Atacar cuesta cientos de dólares, ser atacado puede costar millones: la peligrosa ecuación que plantea la IA

En julio leíamos en esta columna que la verdadera unidad de la economía de la inteligencia artificial no es la cantidad de tokens utilizados, sino la inteligencia necesaria para cumplir una tarea. Dos meses después, esa idea tiene una consecuencia incómoda. Una de esas tareas puede consistir en vulnerar la seguridad informática de una empresa.

Esta semana, el primer ministro de Australia, Anthony Albanese, reveló que un agente de OpenAI accedió sin autorización a un portal del sistema público de salud. El sistema buscaba estadísticas sobre el gasto australiano en medicamentos y encontró una forma de acceder a información que no era pública.

Algo parecido ocurrió meses antes. Durante una evaluación de ciberseguridad, Gemini, el modelo de Google, accedió a sistemas pertenecientes a tres empresas reales. En un caso adivinó credenciales y en otros dos encontró claves expuestas en repositorios públicos. Cuando identificó que había llegado a infraestructura real, se detuvo.

Estos episodios ocurrieron con algunos de los modelos más avanzados y vigilados del mundo. La pregunta es cuánto cuesta intentar lo mismo con un modelo abierto que nadie vigila.

El costo de atacar está cayendo

Durante años, un ciberataque sofisticado necesitaba un recurso caro y escaso, el acceso a expertos humanos. El Instituto de Seguridad de IA del Reino Unido diseñó una prueba que simula el ataque a una red corporativa mediante 32 pasos, cuatro subredes y veinte máquinas. La primera conclusión fue que un experto humano necesitaría cerca de veinte horas para completarla.

Luego midieron cuánto cuesta que una IA lo intente.

Se estimó que un ataque de hasta 100 millones de tokens costaba alrededor de 85 dólares con Claude Opus 4.6, 46 dólares con el modelo chino abierto GLM-5.2 y apenas 1,19 dólares con DeepSeek V4-Pro.

Estas cifras no representan el costo de un ataque exitoso, sino únicamente el precio por utilizar el modelo para tal fin. Tampoco incluyen todos los costos de una operación real. Aun así, muestran algo importante. El precio de intentarlo está cayendo.

Estos costos importan pues un agente de IA revisa repetidamente instrucciones, código y resultados durante mucho tiempo. La economía de un ciberataque autónomo no necesita que cada intento funcione. Necesita que cada intento sea barato.

Ahora mismo tenemos modelos abiertos potentes. El modelo chino GLM-5.3 fue recientemente calificado como el de mayor capacidad cibernética publicado hasta ese momento. Tiene 753 mil millones de parámetros. En su versión original, ejecutarlo requiere un servidor con varias GPUs de gama alta. En términos prácticos, hablamos de ocho GPUs H100 cuyo costo en el mercado ronda los 218 mil dólares, sin contar el servidor, la memoria, el almacenamiento y la infraestructura necesaria para operarlas.

Un escalón más arriba tenemos al modelo chino Kimi K3, con 2,8 billones de parámetros. Sus pesos están comprimidos a 4 bits y ocupan alrededor de 1,4 terabytes. En la práctica, una configuración capaz de ejecutarlo puede necesitar de 20 GPUs H100, una inversión cercana a 550 mil dólares solo en GPUs.

La objeción natural es que estos modelos requieren una gran infraestructura. Es cierto, pero tampoco hace falta poseerla. Kimi K3 cobra alrededor de 3 dólares por millón de tokens de entrada y 15 dólares por millón de salida, mientras DeepSeek es todavía más barato. Una ejecución larga puede costar cientos de dólares. Comprar la infraestructura cuesta cientos de miles. Usarla para intentar un ataque, mucho menos.

El costo de ser atacado se mide en millones

Mientras el costo de intentar un ataque disminuye, el costo de sufrirlo continúa midiéndose en millones.

Según el informe de IBM publicado en julio, una filtración de datos cuesta en promedio 5 millones de dólares a nivel global, un 12% más que el año anterior. IBM encontró además que una de cada cuatro filtraciones maliciosas ya había sido habilitada por inteligencia artificial.

Cuando los atacantes retuvieron datos sensibles, la cuenta tampoco es pequeña. Según Sophos, la mediana del rescate pagado en 2026 es de 769 mil dólares, mientras que el costo promedio de recuperación, sin incluir el rescate, alcanza 1,7 millones de dólares.

El mensaje es claro. Por un lado tenemos modelos capaces de ejecutar ataques por cientos de dólares. Por el otro, incidentes cuyo impacto se mide en millones.

Naturalmente, no son cifras directamente comparables. Una representa el costo de un intento y la otra el costo de una brecha que ya ocurrió. Pero entre ambas existe una variable decisiva, la probabilidad de éxito. Incluso con tasas de fracaso muy altas, el impacto económico de un ataque exitoso resulta evidente.

La brecha entre modelos abiertos y cerrados se reduce

Existe una diferencia fundamental entre utilizar un modelo cerrado y uno abierto.

