Google, Microsoft, OpenAI, Anthropic, Cisco, CrowdStrike, AWS y otras compañías firmaron un llamamiento global para enfrentar ciberataques facilitados por IA. El documento alerta sobre riesgos para hospitales, agua e infraestructura digital.
Más de 150 empresas tecnológicas, financieras, de ciberseguridad e inteligencia artificial firmaron una carta abierta que reclama una respuesta colectiva y urgente frente al avance de ciberataques facilitados por IA. El documento advierte que hospitales, plantas de tratamiento de agua, redes digitales y otros servicios esenciales enfrentan una ventana limitada para reforzar sus defensas.
La iniciativa reúne a compañías como Google, Microsoft, AWS, OpenAI, Anthropic, Perplexity, Cisco, Palo Alto Networks, CrowdStrike, Cloudflare, IBM, Oracle, SAP, Salesforce, Visa, Mastercard, BBVA, Accenture, Deloitte, PwC, KPMG, Fortinet y Zscaler, entre otras. El objetivo es acelerar la adopción de herramientas defensivas basadas en IA, mejorar la corrección de vulnerabilidades y ampliar el apoyo a organizaciones de infraestructura crítica con recursos limitados.
“El tiempo para reforzar las defensas cibernéticas es limitado”, plantea la carta. Según los firmantes, en los próximos meses los ataques impulsados por IA se volverán más habituales y sofisticados a medida que aumenten las capacidades de los modelos disponibles en todo el mundo.
Hospitales y servicios esenciales bajo presión
El documento señala que los riesgos no se concentran exclusivamente en compañías tecnológicas. Los objetivos potenciales incluyen empresas y servicios públicos de los que dependen las comunidades: hospitales, plantas de tratamiento de agua e infraestructura que sostiene el funcionamiento de internet.
Los firmantes sostienen que los problemas acumulados durante años dejan expuestos a numerosos sistemas. Entre ellos mencionan errores persistentes, exceso de permisos, configuraciones incorrectas, software inseguro o sin parches, autenticación débil y deuda técnica en plataformas heredadas.
En este escenario, los equipos responsables de seguridad —especialmente los que operan infraestructura crítica— suelen enfrentar restricciones de presupuesto, falta de personal y herramientas insuficientes. La carta plantea que la IA puede ayudar a detectar, priorizar y corregir vulnerabilidades, pero advierte que su uso debe aplicarse con controles, verificación y supervisión continua.
El llamado propone tratar la ciberdefensa como una prioridad inmediata para los equipos directivos. La recomendación es actuar con la coordinación y urgencia de un incidente de seguridad, sin comprometer el funcionamiento de los servicios esenciales.
Cuatro principios para la defensa
La coalición propone reconocer que el nivel de seguridad vigente no alcanza para responder a la nueva etapa de amenazas. El primer paso consiste en admitir la exposición creada por sistemas sin actualizar, prácticas de acceso débiles y una deuda técnica que puede ser aprovechada por atacantes.
El segundo principio es ampliar el acceso de los defensores a IA con capacidades cibernéticas. Los firmantes sostienen que estas herramientas pueden poner conocimiento especializado al alcance de más equipos y permitir tareas de seguridad más rápidas, menos costosas y con mejores resultados.
El tercer eje es la acción colectiva. Dado que las capacidades cibernéticas se expanden globalmente, el documento plantea que ninguna empresa debería controlar por sí sola el futuro de la seguridad digital. Por eso propone nuevas alianzas para elevar estándares y responder a amenazas compartidas.
El cuarto principio es que todas las organizaciones pueden reducir riesgos de inmediato. Empresas, gobiernos, proveedores tecnológicos, compañías de ciberseguridad y desarrolladores de IA deben destinar herramientas, financiamiento y apoyo práctico, en especial hacia entidades que protegen infraestructura crítica y cuentan con presupuestos limitados.
Qué deben hacer las organizaciones
Para empresas y organismos públicos, la carta pide elevar los estándares de ciberseguridad, corregir las vulnerabilidades de mayor riesgo y verificar que las correcciones funcionen sin interrumpir operaciones esenciales.
También propone exigir condiciones más estrictas de seguridad en todo software, servicio o infraestructura que se compre, desarrolle o implemente. Esa exigencia incluye el código generado por inteligencia artificial.
El documento recomienda actualizar o reemplazar sistemas para adoptar el principio de mínimo privilegio, controles de acceso robustos y defensa en profundidad. Cuando una vulnerabilidad no pueda corregirse sin afectar un servicio crítico, las organizaciones deberían implementar controles compensatorios y verificar su efectividad.
La propuesta incluye utilizar modelos de menor costo pero capaces para lograr una cobertura amplia, y reservar los sistemas de frontera para los problemas más complejos. El enfoque apunta a combinar escala, eficiencia y especialización en las tareas de defensa.
El rol de gobiernos y empresas de IA
Las empresas de ciberseguridad y sus socios tecnológicos deberían someter sus defensas a pruebas permanentes contra capacidades cibernéticas de frontera, mejorar sus herramientas con IA y colaborar para cerrar brechas existentes, según el documento.
La carta pide que hagan accesible la defensa basada en IA para operadores de infraestructura crítica, ofrezcan asistencia de despliegue, verifiquen correcciones y compartan información sobre amenazas y protocolos que hayan demostrado utilidad. El progreso, proponen los firmantes, debería medirse por cuántas organizaciones quedan protegidas, la velocidad de contención de ataques y la eficacia de las remediaciones.
A los gobiernos se les solicita coordinar la ciberdefensa a nivel local, nacional e internacional; reforzar los canales de intercambio de información con empresas; financiar capacidades de protección, y facilitar el acceso de hospitales, compañías de agua y gobiernos locales a IA defensiva, pruebas autorizadas y apoyo operativo mediante socios de seguridad de confianza.
Las empresas de IA de frontera, por su parte, son convocadas a ofrecer acceso responsable a modelos, recursos, capacitación y asistencia práctica. También se les pide desarrollar herramientas de observabilidad y seguridad, mantener identidades trazables y auditables para agentes de IA, invertir en pruebas autorizadas y compartir prácticas de supervisión continua.
La carta instala a la IA como un doble factor para la infraestructura sanitaria y digital: puede incrementar la capacidad de los atacantes, pero también convertirse en una herramienta para que hospitales y otros servicios esenciales detecten vulnerabilidades, verifiquen correcciones y refuercen su resiliencia operativa.