Cuando los agentes de IA atacan: la brecha de gobernanza en Europa

En enero de 2026, una nueva plataforma en línea llamada Moltbook apareció discretamente en internet. Anunciada como «la página principal de la internet de los agentes», la plataforma se asemejaba a una red social conocida. Los usuarios formaban comunidades, debatían ideas y organizaban proyectos colaborativos. Pero Moltbook tenía una diferencia crucial: ninguno de sus usuarios era humano. La plataforma estaba diseñada exclusivamente para agentes de inteligencia artificial (IA) autónomos: sistemas de software capaces de leer, razonar, publicar e interactuar entre sí sin instrucciones humanas directas. Los humanos eran «bienvenidos a observar». A los pocos días del lanzamiento de Moltbook, se habían creado más de 1,5 millones de cuentas de agentes.

El experimento Moltbook fue importante porque demostró lo que sucede cuando los agentes autónomos se convierten en una población en lugar de herramientas aisladas. Reveló tanto un fallo técnico como un problema de gobernanza.² ^En cuanto al primer aspecto, una base de datos mal configurada en la plataforma Moltbook provocó una fuga de datos que expuso 1,5 millones de tokens de autenticación de la interfaz de programación de aplicaciones (API), decenas de miles de direcciones de correo electrónico y comunicaciones privadas entre agentes.³ ^Sin embargo, la lección más importante fue estructural: detrás de los sistemas autónomos se encontraban tan solo 17 000 operadores humanos que controlaban un promedio de casi noventa agentes cada uno. En un entorno así, incluso una falla de seguridad común tiene consecuencias inesperadas, porque la identidad, la autoría y la responsabilidad se vuelven mucho más difíciles de rastrear cuando las máquinas actúan a gran escala en nombre de un pequeño número de humanos.

El cambio generalizado de herramientas de IA aisladas a capacidades cibernéticas con agentes se ha acelerado en los últimos meses. En 2025, grupos vinculados a China utilizaron Claude, el modelo de lenguaje a gran escala (LLM) de la empresa de IA Anthropic, contra gobiernos extranjeros e infraestructuras críticas en la primera operación a gran escala asistida por IA de la que se tiene constancia pública.⁴ ^Tan solo unos meses después, en abril de 2026, la misma empresa anunció que no pondría a disposición del público Claude Mythos Preview, su último modelo de frontera de propósito general, alegando su capacidad para identificar y explotar de forma autónoma vulnerabilidades de día cero en todos los principales sistemas operativos y navegadores web.⁵ ^{Inicialmente , Anthropic restringió el acceso al modelo a través del Proyecto Glasswing, un consorcio de empresas y organizaciones que mantienen software crítico, entre las que se incluyen Amazon Web Services, Apple, Google, JPMorgan Chase, Microsoft y Nvidia; en junio de 2026, el acceso se amplió a 150 organizaciones adicionales en quince} países.⁶

La iniciativa refleja una lógica que prioriza a los defensores al otorgar acceso anticipado privilegiado para que las vulnerabilidades puedan detectarse y corregirse antes de que una capacidad se extienda. Pruebas independientes realizadas por el Instituto de Seguridad de IA del Reino Unido (UK) descubrieron que Mythos Preview resolvió desafíos de captura de bandera de nivel experto el 73 por ciento de las veces y fue el primer modelo en completar una intrusión de red simulada de treinta y dos pasos de principio a fin, mientras que tuvo dificultades para penetrar un entorno reforzado y activamente defendido. ⁷ Que un desarrollador de vanguardia ahora considere que uno de sus modelos de propósito general es demasiado peligroso para su lanzamiento público es una señal preocupante de que la frontera entre las operaciones cibernéticas asistidas por IA y la capacidad cibernética autónoma se está difuminando.

Esta frontera se ha convertido en una cuestión no solo de restricción técnica, sino también de control de la seguridad nacional. Al momento de redactar este informe, una directiva de control de exportaciones del gobierno estadounidense exige a Anthropic que suspenda el acceso a sus modelos de IA Fable 5 y Mythos 5 para todos los ciudadanos extranjeros, incluidos los propios empleados de la empresa, lo que en la práctica inhabilita los modelos para todos los clientes.⁸ Esta medida demuestra que el acceso a modelos cibernéticos de vanguardia puede ser reorganizado abruptamente por una autoridad estatal unilateral, y no solo por políticas de seguridad de los desarrolladores o decisiones de lanzamiento voluntarias ^.

