La inteligencia artificial suele aparecer como la principal sospechosa cada vez que se habla de nuevas amenazas digitales. Pero ¿está detrás de la mayoría de los ciberataques o está haciendo más visibles las fallas que las organizaciones llevan años acumulando? En una entrevista sobre ciberseguridad e IA, Victoria Martínez, responsable de la plataforma de inteligencia artificial de Red Hat en Latinoamérica, propone mirar más allá del titular.
Según Martínez, muchos incidentes siguen aprovechando exploits tradicionales, sistemas desactualizados y controles insuficientes. La IA no necesariamente creó esas vulnerabilidades, pero puede facilitar su identificación y ampliar la capacidad de quienes buscan explotarlas. Para las empresas de Colombia y la región, esto pone en primer plano una tarea menos llamativa y urgente: fortalecer la seguridad básica de sus sistemas.
La deuda técnica también es un riesgo de ciberseguridad
Sin lugar a dudas, la deuda técnica se acumula cuando una organización posterga actualizaciones, mantiene sistemas difíciles de proteger o conserva configuraciones débiles. Estas decisiones pueden parecer manejables por separado, pero juntas amplían la superficie de ataque.
En la entrevista, Victoria plantea que la IA puede actuar como un amplificador: hace más accesibles ciertas capacidades y expone debilidades previas. Por eso, atribuir cada incidente a la inteligencia artificial puede distraer de los problemas concretos que sí es posible corregir, como vulnerabilidades sin parchear, permisos excesivos y una gestión deficiente de identidades.
De las políticas en papel a la seguridad desde la arquitectura
Otro eje de la conversación es cómo pasar de una gobernanza basada solo en documentos y comités a controles técnicos incorporados en la arquitectura. El enfoque incluye principios Zero Trust, administración de identidades, cifrado y control de las entradas y salidas de los sistemas.
La protección debe abarcar las distintas capas de la infraestructura, desde el sistema operativo hasta los recursos de cómputo especializados, como las GPU. Esto es relevante para empresas que están desplegando soluciones de IA y necesitan proteger tanto sus datos como los modelos y servicios que conectan con ellos.
Los riesgos para sectores críticos de América Latina
También es necesario abordar la seguridad de sectores críticos, entre ellos salud. Allí, un incidente puede afectar la disponibilidad de servicios, la confidencialidad de datos sensibles y la continuidad de la operación.
El desafío para las organizaciones latinoamericanas consiste en diseñar controles que funcionen en la práctica y que puedan adaptarse a infraestructuras diversas. La seguridad no depende de una única herramienta: requiere revisar accesos, mantener sistemas al día, limitar privilegios y preparar respuestas ante incidentes.
Cómo proteger agentes de inteligencia artificial
A medida que los agentes de IA se conectan con aplicaciones y datos empresariales, surgen nuevas preguntas: ¿con qué identidad operan?, ¿qué información pueden consultar?, ¿qué acciones están autorizados a ejecutar y cómo queda registro de ellas?
Red Hat actualmente aborda la protección de prompts, la trazabilidad y las pruebas adversariales. También existe Mind Dojo, un framework de código abierto que, se integra con Red Hat OpenShift AI 3.6 para realizar ejercicios de red teaming antes de llevar modelos a producción. La meta es detectar comportamientos o debilidades antes de que una aplicación llegue a usuarios y procesos reales.
Cadena de suministro de software y código abierto
La seguridad también depende de los componentes que forman una aplicación. Una vulnerabilidad en una biblioteca o dependencia puede afectar a numerosos sistemas, por lo que conocer el origen y la integridad del software se vuelve parte de la estrategia de defensa.
Es de vital importancia revisar la cadena de suministro y acelerar la remediación de vulnerabilidades. Además, de explorar el papel del código abierto y la soberanía de la IA: la capacidad de auditar modelos, entender cómo se despliegan y conservar opciones para trasladarlos entre entornos.
Soberanía de IA: control, portabilidad y resultados
En este contexto, soberanía no significa únicamente elegir entre modelos abiertos y propietarios. También implica saber qué modelo se está usando, qué hace, cómo lo hace, qué controles lo protegen, si puede auditarse y cómo se integra con los sistemas de la organización.
El tema de la cuantización, permite reducir los recursos necesarios para ejecutar ciertos modelos, y la necesidad de construir sistemas más trazables y explicables. Para las empresas estos criterios pueden ayudar a evaluar si una solución de IA es viable, segura y útil para un objetivo concreto de negocio.
Una conversación para separar el mito del riesgo real
¿La IA tiene la culpa de los ciberataques? La entrevista invita a distinguir entre las amenazas nuevas y las vulnerabilidades que ya existían. La inteligencia artificial puede acelerar capacidades y cambiar la escala de ciertos riesgos, pero la gestión de sistemas, identidades y software sigue siendo esencial.
Por todo lo anterior, vale la pena cambiar la pregunta: además de preguntarnos qué nuevos riesgos trae la IA, ¿estamos cerrando las brechas que ya conocemos? La respuesta pasa por una seguridad integrada desde la arquitectura, controles verificables y pruebas antes de llevar modelos y agentes a producción. Esa mirada completa puede llevar a las empresas al uso responsable de la tecnología.
