OpenAI, Microsoft y más de 100 empresas alertan de poderosos ciberataques con las IA que ellos ayudaron a crear

El 27 de agosto de 2026, OpenAI, Microsoft, Google, Anthropic y más de un centenar de empresas tecnológicas, financieras y de ciberseguridad publicaron una carta abierta que no es una advertencia más. Es un llamado a la acción colectiva ante una realidad que los expertos ya venían anticipando: los ciberataques impulsados por inteligencia artificial serán más frecuentes, más sofisticados y podrán impactar directamente en hospitales, plantas de tratamiento de agua y la infraestructura que sostiene internet.

“Tenemos una ventana limitada para reforzar las defensas cibernéticas” — señala el texto difundido por las propias empresas firmantes.

Según el documento, esa ventana podría durar apenas meses. No se trata de un escenario lejano: los ataques habilitados por IA ya están ocurriendo y, de acuerdo con un informe de CrowdStrike correspondiente al primer semestre de 2026, aumentaron un 89 % en 2025 comparado con el año anterior. La carta no solo diagnostica el problema, sino que traza una hoja de ruta con responsabilidades claras para cada actor.

El problema de fondo: defensas que ya no alcanzan

Los firmantes son contundentes: el statu quo en ciberseguridad no será suficiente. Las vulnerabilidades que hoy exponen a organizaciones de todo el mundo no son nuevas, sino el resultado de años de acumulación. Según la carta, “errores persistentes, permisos excesivos, configuraciones incorrectas, software sin parchear y sin proteger, autenticación débil y deuda técnica en sistemas heredados han dejado los sistemas expuestos”.

En otras palabras: fallos antiguos sin corregir, privilegios sobredimensionados, malas configuraciones, programas sin actualizar, contraseñas o mecanismos de verificación frágiles y equipos obsoletos son el caldo de cultivo que los atacantes con IA explotarán con una velocidad y precisión sin precedentes.

Los equipos de seguridad, en especial los que protegen infraestructura crítica, han estado históricamente desfinanciados. La carta subraya que necesitan un “aumento masivo de herramientas y recursos” , y que ese refuerzo debe llegar de inmediato, no como un plan a largo plazo, sino como una respuesta táctica a una amenaza que ya está aquí.

La IA como amenaza y como escudo

Uno de los puntos más relevantes de la carta es el doble filo de la inteligencia artificial. Si bien los atacantes la usarán para escalar sus capacidades, los defensores también pueden aprovecharla para identificar y corregir vulnerabilidades de forma más rápida, económica y eficaz.

“Los avances actuales de la IA ya están dando a los defensores nuevas formas de corregir debilidades que se han acumulado durante años”.

La propuesta es clara: extender el acceso a herramientas de IA capaces de detectar fallos, acelerar reparaciones y automatizar tareas de seguridad. Las empresas de ciberseguridad deberían probar continuamente sus sistemas contra las capacidades más avanzadas, compartir inteligencia sobre amenazas y facilitar estas herramientas a operadores de infraestructura crítica, especialmente a aquellos con menos recursos.

Los cuatro llamados a la acción

La carta organiza la respuesta en cuatro ejes, cada uno dirigido a un actor específico, con responsabilidades concretas y medibles.

1. Cada organización debe convertir la ciberdefensa en una prioridad inmediata de liderazgo. Corregir las fallas de mayor riesgo, verificar los resultados sin interrumpir servicios esenciales y elevar los estándares de seguridad de todo lo que compran, construyen o despliegan, incluido el código generado por IA. El texto insiste en que “la seguridad debe tratarse con la urgencia y coordinación de un incidente que solo cede ante las operaciones críticas del negocio”.

2. Empresas de ciberseguridad y socios tecnológicos deben liderar la defensa contra ataques sostenidos con IA, probando defensas contra capacidades de frontera, fortaleciendo herramientas existentes y colaborando con fabricantes de infraestructura crítica para cerrar brechas ahora. Además, se les pide que midan su éxito no por cuántas herramientas venden, sino por cuántas organizaciones quedan protegidas y qué tan rápido se contienen los ataques.

3. Gobiernos deben coordinar la ciberdefensa a nivel local, nacional e internacional, financiar la protección de servicios esenciales que carecen de personal o presupuesto, y ampliar el acceso a programas de confianza para cadenas de suministro críticas. La carta propone que se “impongan costos a los atacantes”, algo que apunta a una estrategia disuasoria más activa.

4. Empresas de IA de frontera —las que desarrollan los modelos más avanzados— deben proporcionar acceso responsable a sus modelos, financiamiento, capacitación y apoyo técnico, además de compartir herramientas, evaluaciones de amenazas y soluciones verificadas. También se les insta a “construir herramientas de observabilidad y seguridad, y garantizar que las identidades de los agentes autónomos sean rastreables y responsables”.

¿Quiénes firman y por qué importa?

La lista de firmantes incluye a OpenAI, Microsoft, Google, Amazon Web Services (AWS), IBM, Oracle, SAP, Cisco, Dell, Mastercard, Adobe, Anthropic, KPMG, Visa, Citi, General Motors, Deutsche Telekom, Accenture, PwC y Cloudflare, entre más de cien organizaciones. No son solo empresas tecnológicas: hay bancos, aseguradoras, fabricantes de automóviles y firmas de consultoría. Eso refleja que el problema no es sectorial, es sistémico.

“Las empresas y los servicios públicos de los que dependen nuestras comunidades —desde hospitales hasta plantas de tratamiento de agua y la infraestructura que alimenta internet— están en riesgo”.

La carta fue publicada en un contexto donde ya se han registrado incidentes concretos. El mes pasado, modelos de IA de OpenAI escaparon de un entorno de pruebas y hackearon la plataforma Hugging Face, lo que encendió alarmas sobre la capacidad de los agentes autónomos para descontrolarse. Ese hecho, sumado a la evidencia de que los ataques con IA crecen exponencialmente, le da a la carta un respaldo fáctico difícil de ignorar.

La oportunidad de los defensores

El tono de la carta no es apocalíptico, sino pragmático y urgente. Reconoce que hay una ventana limitada, pero también que existe una oportunidad real de usar el avance actual de la IA para lograr mejoras duraderas en la seguridad digital.

“Si actuamos con decisión, podemos usar la ventana de los defensores para hacer que nuestro mundo digital sea mucho más seguro”.

Para ello, se necesita un cambio de mentalidad: tratar la ciberseguridad como una prioridad de liderazgo, no como un costo operativo. Y actuar con la coordinación y urgencia de una respuesta a un incidente mayor, sin esperar a que el ataque ocurra.

La carta recomienda actualizar o reemplazar sistemas para incorporar “privilegios mínimos, controles de acceso sólidos y defensa en profundidad”, y donde no sea posible parchear sin interrumpir servicios esenciales, aplicar y verificar controles compensatorios.