Por Canuto  

El avance de la inteligencia artificial en la detección de vulnerabilidades podría alterar el equilibrio entre privacidad y vigilancia estatal, al reducir algunos fallos disponibles para las herramientas de hackeo y reavivar la presión por crear puertas traseras.
***

  • Matthew Green plantea que la IA podría ayudar a encontrar y corregir vulnerabilidades con mayor rapidez, dificultando algunas operaciones de hackeo.
  • Investigadores están divididos entre quienes anticipan una escasez de zero-days y quienes creen que persistirán las vulnerabilidades complejas.
  • Expertos en privacidad temen que una menor disponibilidad de errores aprovechables impulse nuevas exigencias de puertas traseras en dispositivos cifrados.

La inteligencia artificial podría producir una paradoja incómoda para los gobiernos: cuanto mejor encuentre y corrija los errores de software, más difícil podría ser utilizar herramientas de hackeo contra objetivos bajo vigilancia. Esa posibilidad fue planteada por el profesor de criptografía Matthew Green, quien ha señalado que la IA puede ayudar a encontrar debilidades con mayor rapidez, aunque también ha advertido que es más difícil verificar las afirmaciones sobre las capacidades de la inteligencia artificial y la criptografía.

El planteamiento no afirma que la vigilancia estatal vaya a desaparecer, sino que podría cambiar el recurso técnico que la hace posible. Si los sistemas modernos incorporan menos fallos y las empresas corrigen los problemas con mayor rapidez, los gobiernos podrían volver a exigir mecanismos de acceso excepcional, conocidos popularmente como puertas traseras, con consecuencias para la seguridad de todos los usuarios. Se trata de un escenario posible, no de una consecuencia confirmada del avance de la IA.

Una tregua construida sobre vulnerabilidades

El debate recuerda la discusión sobre el llamado “going dark”, una expresión que ganó fuerza en 2014, cuando el entonces director del FBI, James Comey, advirtió que el cifrado podía impedir que las autoridades escucharan conversaciones o accedieran a datos almacenados en dispositivos. En ese período, Signal, WhatsApp e iMessage de Apple comenzaron a ofrecer cifrado de extremo a extremo a gran escala, lo que hizo prácticamente imposible la intervención telefónica tradicional de llamadas y mensajes.

Al mismo tiempo, compañías como Apple empezaron a cifrar por defecto los datos almacenados en sus dispositivos. Los teléfonos protegidos con códigos PIN o contraseñas robustas se volvieron más difíciles de desbloquear, pero esa barrera también elevó la privacidad de personas que no tenían relación alguna con investigaciones criminales.

Según el análisis publicado por TechCrunch, las autoridades aún han logrado capturar a criminales y, en algunos casos, acceder a sus dispositivos mediante técnicas de hackeo. Green describe ese equilibrio como una “tregua inquieta”: los gobiernos no obtuvieron puertas traseras integradas en todos los equipos, mientras destinaban recursos a comprar spyware y herramientas capaces de subvertir la seguridad de dispositivos específicos.

Ese arreglo permite que el cifrado continúe protegiendo a la mayoría de los usuarios, aunque deja abierta una industria especializada en encontrar vulnerabilidades desconocidas. El temor atribuido a Green es que la IA reduzca la cantidad de errores aprovechables y que las agencias pierdan una vía considerada menos dañina que debilitar de forma general los sistemas utilizados por toda la sociedad.

La carrera por encontrar errores

La discusión ocurre mientras los modelos de lenguaje muestran avances en la identificación de vulnerabilidades a gran escala. La expectativa de sus defensores es que estas herramientas ayuden a localizar fallos con mayor velocidad, de modo que las empresas puedan corregirlos antes de que sean utilizados en ataques y reduzcan progresivamente la superficie de exposición de sus productos. Que ese resultado se produzca de manera generalizada todavía no está demostrado.

Luna Tong, investigadora que trabajó anteriormente en dos empresas destacadas dedicadas a buscar errores y desarrollar exploits para gobiernos, coincidió con la preocupación de Green. A su juicio, existe ahora una “fiebre del oro de errores”, aunque se trataría de un fenómeno temporal porque las vulnerabilidades volverían a escasear cuando los sistemas defensivos incorporen las mejoras producidas por la IA.

Otro investigador con más de una década de experiencia en compañías de seguridad ofensiva expresó una preocupación similar y pidió permanecer en el anonimato para hablar con mayor libertad. Su temor es que la IA vuelva obsoletos a los investigadores humanos, al elevar el costo y la dificultad de encontrar fallos, hasta conceder una ventaja estructural a quienes diseñan las defensas.

Sin embargo, parte de la industria no comparte ese pronóstico. Tres personas que trabajan actualmente en ciberseguridad ofensiva y otra que trabajó anteriormente sostuvieron que los errores sencillos serán más fáciles de localizar, pero que las vulnerabilidades complejas, generalmente más valiosas para los gobiernos, no desaparecerán y podrían seguir ocultas durante largos períodos.

