Amenaza global por ciberataques con IA: más de 100 empresas de tecnología alertan sobre riesgos para hospitales, plantas de agua e infraestructura crítica

Una carta abierta publicada esta semana y firmada por más de 130 empresas, entre ellas OpenAI, Google, Microsoft, IBM, Anthropic, Cisco y Citigroup, pide a gobiernos y empresas actuar de inmediato frente al riesgo de ciberataques impulsados por inteligencia artificial. El documento advierte que en los próximos meses, esos ataques serán más frecuentes y sofisticados a medida que los modelos de IA se vuelvan más capaces.

"Las empresas y los servicios públicos de los que dependen nuestras comunidades —desde hospitales y plantas de tratamiento de agua hasta la infraestructura que alimenta internet— están en riesgo", dice la carta.

La seguridad actual ya no alcanza

La carta comienza con un diagnóstico sobre el estado actual de la seguridad digital, que tiene errores persistentes, permisos excesivos, configuraciones incorrectas, sistemas sin las actualizaciones de seguridad necesarias, autenticación débil y deuda técnica en sistemas heredados han dejado expuestas a las organizaciones. Los firmantes describen esto como un problema estructural acumulado durante años.

"Los equipos de seguridad, especialmente los de infraestructura crítica, históricamente han carecido de recursos suficientes y necesitan un aumento significativo en herramientas y recursos", afirma la carta. Por eso, dicen que corregir esas vulnerabilidades requiere elevar los estándares de lo que las organizaciones compran, desarrollan e implementan, incluido el código generado por inteligencia artificial.

Hospitales, agua e internet: lo que hay detrás de la infraestructura crítica

Cuando la carta habla de infraestructura crítica, se refiere a las empresas y servicios públicos de los que dependen las comunidades, entre ellos los hospitales, las plantas de tratamiento de agua y la infraestructura que hace funcionar internet. Un ciberataque exitoso contra cualquiera de esos sistemas no se queda en una pantalla o un servidor y puede dejar a un hospital sin acceso a las historias clínicas de sus pacientes, hacer que una planta de agua pierda el control de sus procesos, o dejar a una región entera sin conexión a internet.

Lo que proponen para enfrentar la amenaza en conjunto

Para enfrentar el problema, los firmantes proponen tres principios que buscan guiar una respuesta conjunta entre empresas y gobiernos:

El primer principio es reconocer que la seguridad actual no es suficiente. La carta insiste en que corregir vulnerabilidades acumuladas exige un salto en recursos y herramientas, sobre todo para los equipos que protegen infraestructura crítica, que históricamente han operado con menos personal y presupuesto del que necesitan.

El segundo es empoderar a más defensores con inteligencia artificial. Según los firmantes, esta tecnología aporta habilidades especializadas incluso a organizaciones que no cuentan con equipos grandes de seguridad, y hace que tareas esenciales sean más rápidas y económicas. Compartir herramientas, conocimiento práctico y soluciones ya verificadas, plantean, permite que el trabajo de una organización termine protegiendo a muchas otras.

El tercero es movilizar una respuesta colectiva. Los firmantes sostienen que las capacidades cibernéticas avanzan en todo el mundo y que eso puede ser positivo, siempre que ninguna empresa controle ese futuro en solitario. Por eso insisten en que se necesita una respuesta global, con nuevas alianzas que eleven los estándares de seguridad y busquen soluciones a amenazas emergentes.

Para cada actor, una responsabilidad

En la carta también se reparten tareas muy específicas para los sectores que se ven involucrados en esta alerta de ciberataques. A cada organización le piden convertir la ciberdefensa en una prioridad inmediata de su liderazgo, con la misma urgencia de un incidente que tiene prioridad sobre todo excepto las operaciones comerciales críticas. Eso implica corregir primero las vulnerabilidades de mayor riesgo, verificar que las soluciones funcionen sin interrumpir servicios esenciales, y subir el estándar de seguridad de lo que compran, desarrollan e implementan, incluido el código generado por inteligencia artificial.

A las empresas de ciberseguridad y sus socios tecnológicos les piden liderar la defensa frente a ataques sostenidos con inteligencia artificial, poner a prueba constantemente sus herramientas contra las capacidades más avanzadas, y hacer que las defensas basadas en IA sean accesibles para operadores de infraestructura crítica con presupuestos limitados. También deben compartir información sobre amenazas y planes de acción ya probados.

A los gobiernos les piden coordinar la ciberdefensa a nivel local, nacional e internacional, financiar la protección de servicios esenciales que hoy carecen de personal o presupuesto, y ampliar el acceso a capacidades defensivas para hospitales, empresas de agua y gobiernos locales. La carta es explícita en un punto: piden "imponer costos a los atacantes".

A las empresas de IA de vanguardia, que son las mismas que firman la carta, les piden dar acceso responsable a sus modelos, financiación y apoyo práctico a quienes defienden infraestructura crítica con recursos limitados y que así garanticen que las identidades de los agentes de IA sean trazables y que haya rendición de cuentas.