Estos episodios constituyen demostraciones públicas y contundentes de los riesgos de seguridad que surgen al implementar agentes de IA autónomos a gran escala sin una gobernanza adecuada, medidas de seguridad ni siquiera una higiene técnica básica. Ofrecen un primer vistazo a una realidad que emerge rápidamente: un ecosistema digital en el que los sistemas de IA autónomos interactúan, cooperan y potencialmente compiten a la velocidad de las máquinas, a menudo con una supervisión humana limitada. En estos entornos, los riesgos de ciberseguridad ya no provienen exclusivamente de personas malintencionadas que utilizan herramientas cada vez más potentes. En cambio, estos riesgos surgen de sistemas de software autónomos capaces de iniciar acciones, encadenar decisiones e interactuar por sí mismos a través de infraestructuras digitales. En lugar de asistir a atacantes humanos, estos sistemas pueden funcionar cada vez más como actores en sí mismos, capaces de realizar reconocimiento, identificar vulnerabilidades, escribir exploits y ejecutar ataques en ciclos iterativos.

Esta evolución no solo acelera las amenazas existentes, sino que también modifica la estructura del entorno de amenazas. Los marcos de ciberseguridad diseñados en torno a adversarios humanos, operadores identificables y cadenas de ataque secuenciales ya están sobrecargados y tendrán aún más dificultades para hacer frente a sistemas autónomos que operan de forma continua y a gran escala.

Para la Unión Europea (UE), estos acontecimientos plantean problemas urgentes de gobernanza que requieren una respuesta política más ágil y rápida que los enfoques actuales. Si bien los sistemas más avanzados aún tienen dificultades con la planificación a largo plazo, la gestión estatal y la recuperación de errores, el reto estratégico para los responsables políticos europeos es adaptarse con la suficiente rapidez: no en décadas, sino en ^años.⁹

Cabe destacar tres tendencias. En primer lugar, la denominada IA ​​con agentes representa un cambio estructural en el panorama de las ciberamenazas, ya que introduce nuevas superficies de ataque y dinámicas operativas que difieren de las formas anteriores de actividad cibernética habilitada por IA. En segundo lugar, los marcos de gobernanza de la ciberseguridad y la IA existentes en la UE solo abordan parcialmente estos riesgos, dejando lagunas en la forma en que se implementan, supervisan y protegen los sistemas autónomos. En tercer lugar, la rápida integración de modelos avanzados de IA en la estrategia cibernética de EE. UU., junto con la dependencia tecnológica de la UE de la infraestructura de IA estadounidense, complica la capacidad del bloque para definir la gobernanza de estas tecnologías.

En conjunto, estos avances plantean un doble desafío para Europa: normas inadecuadas para gestionar las operaciones cibernéticas autónomas en tiempo real; y la dependencia de un ecosistema de IA estadounidense cuyas prioridades estratégicas y normativas podrían divergir de los objetivos europeos con el tiempo. Si los sistemas de IA autónomos se convierten en una práctica habitual en los ciberconflictos, el problema de Europa no reside en la cantidad de regulaciones, sino en su idoneidad: el marco normativo de la UE se diseñó para operadores humanos y software estático, no para sistemas autónomos que operan en entornos de confianza a velocidad de máquina.

El giro hacia la gestión en la ciberseguridad

La IA agente se refiere a arquitecturas de software que combinan modelos de lógica de aprendizaje (LLM) con bucles de planificación, acceso a herramientas, memoria y mecanismos de retroalimentación, lo que permite a los sistemas alcanzar objetivos de forma autónoma en entornos digitales. A diferencia de la automatización tradicional o las herramientas asistidas por IA que ejecutan instrucciones predefinidas, los sistemas agentes pueden observar su entorno, elegir sus acciones, evaluar los resultados y ajustar iterativamente su comportamiento con una supervisión humana limitada. En contextos de ciberseguridad, esto significa que el propio sistema puede orquestar secuencias complejas de acciones, desde el reconocimiento hasta la explotación, en lugar de limitarse a asistir a un operador humano.

