Hace menos de cinco años, cuando la inteligencia artificial empezó a inundar las conversaciones de bar y las comidas de trabajo, todos bromeábamos sobre sus alucinaciones. Nos reíamos de unos modelos capaces de sustituir un dato por cualquier afirmación igual de probable que falsa. Preferían, como muchos humanos, rellenar el hueco antes que admitir que no sabían algo.
Pero era una limitación temporal. Mientras la máquina inventaba, algunos empezábamos a creer en sus posibilidades. Poco después, los que alucinaríamos seríamos nosotros.
Porque lo que está ocurriendo con el software, la IA y la ciberseguridad es un cambio de paradigma que apenas empezamos a digerir. Hoy la IA genera código seguro, detecta vulnerabilidades con velocidad pasmosa, automatiza controles de calidad, corrige fallos y simula escenarios. No estamos, ni de lejos, acostumbrados a esa perfección ni a esa velocidad.
¿Por qué es importante?
Buena parte de la ciberseguridad histórica se ha basado en encontrar fallos en el software: un dato mal comprobado en un servidor que permite ejecutar código y controlarlo; un lector de PDF que, al abrir un archivo rebuscado, acaba inyectando malware... Ese conocimiento ha sido, junto con la ingeniería social, la mitad de la munición del atacante. Conocer un fallo relevante en exclusiva costaba, literalmente, millones.
La industria se ha sostenido medio siglo sobre tres pilares alrededor de la vulnerabilidad: lo difícil que es encontrar un fallo, lo rápido que podemos arreglarlo y lo bien que mitigamos el impacto cuando lo aprovecha el atacante. Los tres están a punto de moverse.
Lo que ha cambiado es nuestra velocidad de detección sobre un software que nunca fue seguro. Desde 2025 el número de fallos encontrados se ha multiplicado, y no porque el software sea peor, sino porque tenemos máquinas buscando 24 horas al día, en todo el código, a la vez y de forma tremendamente efectiva. Hablamos de proyectos muy potentes que han pasado de reportar decenas de vulnerabilidades mensuales a cientos a la semana.
Son buenas noticias: estamos arreglando el software a una velocidad de la luz. El problema ahora es de gestión, porque nadie puede solucionar tantos fallos a ritmo humano. Así, la corrección termina también en manos de la IA. Le pedimos a una máquina que encuentre el código inseguro y le pedimos a otra que lo arregle. Mientras, una tercera produce más código que analizar. Lo difícil de asumir es que hemos acelerado el ciclo hasta un límite sobrehumano que hoy por hoy no sé si controlamos.
Y como todo en seguridad, esto tiene luces y sombras: los mismos análisis de la IA sirven a los buenos para eliminar fallos de un programa, y a los malos para atacar una empresa gracias a ese mismo fallo. El gato y el ratón de siempre, pero a cámara ultrarrápida. No nos engañemos, ellos parten con ventaja. Podemos acercarnos, pero nunca ponernos delante. Jamás les veremos otra cosa que sus espaldas.
¿Qué pasará después?
Tenemos que digerir todo esto. Supongo que, a medio plazo, el software histórico acabará con la mayoría de sus vulnerabilidades corregidas y el nuevo nacerá con menos errores. Hasta entonces, toca convivir con un modelo al que nadie está acostumbrado.
Lo interesante es qué pasará al final de este trago. Porque puede resultar bastante anómalo visto desde el ahora, pero cabe una posibilidad tan sorprendente como interesante: que vayamos a un mundo con programas efímeros, instantáneos, volátiles y personalizados. Sistemas completos que, en lugar de construirse con esfuerzo y mantenerse con alto presupuesto, se generen al vuelo cada vez que se usan.
La industria llevaba décadas hablando de vaporware, software o juegos que prometían lo que nunca entregaban porque vivían solo en una presentación. Imagina que aparece lo contrario, el warevapor: programas que cumplen de sobra y, una vez lanzado, se evapora. Mañana lo reemplaza otro y no importa si sufría vulnerabilidades. Se genera uno nuevo y listo.
No estoy alucinando, técnicamente ya es posible. Al igual que generamos contenedores y máquinas virtuales desechables, podría pasar con el software del día a día. Si necesito una base de datos, la pido y se construye.
Los datos viven en alguna estructura estable, pero el cliente y el servidor los diseña y programa un agente en el momento. Si necesito una aplicación en el móvil para jugar, el editor lo genera con una temática común, pero con una programación única para mí. No habría software que atacar, ni una versión específica con un fallo concreto. Tantas versiones como usuarios, tantas variantes como usos, sin homogeneidad que explotar.
Por supuesto que no es la solución definitiva, claro. Emergerían problemas distintos a los de hoy, pero golpearía el corazón de esos tres pilares mencionados. Y si por casualidad este modelo de warevapor fuese perfecto, siempre nos quedará la ingeniería social porque el humano hará lo que mejor sabe hacer: equivocarse.
Quien alucina el último alucina mejor. Mientras lees esto hay un escáner encontrando diez fallos en alguna librería que usas, una IA escribiendo la corrección y un tercer sistema certificando que esa corrección es segura. Ninguno sabe si los otros tienen razón, pero todos están convencidos de que algo debe estar ocurriendo.
Siempre se dijo que la ciberseguridad evolucionaba rápido y no era del todo cierto, en realidad era incremental: perfeccionábamos técnicas y mejorábamos las fórmulas. Pero ahora sí que ha evolucionado. Hemos conseguido introducir una tecnología que nos cambia el paso y que, de tan rápido que nos impulsa, puede hacernos tropezar. Se ha convertido en un espectáculo que observamos mientras pasa, sin entender todavía bien, a fecha de hoy, qué estamos mirando.