Hamid Kashfi, fundador de la empresa de seguridad ofensiva DarkCell y colaborador de la startup de ciberseguridad con IA Xbow, afirmó que por cada error detectado y reportado por una IA probablemente existan otros 20 que no llegan a reportarse. Su argumento apunta a una diferencia crucial entre encontrar una vulnerabilidad y comunicarla al proveedor, porque un investigador que decida conservarla todavía podría transformarla en una herramienta útil para clientes gubernamentales.

La presión por las puertas traseras

Paolo Stagno, director de tecnología de Crowdfense, empresa conocida por desarrollar, adquirir y vender vulnerabilidades desconocidas a gobiernos, dijo que ningún Estado renunciará a la posibilidad de vigilar objetivos. Para Stagno, exigir que las autoridades exploten fallos concretos en lugar de imponer puertas traseras generales representa el “sistema más democrático” disponible, aunque ese statu quo podría cambiar si las vulnerabilidades se vuelven demasiado difíciles de encontrar.

La posibilidad de una nueva presión política preocupa especialmente a quienes defienden el cifrado fuerte. Eva Galperin, directora de ciberseguridad de la Electronic Frontier Foundation y especialista en spyware gubernamental, consideró que el ataque mantiene hoy una ventaja gracias a la combinación de modelos de IA capaces de hallar errores y un aumento de vulnerabilidades asociado al desarrollo conocido como “vibe-code”, basado en herramientas de inteligencia artificial.

Galperin también advirtió que descubrir más fallos no garantiza que las empresas los corrijan a tiempo, ni siquiera que todos reciban un parche. La actualización de software puede exigir pruebas, coordinación entre proveedores y cambios complejos en productos ya distribuidos, por lo que una mayor capacidad de detección podría coexistir con errores abiertos durante períodos prolongados.

La experta anticipó que en algún momento aparecerá un nuevo impulso a favor de las puertas traseras, porque los regímenes autoritarios siempre buscan lo que describió como “acceso excepcional”. La preocupación no se limita a una técnica concreta de hackeo: una puerta trasera incorporada por diseño podría ampliar el riesgo para usuarios comunes, empresas y organizaciones que dependen de comunicaciones privadas.

Katie Moussouris, fundadora y directora ejecutiva de Luta Security, sostuvo que todavía queda camino antes de que los teléfonos y computadores portátiles más recientes estén completamente libres de errores. Después podría llegar un punto en el que encontrar vulnerabilidades resulte mucho más difícil y esa escasez desencadene presiones para construir accesos especiales en los dispositivos.

Defensas modernas y límites de la IA

Dos investigadores que actualmente se ganan la vida buscando fallos para compañías de zero-days dijeron que les preocupa menos el crecimiento de la IA que las nuevas medidas de protección integradas en los dispositivos modernos. Esas defensas pueden complicar el desarrollo de exploits incluso cuando un investigador identifica una vulnerabilidad, porque el error por sí solo no siempre permite controlar un teléfono o extraer sus datos.

La distinción entre vulnerabilidades fáciles y complejas será determinante para el mercado de herramientas ofensivas. Un modelo puede acelerar la revisión de grandes cantidades de código y descubrir problemas repetitivos, pero los fallos más valiosos suelen depender de combinaciones específicas de componentes, configuraciones y condiciones de ejecución que requieren investigación especializada.

La IA tampoco elimina el conflicto entre quienes buscan proteger los sistemas y quienes intentan explotarlos. La misma tecnología puede asistir a los equipos defensivos en auditorías y correcciones, mientras ayuda a investigadores ofensivos a analizar código, probar hipótesis y localizar rutas que todavía no han sido identificadas por los fabricantes.

La experiencia de los próximos años mostrará si la ventaja cambia de manera permanente hacia los defensores o si los atacantes encuentran nuevas formas de aprovechar la complejidad de los sistemas. Por ahora, las opiniones recogidas presentan un escenario dividido, donde la IA puede reducir ciertos errores sin cerrar necesariamente las oportunidades más sofisticadas.

Moussouris estimó que la comunidad de inteligencia todavía tendría margen antes de sentirse suficientemente obstaculizada como para impulsar seriamente las puertas traseras. Su cálculo sitúa ese momento después de las próximas elecciones presidenciales, aunque la declaración no constituye una fecha segura, sino una valoración sobre el ritmo con el que podrían avanzar la seguridad del software y las capacidades de los modelos.

El dilema, por tanto, no consiste únicamente en decidir si la IA es buena o mala para la ciberseguridad. La cuestión central será si la sociedad puede aprovechar sistemas más resistentes sin convertir la escasez de vulnerabilidades explotables en una justificación para debilitar el cifrado que protege a todos.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados