Como autor de un boletín sobre inteligencia artificial, considero un deber experimentar de primera mano el filo de esta tecnología. Esta semana eso significó abrazar cierto caos agéntico.

Probablemente ya sepan que los modelos de IA de frontera alcanzaron capacidades avanzadas de ciberseguridad en los últimos meses. Pueden encontrar fallas de día cero en bases de código grandes y escanear computadores en busca de vulnerabilidades a una velocidad enorme. Para hacerlo más interesante, los agentes de ciberseguridad a veces se descarrilan, coludiéndose entre ellos y entrando a sistemas externos para sacar ventaja.

Para mirarlo de cerca, decidí soltar uno dentro de mi propia red doméstica. Durante unos días observé cómo mi agente descontrolado encontraba vulnerabilidades en varios dispositivos del hogar, entraba a un computador y me demostraba que varios proyectos programados a la rápida estaban, sin sorpresa, plagados de errores.

El experimento terminó siendo revelador, pero también extrañamente tranquilizador. Mi pequeño duende de red me mostró lo vulnerable que sería mi vida doméstica frente a un ataque asistido por IA, pero además me indicó cómo dejar todo mucho más seguro. Al final descubrí que la mejor forma de lidiar con el hackeo por IA puede ser tener tu propio hacker de IA.

¿Qué es un modelo "abliterado"?

La idea del experimento surgió al descubrir Abliteration AI, una empresa emergente que ofrece acceso a modelos potentes con las barreras de seguridad habituales removidas.

La mayoría de los modelos comerciales se niega a responder ciertas consultas y con certeza se niega a encontrar y explotar vulnerabilidades en sistemas informáticos. Pero es posible eliminar esas restricciones localizando y modificando ciertos patrones dentro de los parámetros internos de un modelo de pesos abiertos. Ese procedimiento se conoce como abliteration.

Remover las barreras puede parecer riesgoso, pero no es raro. Investigadores académicos usan estos modelos desalineados para entender mejor cómo funciona la IA, y las firmas de ciberseguridad los emplean para sondear software y sistemas en busca de fallas. Técnicamente, Mythos de Anthropic y Astra de OpenAI funcionan de manera parecida: son modelos convencionales sin los controles cibernéticos habituales, con acceso limitado por ahora a clientes de confianza.

Abliteration AI ofrece varios modelos completamente desalineados. El más potente es una versión del último modelo agéntico de programación de Z.ai, GLM 5.3. Eso pone capacidades similares a las de Mythos y Astra al alcance de cualquiera por lo que cuesta una pizza.

Devon, el director ejecutivo de Abliteration AI, cree que difundir ampliamente los modelos desalineados es una defensa inteligente, porque ayuda a los buenos a contrarrestar a los malos sondeando sistemas e imitando el comportamiento de hackers, estafadores y agentes de IA descarriados. Pidió que se usara solo su nombre de pila porque en su trabajo formal no saben de este proyecto paralelo.

"Tenés todas estas empresas de infraestructura crítica, desde aerolíneas hasta bancos, que están desplegando agentes como locos", dice Devon. "¿Cómo te asegurás de que un actor malicioso no pueda usar algunos de esos agentes de mala manera?"

¿Qué encontró dentro de la red?

Creé una cuenta en Abliteration AI e instalé un armazón de software llamado CyberStrike, que ayuda a guiar a un modelo de lenguaje a través de distintas tareas de ciberseguridad. Con esa herramienta le pedí a la versión abliterada de GLM-5.3 que revisara mi red local. En pocos momentos encontró alrededor de una docena de sistemas de hardware en la misma red y catalogó varias vulnerabilidades.

Mi ayudante indisciplinado me informó, por ejemplo, que mi impresora estaba mal configurada, lo que significaba que cualquiera en la red podía iniciar sesión en ella. Eso podría ser un problema si hubiera documentos sensibles en la cola de impresión, como declaraciones de impuestos, cartolas bancarias o fichas médicas.