Históricamente, la ciberseguridad se ha organizado en torno a la suposición de un adversario humano y las limitaciones en cuanto a la velocidad y complejidad de los ataques que esto implica. Esta suposición dio forma a sus características definitorias: cronogramas de intrusión medidos en horas y días, cadenas de ataque que se mueven secuencialmente desde el reconocimiento hasta la exfiltración, y marcos de atribución basados ​​en firmas de comportamiento. ¹² Durante gran parte de la última década, la intersección de la IA y la ciberseguridad se ha centrado en un conjunto relativamente limitado de cuestiones, desde la detección de anomalías basada en el aprendizaje automático hasta, más recientemente, el uso de modelos generativos para acelerar el phishing, el desarrollo de malware y la ingeniería social a gran escala. ¹³ Estas son amenazas reales y graves que comparten un elemento común: una participación humana significativa en el proceso, es decir, una persona todavía establece el objetivo e impulsa la operación.

El cambio de herramientas asistidas por IA a sistemas basados ​​en agentes desafía muchas suposiciones tradicionales sobre ciberseguridad y transforma el panorama de amenazas de tres maneras estructurales. ¹⁴ Primero, en lo que respecta a la autonomía, los atacantes pueden delegar la toma de decisiones a agentes de software que pueden ejecutar operaciones de varios pasos de forma independiente. Segundo, en cuanto a la escala, un solo operador puede desplegar cientos o miles de agentes que operan simultáneamente en diferentes objetivos. Finalmente, en términos de superficies de ataque cognitivas, los adversarios se dirigen cada vez más al comportamiento de los propios sistemas de IA —mediante la inyección de indicaciones (disfrazando entradas maliciosas como indicaciones legítimas), el jailbreaking (insertando instrucciones que permiten a un sistema eludir sus restricciones de seguridad) o la manipulación de datos— y no solo explotan vulnerabilidades de software. ¹⁵

Técnicamente, la mayoría de los sistemas basados ​​en agentes operan mediante un ciclo de decisión recurrente. Un LLM genera un plan, selecciona una herramienta (como la navegación web, la ejecución de código o las consultas a bases de datos), ejecuta la acción y evalúa el resultado antes de decidir el siguiente paso. El sistema también puede almacenar información en su memoria y recuperar datos de fuentes externas. Esta arquitectura permite a los agentes encadenar decenas de acciones sin intervención humana, creando un comportamiento operativo similar a una campaña cibernética continua, no a un único exploit programado.

Lo que importa aquí no es solo la automatización del reconocimiento o la explotación. Los sistemas cibernéticos altamente autónomos también dependen de capacidades operativas: la capacidad de establecer infraestructura, coordinarse entre múltiples instancias, adquirir recursos informáticos y financieros, evadir la detección y el apagado, y mejorar iterativamente su propio rendimiento. Este conjunto operativo más amplio es lo que transforma la IA con agentes de una herramienta útil en un actor cibernético potencialmente persistente. ¹⁶

El aprendizaje por refuerzo —el método de entrenamiento que orienta a los agentes hacia objetivos— produce sistemas indiferentes a los medios que utilizan para alcanzarlos. El trabajo del Centro de Estándares e Innovación de IA del Instituto Nacional de Estándares y Tecnología de EE. UU. ha demostrado que, cuando los agentes disponen de herramientas flexibles, como la ejecución de código, pueden explotar lagunas e incluso manipular las reglas y controles circundantes de forma que parezcan exitosos.

Como han observado repetidamente los expertos en ciberseguridad, los agentes de IA que operan mediante aprendizaje por refuerzo no están programados para respetar el espíritu de las restricciones que se les imponen. En cambio, están programados para tener éxito en su tarea y explotar cualquier vía disponible para lograrlo. Esto tiene implicaciones directas e inquietantes para el diseño de la seguridad empresarial y la gobernanza regulatoria. Por ejemplo, un agente de IA empresarial encargado de recopilar información sobre amenazas a partir de correos electrónicos, documentos internos y la web abierta podría encontrarse con una solicitud maliciosa incrustada en una página web o un archivo adjunto que le indique que ignore las restricciones previas, extraiga credenciales confidenciales y las envíe a un servidor externo. Dado que el agente está optimizado para completar la tarea en lugar de comprender el espíritu de la política de seguridad, podría interpretar esa instrucción hostil como un paso legítimo hacia su objetivo.

Si bien la IA con agentes reduce los tiempos de detección de meses a segundos y disminuye las barreras para la automatización ofensiva, también elimina los cuellos de botella cognitivos o logísticos que limitaban a los adversarios en el pasado y crea problemas de atribución que los marcos existentes encuentran difíciles de abordar. ²⁰ Aunque estos marcos aún pueden funcionar en tales contextos, la atribución se está volviendo más compleja y más susceptible a señales falsas o alucinaciones generadas por máquinas, especialmente cuando los sistemas con agentes operan sin supervisión humana directa.

