y visibilidad
Otra conclusión puesta sobre la mesa fue que la seguridad de manera aislada no da el soporte que necesitan las compañías. Los CISO opinaban que es necesario que estén dentro de la toma de decisiones porque “la IA no hay que protegerla, sino gobernarla”.
Esta gobernanza se encuentra con un hándicap previo: la visibilidad. Los expertos TI no tienen control sobre todos los procesos y, sin la visión completa de cada proyecto, no se puede proteger de manera óptima.
Asimismo, un asunto que se planteaban los asistentes al encuentro es cómo lidiar con las presiones de Negocio en los despliegues. Ahí entran cuestiones de política empresarial. “Si no hay un retorno de la inversión, la tecnología no sale, pero el problema es que el papel lo soporta todo y podemos esperar meses”, comentaban respecto a este tema de debate.
Con el nuevo modelo de gobernanza de la IA, la consecuencia ha sido la gobernanza del dato y esto puede facilitar la llegada de nuevas tecnologías, como es la cuántica.
No obstante, la responsabilidad última de las decisiones siempre está en el Consejo de Administración. Desde TI la obligación es mantener informados con un reporte continuo sobre qué se hace para evitar que sucedan ataques, sabiendo que van a ocurrir.
Análisis de riesgo
Precisamente cuando los CISO forman parte de los comités de dirección pueden mostrar el análisis del riesgo. Esto en ocasiones paraliza, pero en otras el proyecto sigue adelante. En este sentido a los expertos en tecnología no les queda otra opción que ser facilitadores pese a su “objeción de conciencia”.
Además, desde el hype de la IA muchos productos están marcados con la etiqueta de inteligencia artificial, aunque el uso sea mínimo. Esto está provocando que los departamentos de tecnología tengan que dedicar tiempo a comprobar todos los productos y protegerlos. Igualmente, se aludió al incremento del coste de los servicios de IA. Sobre este argumento, los asistentes tenían la esperanza en que la velocidad de la IA se paralice debido al aumento de los costes.
Herramientas para asegurar la IA
Sea como fuere, un punto en común al que se llegó durante la distendida charla es que las empresas no tienen la capacidad de limitar todo, “debemos asumir que siempre vamos por detrás de los malos”, confirmaban.
No obstante, en el mercado hay instrumentos disponibles para ayudar en la tarea. Eso sí, indicaban que las herramientas de los proveedores deberían ser menos intrusivas para los usuarios y tener en cuenta que la modernización de los productos es parte de la evolución y, al no ser propuestas nuevas, no debería aumentar el precio por introducir IA…
El caso es que la eficiencia es una de las cuestiones más demandadas en el uso de la inteligencia artificial, pero debe producirse sin comprometer el riesgo. Para ello, una de las propuestas es optar por la microsegmentación y continuar con Zero Trust desde el diseño. En este momento, el humano se convierte en el guardarraíl y hay que encontrar la manera de que no se transforme en un stopper por la velocidad de la tecnología.
Las ventajas de la regulación
Por otro lado, en la conversación organizada por Redes&Telecom los portavoces estaban de acuerdo en las ventajas de la regulación. “Gracias a las normas hay noes que podemos decir con autoridad y sin negociar”, sentenciaban.
“Nos ayuda que el embudo, el que diga que no, sea el regulador en vez de nosotros”, continuaban. A esto se le añade que ha propiciado que muchos CISOs formen parte de la gobernanza.
Finalmente, en la tertulia se proponía como pasos presentes para mejorar el futuro deshacerse del equipamiento obsoleto; segmentar la red; y valorar las identidades humanas y las que no lo son: únicamente conceder acceso por un tiempo adecuado y para una misión establecida.
“Debemos tener en cuenta la seguridad de la IA desde el principio de su adopción”
Ángel Ortiz, director de Ciberseguridad para España y Portugal de Cisco
Para proteger y asegurar un uso adecuado de la IA debemos tener en cuenta la seguridad de esa IA desde el principio de su adopción, con una visión holística y protegiendo tanto el uso externo de la IA como el desarrollo de la IA interna. Todo esto hay que hacerlo con herramientas específicas porque no podemos seguir usando las mismas que hasta ahora porque la IA se ha convertido en un nuevo vector de ataque.
Estas herramientas permiten testar modelos y casos de uso que estamos desarrollando antes de ponerlos en producción para comprobar que son seguros. Esto se hace con ejercicios de red teaming, probando qué vulnerabilidades puede tener esa IA. Esto da lugar al empleo de unos guardarraíles que son bidireccionales y que consiguen que el uso de la IA discurra por los carriles pensados.
“Es vital que se implanten soluciones zero trust y de microsegmentación de red”
Javier Aguilera, director general en Ikusi España
Con la inteligencia artificial, los malos tienen en su poder herramientas muy potentes y las empresas han de estar preparadas. El zero trust y la microsegmentación de la red es fundamental para adelantarnos en la carrera, porque no vamos a poder parchear al ritmo que ellos están detectando vulnerabilidades en nuestros sistemas.
Para ello es importante contar con un SOC. Las grandes organizaciones cuentan con el suyo propio, interno, porque tienen recursos, herramientas y pueden llevar a cabo inversiones fuertes. Mientras que las organizaciones pequeñas y medianas, que carecen de esas capacidades y donde hay mucha rotación de personal especializado, optan por un SOC externo. Y ahí es donde cuentan con compañías como Ikusi que damos un servicio completo.
