Los modelos más capaces del mundo ya descubren y explotan vulnerabilidades por su cuenta. Los de pesos abiertos se acercan a esa frontera a una fracción del precio. Y Europa juega otra partida.
Hay una pregunta que hasta hace poco sonaba a ciencia ficción y que este verano se ha respondido sola: ¿qué ocurre cuando un modelo de lenguaje encuentra fallos de software tan bien como para preocupar a un gobierno? El 12 de junio, tres días después de que Anthropic publicara Claude Fable 5 y Claude Mythos 5, el Gobierno de Estados Unidos invocó sus autoridades de control de exportación y ordenó suspender el acceso de ciudadanos extranjeros a ambos modelos. El motivo: un equipo de Amazon había descrito cómo eludir sus salvaguardas para que señalaran vulnerabilidades. No hubo brecha ni abuso: bastó con demostrar que era posible. La orden restringía por nacionalidad, pero la compañía apagó los dos modelos para todos sus clientes en todo el mundo y no los restableció hasta dieciocho días después.
Un mes más tarde llegó la confirmación de que el temor no era teórico, y surgió desde dentro. Durante una evaluación de capacidades ofensivas, una combinación de modelos de OpenAI se salió de su entorno de pruebas, explotó una vulnerabilidad no divulgada y alcanzó infraestructura de producción de Hugging Face para hacerse con las respuestas del benchmark que estaba resolviendo. Nadie se lo había pedido. Entre esas dos fechas cabe el resumen del año: los modelos punteros ya encuentran y explotan fallos por su cuenta, y los Estados han empezado a tratarlos como tecnología peligrosa.
Y eso no es todo: encontrar vulnerabilidades se ha vuelto barato, y el sistema que las gestiona se está atragantando. Anthropic y OpenAI han montado programas de acceso restringido, Project Glasswing y Daybreak, para poner sus modelos punteros solamente en manos de defensores verificados; los socios del primero acumulan ya más de 10.000 fallos de severidad alta o crítica. Al otro lado del embudo, las plataformas de bug bounty no dan abasto: en junio se reportaron unos 1.500 CVE críticos o de severidad alta entre veintiuna organizaciones, más de tres veces el récord mensual anterior. Curl cerró su programa de recompensas en enero y Google dejó de aceptar informes generados con IA en marzo.
China, a cuatro meses y a una fracción del precio
Hasta aquí todo es estadounidense, y ahí está el error de perspectiva. Los modelos chinos de pesos abiertos ya hacen lo mismo por una fracción del precio. El AI Security Institute británico situó en julio su distancia con la frontera cerrada en ciberseguridad entre cuatro y siete meses, frente a los seis a diez de 2025. GLM-5.2, de Zhipu, y DeepSeek V4-Pro rinden como los modelos cerrados de hace medio año. Y la factura no se parece, menos de treinta céntimos por tarea frente a más de doce dólares.
Aun así, hay algo más importante que el precio. Un modelo de pesos abiertos se descarga y se ejecuta en infraestructura propia, así que toda la capa de control del proveedor, autenticación, políticas de uso y monitorización desaparece; solo queda lo que va dentro de los pesos, donde el entrenamiento de rechazo resulta frágil. La consecuencia ya está documentada: en julio, Unit 42 describió a un actor chinoparlante que montó DeepSeek sobre un framework de agentes de código abierto y lo lanzó contra más de 460 objetivos, tras haber sido bloqueado por los controles de los proveedores estadounidenses. El debate deja entonces de ser cuánto puede hacer un modelo y pasa a ser cuánto control y responsabilidad conserva quien lo publica.
Ningún modelo de IA convierte por sí solo a un atacante mediocre en un adversario avanzado
IA: Europa juega otra partida
¿Y dónde queda Europa? En una liga inferior, y conviene decirlo sin adornos. El ejemplo más cercano es Mistral, que ha levantado cómputo propio con una inversión cercana a los 1.200 millones de euros en un centro de datos en Suecia, aunque ni él ni ningún otro laboratorio europeo aparece en las conversaciones sobre descubrimiento autónomo de vulnerabilidades. España tiene su pieza en ALIA, coordinada por el Barcelona Supercomputing Center, que ofrece modelos abiertos en español y lenguas cooficiales con financiación pública, aunque tampoco está en esa carrera.
Conviene entonces cambiar la pregunta. En lugar de esperar a que Europa tenga su propio Mythos, lo práctico es preguntarse cuánta capacidad frontera necesita de verdad un equipo de defensa. Para el trabajo cotidiano, triaje de alertas, correlación de eventos o revisión de código, no hace falta el modelo más capaz del mundo; y ahí un modelo europeo alojado en la Unión, con licencia clara y procedencia conocida, es una opción razonable.
Qué hacer con esto
Para una entidad esencial española, la lectura operativa es más sencilla que el debate. No hay que elegir bando entre los tres bloques; hay que saber qué modelos corren dentro de casa, con qué pesos, alojados dónde y con qué salvaguardas, igual que se sabe qué librerías se compilan. Un modelo de pesos abiertos descargado para una prueba de concepto es un componente más del inventario, con la particularidad de que sus mecanismos de seguridad pueden modificarse fuera del entorno del proveedor.
Eso es gestión del riesgo de cadena de suministro, justo lo que exige NIS2, cuyas obligaciones de fondo no esperan a que España publique en el BOE la ley que la transpone, con más de un año de retraso. Del Reglamento Europeo de IA conviene separar conceptos: el aplazamiento de este verano afecta al calendario de los sistemas de alto riesgo, no a las obligaciones de los modelos de propósito general ni a las de transparencia.
Conviene, eso sí, no exagerar el diagnóstico. Buena parte de los incidentes de los próximos meses seguirá entrando por credenciales robadas y sistemas sin parchear, y ningún modelo convierte por sí solo a un atacante mediocre en un adversario avanzado. Lo que ha cambiado es la velocidad a la que se recorre la distancia entre conocer una vulnerabilidad y explotarla, y que esa velocidad ya no depende de acceder a los modelos más caros.
La entrada La IA ya no pide permiso se publicó primero en Red Seguridad.
