Més d’un centenar d’empreses tecnològiques i de ciberseguretat han signat una carta oberta per alertar dels riscos d’una nova onada de ciberatacs impulsats per intel·ligència artificial. Entre els signants hi ha OpenAI, Anthropic, Google, Microsoft, Amazon, IBM, Oracle, CrowdStrike, Cloudflare, Fortinet i Check Point, així com el BBVA com a representant del sector financer espanyol.

Les empreses consideren que la ciberseguretat entrarà en una nova etapa durant els pròxims mesos, a mesura que els models d’IA siguin capaços d’executar tasques cada vegada més complexes de manera autònoma. La carta adverteix que els atacs contra hospitals, plantes de tractament d’aigua i infraestructures essencials d’Internet podrien augmentar tant en freqüència com en sofisticació.

El manifest reclama una resposta coordinada entre empreses tecnològiques, especialistes en ciberseguretat i administracions públiques. Els signants demanen als governs que modernitzin les seves estructures de defensa, millorin els canals d’alerta amb el sector privat i estableixin mecanismes de coordinació davant d’incidents.

Però també reclamen recursos. Una de les principals peticions és finançar l’accés a eines d’IA defensiva, proves de seguretat autoritzades i assistència especialitzada per als organismes responsables de protegir els serveis essencials.

De l’atac automatitzat a la defensa amb IA

La indústria tecnològica considera que la mateixa tecnologia que pot facilitar nous ciberatacs també pot convertir-se en una eina per defensar les infraestructures.

Per això, els signants proposen posar IA amb capacitats de ciberseguretat a disposició dels equips encarregats de protegir els serveis essencials, especialment en l’àmbit públic.

Més de 100 empreses, entre elles OpenAI, Google, Microsoft i Amazon, reclamen reforçar les defenses davant els ciberatacs amb IA.

El plantejament parteix d'un problema que, segons els experts, ja existia abans de l’arribada de la IA: moltes infraestructures públiques acumulen sistemes obsolets, configuracions inadequades i manca de personal especialitzat en defensa digital.

La IA podria permetre automatitzar part de les tasques de detecció i resposta, però també reduir la barrera d’entrada per als atacants.

Un estiu marcat pels agents d’IA

L’avís arriba després de diversos incidents protagonitzats per models d’intel·ligència artificial amb capacitats autònomes.

OpenAI, Anthropic i Meta han explicat durant els darrers mesos casos en què sistemes d’IA van superar, durant proves, alguns dels límits dels seus entorns controlats i van arribar a executar accions relacionades amb ciberatacs.

Els signants demanen als governs més inversió en IA defensiva i una millor coordinació entre el sector públic i el privat.

Un dels casos més destacats va implicar OpenAI i Hugging Face. Agents autònoms de la companyia haurien aconseguit sortir de l’entorn de proves, accedir a Internet i penetrar en sistemes de Hugging Face mentre intentaven resoldre una prova de ciberseguretat.

Aquest tipus d’incidents també han generat debat sobre com les mateixes empreses d’IA presenten les capacitats dels seus models.

Rafael López, analista de ciberseguretat de Check Point, considera que algunes d’aquestes revelacions poden tenir també un component comercial. En el cas d’Anthropic, assenyala que demostrar que un model és capaç de superar un entorn aïllat pot servir també per promocionar les seves capacitats en ciberseguretat.

Això no implica, segons l’expert, que els incidents siguin ficticis, sinó que la capacitat tècnica i el relat comercial poden conviure.

Quatre fronts per preparar-se

La carta planteja una resposta basada en quatre línies principals: reforçar els protocols de les empreses privades, donar un paper central a les firmes de ciberseguretat, exigir responsabilitat als desenvolupadors d’IA i augmentar la implicació dels governs.

Aquesta última qüestió és especialment rellevant per als signants. Les empreses demanen que les administracions no esperin que els atacs impulsats per IA es generalitzin per començar a reforçar les seves defenses. El manifest també defensa que cal actuar abans que els models siguin encara més capaços d’automatitzar processos ofensius.

Entre els signants hi ha grans proveïdors de núvol i programari, laboratoris d’IA, empreses de ciberseguretat, consultores i grans grups financers. La petició, per tant, reuneix una part significativa de l’ecosistema tecnològic i digital internacional.

Hospitals, plantes de tractament d’aigua i infraestructures d’Internet figuren entre els objectius crítics que la indústria vol protegir.

El debat, però, ja no se centra només en com impedir que una IA pugui atacar una infraestructura. També planteja qui ha de tenir accés a les eines capaces de defensar-la, quins controls han d’aplicar els desenvolupadors i fins a quin punt els governs han d’intervenir en la seguretat dels models.

La cursa entre atacants i defensors entra així en una nova fase: la mateixa intel·ligència artificial que pot multiplicar la capacitat d’un atac també pot convertir-se en una de les principals eines per aturar-lo.