La infraestructura de ciberseguridad tradicional parte de la premisa de que las acciones son atribuibles a usuarios humanos o servicios identificables. Los sistemas basados ​​en agentes difuminan esta distinción. Miles de agentes autónomos pueden actuar en nombre de un único individuo u organización, a menudo sin marcadores externos claros que los distingan de los usuarios humanos, ocultando así la identidad del perpetrador. ²¹ Las propuestas emergentes, que incluyen identidades de agentes criptográficas y registros de acciones auditables, sugieren que las futuras infraestructuras digitales podrían necesitar mecanismos para verificar si una interacción se origina en un operador humano o en un sistema autónomo. ²²

La IA potencia la lucha contra el cibercrimen y el espionaje.

En noviembre de 2025, Anthropic reveló un incidente que los investigadores describieron como uno de los primeros casos reportados públicamente en el que se utilizó un LLM como componente central de una campaña automatizada de intrusión cibernética. ²³ Anthropic evaluó con alta probabilidad que la operación había sido llevada a cabo por un grupo patrocinado por el Estado chino y la describió como el primer caso documentado de un ciberataque a gran escala ejecutado sin una intervención humana sustancial. ²⁴ Un actor malicioso había reutilizado el asistente de IA de la compañía, Claude, para convertirlo en el componente central de una campaña de pirateo autónoma. Utilizando el jailbreaking basado en indicaciones para presentar la IA como una herramienta legítima de ciberseguridad, el atacante ordenó a Claude que llevara a cabo la mayor parte del proceso de intrusión de forma independiente: reconocimiento, detección de vulnerabilidades, desarrollo de exploits, acceso inicial y exfiltración de datos. ²⁵ Se estima que la IA llevó a cabo entre el 80 y el 90 por ciento de la operación sin guía humana, trabajando a velocidad de máquina y comprimiendo en tan solo unos días lo que habría requerido meses de esfuerzo humano especializado. ²⁶

Este no fue un incidente aislado. Casi al mismo tiempo, Google informó que los ciberdelincuentes estaban experimentando con malware habilitado por IA y haciendo un uso indebido de modelos a lo largo del ciclo de vida del ataque. En un caso, el grupo de ciberespionaje APT28, respaldado por el gobierno ruso, utilizó PROMPTSTEAL, una herramienta de minería de datos que consultó un modelo de lógica descriptiva de código abierto a través de la empresa estadounidense de IA Hugging Face contra objetivos ucranianos. Por separado, Google observó que actores patrocinados por estados, incluidos los de China, Irán y Corea del Norte, hacían un uso indebido de su asistente de IA Gemini para reconocimiento, phishing, desarrollo de comandos y control, y apoyo a la exfiltración de datos. ²⁷ OpenAI informó patrones similares de uso indebido vinculado a estados en toda su plataforma. ²⁸

La coincidencia entre los diversos proveedores de modelos de vanguardia demuestra que la instrumentalización de la IA comercial no es un problema exclusivo del sistema de seguridad de ninguna empresa. Se trata, cada vez más, de un aspecto estructural del panorama actual, en el que las mismas capacidades que hacen que los modelos de lógica descriptiva sean útiles para el desarrollo de software, la generación de código y el análisis de sistemas también los convierten en herramientas eficaces para operaciones cibernéticas ofensivas.

Por lo tanto, la importancia del incidente de noviembre de 2025 va más allá de la brecha específica que permitió. Varios aspectos estructurales de la campaña requieren una atención política continua para anticipar tendencias futuras. El ataque no explotó una falla técnica en el código de Claude, sino un método de ingeniería social aplicado directamente al modelo. Tradicionalmente, este método —el jailbreaking— ha sido una técnica especializada que ha superado los esfuerzos de defensa de los proveedores de modelos. Pero con los recientes avances en los modelos de IA, esta práctica está pasando de ser una técnica especializada a una capacidad generalizada, mediante la cual los modelos pueden generar automáticamente indicaciones efectivas de jailbreaking en varios pasos, reduciendo la barrera de habilidad.

