Más de cien grandes compañías han firmado un manifiesto conjunto en favor de un aumento global de las ciberdefensas. Lo han titulado: Un llamamiento a la acción colectiva en materia de ciberdefensa.
Advertencias
El manifiesto advierte que tenemos un «plazo limitado para reforzar las defensas cibernéticas» y añaden que «en los próximos meses, los ciberataques impulsados por IA se generalizarán y se volverán mucho más sofisticados a medida que los modelos de todo el mundo adquieran mayor capacidad. Las empresas y los servicios públicos de los que dependen nuestras comunidades –desde hospitales y plantas de tratamiento de agua hasta la infraestructura que alimenta internet– están en riesgo».
Para los firmantes, la seguridad actual no es suficiente. Los equipos de seguridad, especialmente los de infraestructura crítica, necesitan un aumento significativo en herramientas y recursos.
Hablan de «compartir herramientas, conocimientos prácticos y soluciones verificadas» para ayudar a proteger a más organizaciones y de «movilizar una respuesta global» que requiere «nuevas alianzas para elevar los estándares de seguridad y encontrar nuevas soluciones a las amenazas cibernéticas emergentes».
Recomendaciones
Los firmantes lanzan una serie de recomendaciones destinadas a organizaciones, empresas de ciberseguridad y socios tecnológicos, gobiernos y empresas de IA de vanguardia.
a) Organizaciones
- Situar la ciberdefensa como una prioridad inmediata para los órganos de liderazgo.
- Elevar los estándares de seguridad interna y ejecutarlos con máxima urgencia organizativa.
- Priorizar la resolución de incidentes por encima de cualquier actividad no esencial.
- Subsanar las vulnerabilidades críticas verificando resultados sin interrumpir servicios clave.
- Fortalecer los requisitos de seguridad en compras, desarrollo interno y código generado con inteligencia artificial.
- Implementar el principio de mínimo privilegio, controles de acceso robustos y defensa en profundidad.
- Diseñar arquitecturas de modelos eficientes para cobertura general y reservar modelos avanzados para casos complejos.
- Aplicar y auditar controles compensatorios cuando un parche implique la interrupción de operaciones esenciales.
b) Empresas de ciberseguridad y socios tecnológicos
- Liderar la estrategia de defensa frente a amenazas sostenidas y automatizadas mediante inteligencia artificial.
- Evaluar de forma continua las defensas corporativas frente a capacidades cibernéticas ofensivas de vanguardia.
- Integrar capacidades de inteligencia artificial para reforzar las herramientas de seguridad existentes.
- Coordinar con socios tecnológicos la detección y subsanación inmediata de brechas operativas.
- Facilitar el despliegue asistido de defensas de IA en operadores de infraestructuras críticas.
- Validar técnicamente las correcciones y parches aplicados en entornos operativos esenciales.
- Cooperar con fabricantes e integradores de la cadena de suministro en la emisión de directrices provisionales.
- Intercambiar inteligencia sobre amenazas y manuales de respuesta probados con el ecosistema.
- Evaluar el desempeño mediante métricas de organizaciones protegidas, tiempos de contención y eficacia técnica.
c) Gobiernos
- Coordinar la estrategia de ciberdefensa en los niveles local, nacional e internacional.
- Fortalecer los canales públicos y privados para el intercambio estructurado de inteligencia sobre amenazas.
- Priorizar la mitigación de los riesgos más graves y articular la respuesta y recuperación ante incidentes globales.
- Asignar recursos y financiación directa a servicios esenciales con carencias de presupuesto o personal cualificado.
- Acelerar el despliegue de programas de acceso seguro en las cadenas de suministro de infraestructuras críticas.
- Democratizar el acceso a capacidades defensivas avanzadas para la comunidad de seguridad.
- Facilitar a hospitales, redes de abastecimiento y entidades locales herramientas de IA defensiva, auditorías y soporte técnico especializado.
- Imponer costes directos y consecuencias operativas a los actores de amenazas.
d) Empresas de IA de vanguardia
- Facilitar acceso seguro a modelos avanzados, dotación presupuestaria, formación y asistencia técnica directa a defensores de infraestructuras críticas con limitaciones de recursos.
- Desarrollar e implantar herramientas especializadas en observabilidad, monitorización continua y seguridad de los sistemas.
- Garantizar la trazabilidad técnica y la rendición de cuentas sobre las identidades y acciones de los agentes automatizados.
- Promover y compartir las mejores prácticas en monitorización y supervisión operativa en tiempo real.
- Invertir en programas de auditoría técnica autorizada, esquemas de divulgación responsable de vulnerabilidades y verificación rigurosa de parches.
- Transferir herramientas, manuales operativos (playbooks) y evaluaciones fiables sobre ciberamenazas a organismos públicos, socios de seguridad y mantenedores de software de código abierto para optimizar los ciclos de preparación, respuesta y recuperación.
Empresas firmantes
Conclusión
Los magnates tecnológicos construyen agentes de IA que ni ellos mismos logran controlar del todo. Aun así, las grandes compañías los despliegan a gran escala y, cuando surgen los problemas, reclaman que la responsabilidad sea compartida, pero las salvaguardas que proponen tienen un coste que no todas las organizaciones pueden asumir, lo que deja fuera a quienes menos recursos tienen.
Los desarrolladores y proveedores de IA olvidan que la responsabilidad proactiva exige actuar antes del despliegue, no repartir las consecuencias después. Es como crear una bola de nieve y echarla a rodar cuesta abajo, pensado que ya habrá quien la pare.
