Pocas veces nos preguntamos qué tiene que suceder para que una transferencia llegue a su destino, un documento permanezca privado o nadie más pueda acceder a nuestras cuentas. Simplemente abrimos el móvil y seguimos adelante, porque hemos incorporado esos servicios a nuestra rutina con la naturalidad de quien enciende la luz de casa. Pero detrás de cada operación hay decisiones técnicas, controles y personas que deben que los usuarios rara vez vemos. Nuestra relación con lo digital está construida, en buena medida, sobre esa confianza que damos por sentada.
Nunca hemos tenido garantías absolutas en materia de ciberseguridad, pero sí hemos desarrollado mecanismos para mantener los riesgos bajo control. Una parte fundamental de esa estrategia consiste en hacer que superar determinadas barreras resulte demasiado costoso, complejo o lento para un atacante, mientras los equipos responsables identifican vulnerabilidades y trabajan para corregirlas. El problema es que la inteligencia artificial está empezando a modificar esa relación entre esfuerzo y tiempo, facilitando tareas que antes podían exigir una investigación considerable. Y cuando descubrir un fallo se vuelve más rápido, también aumenta la presión sobre quienes deben solucionarlo.
Una de las voces que ha decidido advertir públicamente sobre este escenario es Jason Clinton, subdirector de ciberseguridad de Anthropic. El 22 de octubre publicó en su cuenta personal de X un mensaje que no deja demasiado espacio para el optimismo: «Por muy mal que se hayan puesto las cosas en los últimos cuatro días, van a empeorar mucho más antes de mejorar. Responsables de seguridad, nunca desaprovechéis una crisis: acudid a vuestros consejos de administración y pedid ayuda ahora mismo. No para la inteligencia artificial, sino para lo básico. (Tenemos que aguantar unos 18 meses)».
Su trayectoria ayuda a entender por qué merece la pena prestar atención a estas palabras. Antes de incorporarse a Anthropic en abril de 2023 como su primer director de Seguridad de la Información (CISO), Clinton pasó más de una década en Google, donde llegó a dirigir la seguridad de la infraestructura de Chrome. Actualmente ocupa el puesto de subdirector en la empresa responsable de Claude, desde el que contribuye a definir su estrategia de seguridad. Su experiencia también aparece reflejada en dos artículos publicados por Anthropic en julio de 2026, dedicados a la seguridad de los agentes de IA y del desarrollo de software.
Para entender el contexto de esa advertencia, conviene detenernos en lo que ha ocurrido durante los últimos días, aunque Clinton no haya vinculado expresamente sus palabras con estos acontecimientos. Como hemos documentado ampliamente en Xataka, el 20 de octubre comenzaron a circular los identificadores de dos vulnerabilidades críticas de PHP, antes de que se publicaran sus detalles técnicos. Los fallos, conocidos conjuntamente como PHP2Shell y calificados con una gravedad de 9,2 sobre 10, podrían permitir a un atacante ejecutar código en servidores vulnerables sin autenticarse.
Un «tsunami» de vulnerabilidades
La urgencia no terminó con la publicación de esas correcciones. Amazon asegura que ya había detectado un intento de explotación el 17 de octubre, cuatro días antes de la divulgación oficial, mientras que Cloudflare, según su consejero delegado, llegó a registrar millones de intentos tras conocerse los fallos. Ante esa presión, ENISA y otros organismos europeos recomendaron aislar de las redes públicas las aplicaciones expuestas que no pudieran actualizarse inmediatamente. La urgencia también tuvo consecuencias visibles: según Reuters, administraciones europeas suspendieron temporalmente servicios digitales como medida preventiva.
Este episodio ilustra una de las grandes preocupaciones que está generando la inteligencia artificial en el ámbito de la ciberseguridad. Los modelos más avanzados pueden ayudar a encontrar fallos, analizar sus causas y desarrollar métodos para explotarlos, reduciendo el esfuerzo que requieren determinadas tareas. De hecho, la PHP Foundation reconoce que los primeros indicios de uno de estos problemas se remontaban a 2024, pero las dificultades técnicas y la falta de recursos habían retrasado su corrección. Descubrir una vulnerabilidad no significa que su solución sea inmediata: desarrollar, comprobar y desplegar parches sigue exigiendo tiempo. Anthropic ya advertía de esta situación en un documento publicado en abril de 2026 y firmado, entre otros, por el propio Jason Clinton.
La preocupación del ejecutivo venía de antes. En agosto había reaccionado en X a una publicación de la Agencia de Seguridad Nacional estadounidense (NSA) sobre amenazas contra controladores industriales, utilizados en infraestructuras críticas. El organismo alertaba de actividades maliciosas que recurrían a scripts generados con IA contra determinados sistemas industriales, pero fue Clinton quien dio un paso más: aseguró que se acercaba un «tsunami de vulnerabilidades» y que podría no haber tiempo suficiente para aplicar parches. Por eso reclamó aislar determinadas redes y utilizar diodos de datos, dispositivos que permiten transmitir información en una sola dirección.
Su recomendación más reciente también tiene una lectura empresarial que merece nuestra atención. Cuando pide a los responsables de seguridad que acudan a sus consejos de administración, está señalando a los órganos encargados de supervisar las grandes decisiones estratégicas de una compañía. No significa que sus miembros tengan que aprobar cada gasto tecnológico, pero sí que pueden respaldar inversiones, exigir cambios y situar determinados riesgos entre las prioridades de la organización.
Otra de las claves de su advertencia está en aquello para lo que no reclama recursos: nuevas herramientas de inteligencia artificial. Su petición es reforzar las medidas de seguridad fundamentales. Hablamos, por ejemplo, de controlar quién puede acceder a los sistemas, exigir autenticación multifactor, mantener copias de seguridad recuperables y disponer de procedimientos claros para responder ante un incidente. Son medidas conocidas, pero cuya aplicación exige tiempo, personal y presupuesto.
¿Y qué tendría que suceder dentro de esos 18 meses para que las cosas empezaran a mejorar? Clinton lo explicó después en otra publicación de X con un concepto que llamó «vulnzero». Confía en que las capacidades de ciberseguridad hoy asociadas a los modelos de IA más avanzados terminen llegando a versiones mucho más pequeñas y económicas, hasta integrarse de forma generalizada en el desarrollo de software y, según su previsión, evitar que sigan llegando errores de seguridad a los productos publicados.
Quizás la cuestión de fondo no sea hasta dónde pueden llegar los modelos de inteligencia artificial, sino qué hacemos mientras sus capacidades siguen avanzando. Clinton plantea un futuro en el que esta misma tecnología permita encontrar y corregir errores antes de que lleguen a los usuarios, pero ese escenario continúa siendo una previsión. Entretanto, las organizaciones deben tomar decisiones con los recursos disponibles y los riesgos que ya conocen, sin confiar su protección a una mejora que todavía no se ha producido.
Imágenes | SANS Institute (edición Xataka) | Captura de pantalla X
–
La noticia
«Van a empeorar mucho más»: Jason Clinton, subdirector de ciberseguridad de Anthropic, advierte de lo que está por venir
fue publicada originalmente en
Xataka
por
Javier Marquez
.
