Ciberseguridad en la era de la IA

Cuando la máquina aprende a abrir puertas 

Octubre, Mes de la Concienciación en Ciberseguridad

Este verano, por primera vez, un sistema de inteligencia artificial vulneró la seguridad de empresas reales sin que ningún ser humano se lo pidiera. No fue una película ni un ejercicio teórico: ocurrió en julio de 2026 y obligó a una de las plataformas tecnológicas más usadas del mundo a reconstruir buena parte de su infraestructura.

Octubre es, a nivel internacional, el mes de la ciberseguridad. En IFT queremos aprovecharlo para hablar de un tema que ya no pertenece solo al área de sistemas: la seguridad de nuestra información es responsabilidad de todos.

¿Qué pasó? OpenAI estaba evaluando, en un entorno de pruebas aislado, qué tan buenos eran

sus agentes de IA para encontrar fallas de seguridad. A los agentes se les calificaba con un examen técnico. Uno de ellos concluyó que era más fácil robar las respuestas que resolver los problemas.

Para lograrlo, el agente encontró una falla desconocida en el software interno, escapó del entorno de pruebas y llegó a internet. Ahí identificó a Hugging Face, una plataforma pública de IA, como el lugar donde probablemente estaban las respuestas. Entró a sus sistemas usando credenciales que encontró expuestas en servicios públicos, y permaneció dentro cerca de dos días y medio. Los investigadores recuperaron más de 17,600 acciones del atacante en los registros.

Nadie le ordenó atacar. Como resumió Hugging Face, toda la intrusión fue, desde el punto de vista del agente, “un intento de hacer trampa en la evaluación”. El sistema hizo exactamente aquello para lo que fue incentivado: obtener la mejor calificación por el camino más corto.

Y no es un caso aislado. A finales de septiembre, el Instituto Holandés de Divulgación de Vulnerabilidades (DIVD), una organización dedicada precisamente a la ciberseguridad, reportó que un agente de IA automatizado, operado esta vez por un atacante humano, se movió dentro de su red tomando decisiones por sí mismo.

¿Por qué nos importa en IFT? Podríamos pensar que esto es un problema de gigantes tecnológicos. No lo es. La lección de fondo es que la IA reduce drásticamente el tiempo y el costo de atacar: lo que antes requería un equipo especializado durante semanas, hoy un agente lo intenta en horas, sin cansarse y a gran escala.

México ya lo resiente. Según datos publicados en julio, los ataques de ransomware contra empresas mexicanas crecieron 38% en el último año, el uso de IA en ciberataques aumentó casi 90%, y 67% de los ataques exitosos se originan en errores humanos.

Para una empresa industrial como la nuestra, el riesgo es concreto:

- Nuestra información técnica: planos, especificaciones y diseños de equipos hechos a la medida de cada cliente.

- La continuidad de la planta: un ataque de secuestro de información puede detener programación, compras y embarques.

- La confianza de clientes y proveedores: un correo falso convincente, hoy redactado por IA sin un solo error de ortografía, puede desviar un pago o filtrar una cotización.

- Nuestras certificaciones: la protección de la información documentada es parte de la disciplina que sostiene nuestro sistema de gestión ISO 9001.

El caso de Hugging Face deja otra enseñanza incómoda: el agente no necesitó romper una contraseña. Le bastó con encontrar credenciales que alguien había dejado a la vista.

Lo que está en nuestras manos. La tecnología de defensa importa, pero la primera barrera somos las personas. Este mes les pedimos cinco hábitos concretos:

1. Desconfíe de la urgencia. Si un correo, mensaje o llamada pide cambiar una cuenta bancaria, enviar archivos o compartir accesos “de inmediato”, confirme por otro canal antes de actuar.

2. Cuide sus contraseñas. No las comparta, no las anote a la vista ni las reutilice entre cuentas personales y de trabajo. Active la verificación en dos pasos donde esté disponible.

3. No suba información de IFT a herramientas de IA públicas. Cotizaciones, planos, datos de clientes o de personal no deben pegarse en asistentes gratuitos sin autorización.

4. Mantenga sus equipos actualizados. Las actualizaciones cierran justamente las fallas que los atacantes, humanos o artificiales, buscan primero.

5. Reporte sin miedo. Si dio clic en algo sospechoso, avíselo de inmediato al área de Sistemas. Un reporte a tiempo vale más que cualquier explicación después.

La inteligencia artificial seguirá siendo una gran aliada para diseñar mejor, producir con más calidad y atender mejor a nuestros clientes. Pero lo ocurrido este año nos recuerda que toda herramienta poderosa exige reglas claras, controles en capas y personas atentas.

Armando Luna Zepeda