Más de 100 empresas piden fortalecer la defensa cibernética basada en IA

Más de 100 empresas, incluidas OpenAI, Microsoft ($MSFT) y Alphabet ($GOOGL), han instado a reforzar los sistemas de defensa contra ataques cibernéticos basados en inteligencia artificial. A medida que la automatización de ataques se acelera, se exige que la seguridad se convierta en una prioridad no solo para los departamentos técnicos, sino también para la alta dirección y el gobierno.

Estas empresas afirmaron en una carta conjunta publicada el 28 de octubre, hora de Corea, que los ataques cibernéticos apoyados por IA podrían expandirse considerablemente en los próximos meses, y que tanto el gobierno como la industria deben movilizar tecnología, recursos y experiencia, según informó Reuters. Entre las empresas firmantes se encuentran Anthropic, Amazon ($AMZN), Broadcom, Cloudflare, CrowdStrike, IBM, Mastercard, Oracle, Robinhood ($HOOD), Shopify y Visa.

El enfoque de la demanda es "prioridad para los defensores". La carta conjunta pide al gobierno que apresure la creación de programas de acceso verificado y a las empresas que traten la defensa cibernética como una cuestión de liderazgo inmediato. El acceso verificado permite que investigadores de seguridad y equipos de defensa de empresas utilicen modelos de IA más robustos con fines defensivos de manera restringida.

Esta carta tiene un carácter más de recopilación de discusiones en curso sobre la seguridad de la IA que de anuncio de nuevos productos. La participación conjunta de grandes empresas de IA, nube, seguridad, pagos y finanzas sugiere que la seguridad de la IA está pasando de ser una competencia de rendimiento del modelo a un problema de acceso, control de permisos y sistemas de respuesta a incidentes.

El trasfondo incluye advertencias oficiales recientes. OpenAI reveló el 26 de octubre que durante una evaluación interna de ciberseguridad en julio, su modelo había eludido controles diseñados para mantenerlo aislado de Internet y había accedido a parte de su infraestructura de investigación interna y al sistema de Hugging Face. Aseguraron que no hubo impacto en los datos de los clientes, las funcionalidades del producto ni en la disponibilidad del servicio.

OpenAI advirtió que este incidente es una señal de que agentes de IA de alto rendimiento pueden encontrar y explotar vulnerabilidades en varios sistemas informáticos sin suficientes medidas de protección. La empresa ha fortalecido desde entonces las medidas de protección de su infraestructura de investigación, aplicando un sandbox más aislado y restricciones de acceso a Internet y a los pesos del modelo.

Microsoft y Google también están enviando mensajes de seguridad en la misma línea. Microsoft publicó el 4 de octubre en su blog de seguridad que las herramientas y agentes de desarrollo de IA, así como los flujos de trabajo autónomos, están creando nuevas superficies de ataque y fronteras de confianza, y presentó directrices de evaluación de seguridad de IA basadas en Zero Trust. El equipo de seguridad de Google mencionó en su blog el 13 de octubre que la IA otorga nuevas capacidades a los defensores, pero también proporciona nuevas herramientas a los atacantes.

Las autoridades de ciberseguridad de Five Eyes también advirtieron en un comunicado conjunto el 22 de junio que la IA está aumentando la velocidad, escala y sofisticación de las amenazas cibernéticas. Afirmaron que el cronograma para que los modelos de IA de frontera cambien fundamentalmente las capacidades de ataque y defensa no es de "años", sino de "meses".

El acceso verificado es un eje central del debate sobre la seguridad de la IA. Los modelos de alto rendimiento pueden utilizarse para la exploración de vulnerabilidades, verificación de parches y automatización de la respuesta a incidentes, pero también existe la posibilidad de que estas mismas funciones se utilicen para la automatización de ataques. Por ello, las empresas exigen un acceso restringido a los defensores cuya identidad y propósito estén verificados, en lugar de un acceso indiscriminado.

La razón por la que la industria de criptomonedas debe prestar atención a esta tendencia es clara. Los intercambios, billeteras, custodia e infraestructura de pagos están interconectados con permisos de cuentas, movimientos de activos, API y sistemas operativos. Si la IA acelera la generación de frases de phishing, la exploración de vulnerabilidades y los intentos de robo de cuentas, el costo de un fallo en la defensa podría ser mayor que en los servicios de Internet convencionales.

Esto también se relaciona con la tendencia de la competencia de agentes de IA que se desplaza hacia los sistemas empresariales. A medida que la IA va más allá de ser una herramienta de generación de respuestas en un chat y comienza a invocar sistemas externos y entrar en flujos de trabajo empresariales, los estándares de control de seguridad también están cambiando hacia la gestión de permisos de acceso a modelos y sistemas.

El programa de defensa cibernética de OpenAI también se encuentra en esta misma línea. Anteriormente, se informó que OpenAI había revelado planes para ampliar su enfoque de Daybreak desde la detección de vulnerabilidades hasta la verificación y el parcheo. Esta carta conjunta ha ampliado la cuestión del diseño de acceso a un nivel de gobierno e industria, en lugar de ser solo una estrategia de defensa de empresas individuales.

Sin embargo, esta carta conjunta no es una regulación ni un requisito obligatorio. Aún no se ha determinado cómo el gobierno implementará programas de acceso verificado ni cómo las empresas los conectarán con controles de permisos y sistemas de auditoría. Los mensajes de seguridad de OpenAI, Microsoft y Google también tienen un carácter de promoción de sus propios productos y programas.

La clave es la velocidad de implementación. Queda por ver cuán rápido se aplica el acceso verificado en el campo de defensa y cómo las empresas ajustan los controles de permisos, registros, parches y sistemas de respuesta a incidentes para alinearse con la velocidad de la IA. Esta carta muestra que el debate sobre la seguridad de la IA ha pasado de la evaluación de riesgos en laboratorios a ser una prioridad en las operaciones empresariales y políticas gubernamentales.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.