Un llamamiento colectivo por la ciberdefensa: muchas firmas, ningún compromiso vinculante y ninguna métrica de verificación

El jueves 27 de agosto de 2026 se publicó en el sitio web de OpenAI la carta abierta titulada «A call for collective action on cyber defense». El documento reúne la adhesión de un frente heterogéneo de organizaciones: el recuento exacto varía según quién cuente, desde las 116 registradas por CNBC hasta las casi 130 que indica SecurityWeek. Entre los firmantes figuran empresas de IA como OpenAI, Anthropic y Google, proveedores de infraestructura y seguridad (Microsoft, AWS, Cisco, Cloudflare, CrowdStrike, Palo Alto Networks), compañías de otros sectores como Visa, Mastercard y General Motors, además de grupos europeos como SAP y Deutsche Telekom. La iniciativa llega en un momento de fuerte atención regulatoria, pocas semanas después de que el 2 de agosto de 2026 empezaran a aplicarse las normas del Reglamento europeo de IA sobre los modelos de riesgo sistémico.

El texto se articula en torno a tres principios rectores. El primero constata que las defensas actuales no bastan, lastradas por la deuda técnica de sistemas heredados, configuraciones erróneas y software sin actualizar. Los otros dos reclaman dotar a los defensores de herramientas de IA y movilizar una respuesta coordinada. A las organizaciones se les pide tratar la defensa como una prioridad de la dirección, corregir primero las vulnerabilidades de mayor riesgo y aplicar controles compensatorios allí donde los parches interrumpirían servicios esenciales. A los proveedores de seguridad se les pide probar sus propios sistemas frente a los modelos de frontera; a los gobiernos, financiar las infraestructuras esenciales que carecen de recursos. En el mismo contexto, OpenAI anunció tres compromisos propios, entre ellos el acceso subvencionado a su línea de modelos Daybreak Cyber para entes públicos, organizaciones sin ánimo de lucro, mantenedores de software de código abierto y operadores de infraestructuras críticas, junto a programas de pruebas autorizadas para la notificación privada de vulnerabilidades.

«Tenemos una ventana limitada para reforzar las defensas informáticas», se lee en el documento. Sin embargo, la carta se limita a esbozar intenciones de naturaleza estrictamente voluntaria. En el texto no figuran plazos operativos, asignaciones formales de presupuesto ni métricas reproducibles para evaluar la eficacia de los recursos distribuidos. La posición de las empresas de IA ha sido criticada: el experto en seguridad John Gallagher resumió la ambigüedad del papel de los proveedores llamándolos «un pirómano que vende extintores». La contradicción que señala la comparación está documentada: las mismas empresas firmantes venden modelos comerciales que abaratan el ataque informático.

Reconocer que los sistemas tradicionales ya no bastan es un punto de partida necesario; recomendar medidas sin fijar un calendario de aplicación ni criterios de auditoría corre el riesgo de reducir un problema estructural a una declaración de intenciones. La utilidad real de la iniciativa solo podrá medirse cuando los datos sobre su impacto operativo se hagan públicos y verificables. — Olya