Jason Clinton, subdirector de ciberseguridad de Anthropic, lanzó una advertencia que ha resonado en la comunidad tecnológica: “Por muy mal que se hayan puesto las cosas en los últimos cuatro días, van a empeorar mucho más antes de mejorar”. En su publicación del 22 de octubre en X, el ex‑ejecutivo de Google instó a los responsables de seguridad a acudir de inmediato a sus consejos de administración y solicitar recursos para reforzar las defensas básicas, no para desarrollar nuevas herramientas de IA. Su mensaje subraya la presión que la inteligencia artificial está ejerciendo sobre los procesos tradicionales de detección y parcheo de vulnerabilidades.
Clinton llegó a Anthropic en abril de 2023 como su primer CISO, después de más de una década liderando la seguridad de la infraestructura de Chrome en Google. Desde entonces ha participado en la elaboración de dos documentos de la empresa, publicados en julio de 2026, que describen la estrategia de protección de los agentes de IA y del software que los alimenta. Su experiencia le permite anticipar cómo los modelos avanzados pueden reducir el tiempo necesario para descubrir fallos críticos, pero también acelera la velocidad con la que los atacantes los explotan.
El contexto reciente lo ilustra el brote de vulnerabilidades en PHP que se dio a conocer el 20 de octubre. Los fallos, denominados PHP2Shell, alcanzaron una puntuación de 9.2 sobre 10 en la escala CVSS, permitiendo la ejecución de código sin autenticación en servidores vulnerables. Amazon detectó intentos de explotación el 17 de octubre, cuatro días antes de la divulgación oficial, y Cloudflare registró millones de ataques tras la publicación de los detalles. Organismos como ENISA y autoridades europeas recomendaron aislar de redes públicas los sistemas no actualizados, mientras varios gobiernos suspendieron temporalmente servicios digitales como medida preventiva.
Estas incidentes demuestran la preocupación central de Clinton: los modelos de IA pueden automatizar la identificación y explotación de vulnerabilidades, reduciendo el esfuerzo y el tiempo que antes requerían los investigadores. La PHP Foundation admitió que los indicios del problema datan de 2024, pero la falta de recursos retrasó la corrección. Anthropic ya había alertado en un informe de abril de 2026 sobre la necesidad de “vulnzero”, una visión en la que las herramientas de IA se integren de forma económica y omnipresente para evitar que los errores lleguen al mercado.
En agosto, Clinton reaccionó a una alerta de la NSA sobre amenazas a controladores industriales, señalando que scripts generados por IA estaban siendo usados contra infraestructuras críticas. El ejecutivo describió la situación como un “tsunami de vulnerabilidades” y recomendó aislar redes y emplear diodos de datos unidireccionales para limitar la exposición. Su llamado a la acción no es solo técnico, sino también organizativo: los consejos de administración deben priorizar inversiones en autenticación multifactor, copias de seguridad recuperables y planes de respuesta a incidentes.
A futuro, Clinton confía en que la IA se convierta en una herramienta de prevención, capaz de detectar y corregir fallos antes de su publicación. Sin embargo, advierte que esa visión aún es una proyección y que, mientras tanto, las empresas deben fortalecer sus defensas básicas con los recursos disponibles. El plazo de 18 meses que menciona representa el tiempo estimado para que las soluciones de IA se vuelvan lo suficientemente accesibles y efectivas como para revertir la tendencia actual de creciente exposición a ataques.
En síntesis, la advertencia de Jason Clinton es un llamado urgente a no subestimar la velocidad con que la IA está transformando la ciberseguridad. Las organizaciones deben actuar ahora, reforzando medidas tradicionales y asegurando el respaldo de sus directivos para enfrentar un panorama que, según él, seguirá empeorando antes de que la tecnología pueda ofrecer una solución definitiva.
Fuente: xataka