El agente también notó que mi equipo de música Wiim filtraba mucha información. Cualquiera en la red podía reproducir lo que quisiera o ajustar el volumen. El modelo encontró además un puñado de dispositivos de internet de las cosas con firmware que necesitaba actualización.

Un agente ingobernable puede ser muy útil para un atacante. Pero el mío ofreció varios consejos para mantener la red segura. Además de actualizar el firmware desactualizado y asegurar la impresora, recomendó poner los dispositivos conectados, como los parlantes inteligentes, en una red de invitados: si uno quedara comprometido, no podría ver ninguno de mis computadores. Nada mal para un modelo sin moral.

También le pedí que revisara un directorio con proyectos programados a la rápida, incluidos algunos que convertí en sitios web simples. Encontró decenas de problemas, entre ellos credenciales de interfaces de programación sin proteger y una mala configuración que podría permitirle a un atacante enviar correos. Poco sorprendente para material improvisado, pero igual aleccionador.

¿Qué tan lejos llegó el agente?

Correr un modelo abliterado es, para decirlo derechamente, un poco aterrador.

Le pedí que sondeara una máquina Linux de mi red en busca de vulnerabilidades. Tras varios escaneos reportó que parecía relativamente segura. Le pregunté entonces si podía averiguar cómo iniciar sesión. Dedujo con astucia un nombre de usuario válido a partir del nombre de otros sistemas de la red. Probó varias contraseñas obvias, que no funcionaron. También ofreció escribir un script para intentar un ataque de fuerza bruta, pero le ordené detenerse.

Para mi asombro, el agente encontró después una llave criptográfica en mi máquina, la usó para entrar sin contraseña y empezó a buscar la clave para obtener acceso de administrador. Sentí un momento de pánico puro al verlo hurgando entre los directorios. Me hizo preguntarme hasta dónde podría llegar un agente con tal de cumplir su objetivo.

Otros comportamientos pueden ser aún más precarios. Cuando me conecté a mi red inalámbrica unas horas después y le pedí que buscara máquinas nuevas, no solo encontró el router, sino que decidió intentar entrar probando varias combinaciones comunes de usuario y contraseña de administrador. Si hubiera decidido hacer eso en una red ajena, yo estaría en problemas serios.

Shaanan Cohney, científico de la computación en la Universidad de Tufts especializado en ciberseguridad y derecho, dice que el ajuste de cuentas cibernético efectivamente se acerca.

"Los atacantes suelen ser adoptantes tempranos", señala Cohney. "También hay una asimetría: para asegurar un castillo hay que garantizar que no haya ningún agujero ni ningún ladrillo suelto en la muralla. Para invadirlo, basta con encontrar ese único ladrillo suelto."

A largo plazo, según Cohney, la proliferación de modelos con capacidades cibernéticas puede hacer el software más seguro en general. El desafío es que muchas empresas no están pensando en reforzar sus defensas.

¿Hacia dónde va esto?

A menos que los modelos de pesos abiertos se prohíban por completo, las capacidades avanzadas de hackeo asistido por IA estarán muy pronto ampliamente disponibles. Mi experimento me hizo pensar que eso podría ser justo lo que necesitamos. Si asumimos que los malos van a tener acceso a la IA, ¿no deberíamos usarla todos para defendernos?

"Necesitamos ayudar a la gente a usar estas capacidades", dice Aleksander Mądry, profesor del MIT que estudia seguridad en IA y que actualmente está con licencia mientras trabaja para OpenAI. "Creo que va a haber espacio para el código abierto y las herramientas independientes. Aunque sea porque, en última instancia, ese tipo de enfoques son los que tienen permanencia real en el mundo de la seguridad."

Mądry advierte, sin embargo, que un asunto clave será asegurar que quienes administran infraestructura crítica, como plantas de energía o mercados financieros, tengan acceso a IA más potente que el aficionado promedio.

Usar IA sin las barreras habituales es emocionante y alarmante a la vez. Pero si viene un ajuste de cuentas cibernético, probablemente sea hora de equiparse.