Los proveedores de modelos cerrados pueden monitorear solicitudes, bloquear acciones y suspender cuentas. En muchos estudios de seguridad, OpenAI confirmó que sus sistemas rechazaron solicitudes contrarias a sus políticas y, posteriormente, la empresa deshabilitó cuentas vinculadas a atacantes.

Con pesos abiertos, esa capa de control no existe. Si el modelo funciona en una máquina administrada localmente, no existe una cuenta que pueda ser suspendida. Además, al tener acceso completo a sus pesos, se puede entrenar el modelo para revertir su capacidad de rechazar solicitudes peligrosas.

Esto no convierte a cada modelo abierto en una herramienta maliciosa. Hablamos más bien de una espada de doble filo. Estos mismos sistemas pueden ser extraordinariamente útiles para investigadores y auditores. El verdadero problema es que el fabricante pierde buena parte del control una vez que sus pesos son publicados.

Por eso importa la velocidad con la que los modelos abiertos se acercan a los cerrados. En 2025, la brecha era de seis a diez meses. En julio de 2026, AISI estimó que GLM-5.2 y DeepSeek V4-Pro ya estaban entre cuatro y siete meses detrás de modelos cerrados comparables en ciberseguridad. En septiembre, se volvió a medir esa frontera y GLM-5.3 estaba aproximadamente cuatro meses detrás del mejor nivel estadounidense según su índice de capacidades cibernéticas.

Cada vez que esa distancia se reduce, capacidades que aparecen primero en modelos cerrados, protegidos por las salvaguardas de un laboratorio privado, terminan apareciendo meses después en modelos abiertos que cualquiera puede descargar y modificar.

Todavía lejos de la ciencia ficción

Conviene mantener la perspectiva. Estos sistemas todavía están lejos de ser perfectos. De hecho, en pruebas recientes que evaluaron Kimi K3, el modelo completó los 32 pasos del ataque solamente en uno de diez intentos.

Una tasa de éxito de uno entre diez no significa que un modelo pueda vulnerar una de cada diez empresas reales. Pero sí demuestra que un modelo abierto puede ejecutar algunas veces un ataque que exige planificación, herramientas y adaptación continua.

La pregunta ya no es si pueden hacerlo, sino cuánto tendremos que esperar para que puedan hacerlo mejor.

¿Veremos más ataques?

Mi hipótesis es que sí, y la razón es tanto tecnológica como económica.

Cuando las máquinas de vapor se hicieron más eficientes en el uso del carbón durante el siglo XIX, Gran Bretaña no consumió menos carbón. Consumió más. Precisamente al reducirse el costo de utilizarlo aparecieron nuevos usos. A esto lo conocemos como la paradoja de Jevons.

En el caso de la IA, hacer más barato un ciberataque con modelos abiertos puede significar intentarlo muchas veces más. IBM encontró que las filtraciones maliciosas habilitadas por IA aumentaron 56% frente al año anterior.

Para una empresa latinoamericana, la lectura es muy práctica. La mayoría de incidentes de este año no dependieron de ataques sofisticados. Gemini encontró credenciales débiles o expuestas. DeepSeek buscó software vulnerable que no había sido actualizado. El agente de OpenAI encontró una forma de entrar a un antiguo portal del Gobierno australiano.

El caso de Hugging Face sí fue más elaborado. Durante evaluaciones internas, agentes de OpenAI lograron salir de los controles que debían aislarlos, acceder a Internet y comprometer infraestructura propia y de Hugging Face.

La enseñanza para nuestros países no es prepararnos para una inteligencia artificial que salga de control. Es entender que, si atacar es más barato, cada contraseña débil, servidor sin actualizar o credencial publicada accidentalmente se vuelve más fácil de encontrar.

Pero esto también puede ser una buena noticia.

Según IBM, las organizaciones que utilizan inteligencia artificial en ciberseguridad redujeron el costo promedio de una filtración en 1,93 millones de dólares frente a aquellas que no utilizaban esas herramientas.

El caso de Hugging Face ofrece un ejemplo interesante. Durante la investigación del ataque, su equipo intentó utilizar modelos comerciales para analizar los registros, pero las salvaguardas de estos modelos bloquearon parte del trabajo porque no podían distinguir entre analizar un ataque y ejecutarlo.

Hugging Face terminó utilizando GLM-5.2, un modelo abierto de la empresa china Z.ai ejecutado dentro de su propia infraestructura.

Un modelo abierto terminó ayudando a investigar un ataque realizado por un modelo cerrado. La tecnología puede estar presente en ambos lados del ataque. La diferencia estará en quién aprende a utilizarla mejor.

¿Y esto cómo nos afecta?

En América Latina no podemos controlar qué modelos serán publicados en China o Estados Unidos, ni evitar que el uso de la inteligencia artificial siga abaratándose. Lo que sí podemos decidir es de qué lado de la tecnología nos situaremos.

La misma inteligencia barata que arma al atacante puede armar al defensor. Pero la verdadera brecha no será de acceso a las herramientas, sino de conocimiento. Reducirla exigirá invertir en ingenieros, científicos e investigadores capaces de entender estos sistemas, adaptarlos, modificarlos y construirlos.