Los ciberdelincuentes eluden las restricciones éticas y de seguridad mediante el uso de nuevas herramientas para aprovechar o crear modelos de aprendizaje automático con fines maliciosos. ²⁹ Los potentes modelos de IA generativa maliciosa, como WormGPT, facilitan enormemente la creación de ataques realistas a gran escala. ³⁰ El caso Anthropic demuestra que actores estatales sofisticados ya han comenzado a incorporar la manipulación de IA basada en avisos en sus operaciones cibernéticas ofensivas, lo que evidencia que estas técnicas están pasando de la experimentación a campañas reales.

El caso también revela el efecto multiplicador de fuerza que caracteriza a las operaciones ofensivas con IA. Si bien este episodio no implica la democratización total de las capacidades cibernéticas ofensivas, dado que involucró a un actor vinculado a un Estado con gran capacidad, sí demuestra cómo la IA puede comprimir el tiempo, reducir la carga de trabajo y ampliar el alcance operativo incluso de un pequeño número de operadores humanos. Los Estados con recursos limitados en ciberseguridad podrían, cada vez más, desplegar capacidades de intrusión sofisticadas combinando unos pocos operadores con potentes agentes de IA. Los actores no estatales, las organizaciones criminales y los grupos con motivaciones ideológicas también podrían enfrentar barreras menos estrictas con el tiempo, a medida que las técnicas de jailbreak, los modelos abiertos y las herramientas maliciosas se difundan más allá del ámbito estatal.

Quizás lo más significativo en términos de gobernanza sea que el caso de Anthropic expuso las limitaciones de los marcos de seguridad de IA actuales como medidas de seguridad. La alineación de seguridad, que implica entrenar a los modelos de lógica descriptiva para rechazar solicitudes dañinas, resultó insuficiente frente a la incitación adversaria persistente y el jailbreaking. ³¹ En este sentido, los defensores no pueden depender de que los modelos se autorregulen. Esto tiene serias implicaciones para la forma en que los reguladores, los implementadores y los desarrolladores perciben la relación entre la seguridad de la IA y la ciberseguridad, que son campos relacionados pero distintos, y los avances en uno no garantizan la seguridad en el otro.

La tensión entre los compromisos de seguridad y las exigencias operativas alcanzó un punto crítico en febrero de 2026, cuando el secretario de defensa de EE. UU. exigió a Anthropic que concediera acceso militar sin restricciones a Claude o se arriesgara a perder un contrato gubernamental de 200 millones de dólares. ³² Anthropic se negó a cruzar dos líneas rojas establecidas: el ataque letal totalmente autónomo sin supervisión humana y la vigilancia masiva interna. En consecuencia, el Departamento de Defensa designó a Anthropic como un riesgo para la seguridad nacional en su cadena de suministro. ³³

La importancia de este caso radica en las cuestiones de gobernanza que plantea. La disputa se centró en los usos futuros permitidos de la IA de vanguardia, especialmente las armas autónomas y la vigilancia interna, y en quién establece las condiciones de control posterior una vez que un modelo se integra en entornos militares clasificados. Por lo tanto, el caso pone de manifiesto la rapidez con la que las garantías de los proveedores se ven comprometidas cuando el poder de negociación en materia de adquisiciones y la dependencia operativa determinan las condiciones de uso. Asimismo, demuestra que la alineación con la seguridad es inseparable del poder de negociación en materia de adquisiciones, la presión estatal y la influencia corporativa sobre el uso militar posterior.

La política de la IA militar se debate cada vez más a través de la legislación y la doctrina, así como mediante el lenguaje contractual, las amenazas de listas negras y las designaciones de la cadena de suministro. ³⁴ En el caso de Anthropic, la rapidez con la que un competidor irrumpió en ese ámbito puso de manifiesto esta situación. El contrato militar adjudicado a OpenAI apenas unas horas después de la prohibición de Anthropic demuestra la rapidez con la que la demanda estatal y la competencia del mercado pueden reconfigurar el entorno práctico de gobernanza en torno a los modelos de vanguardia. ³⁵

Para los implementadores europeos que dependen de modelos desarrollados en EE. UU., la lección principal radica en la durabilidad y el control. Cuando las condiciones prácticas de la implementación se rigen por el poder de contratación y la doctrina de seguridad de EE. UU., los marcos de gobernanza europeos requieren salvaguardias operativas más sólidas. El problema no reside únicamente en que los agentes de IA puedan utilizarse como armas para operaciones cibernéticas, sino también en que las salvaguardias de los desarrolladores pueden eludirse, mientras que el uso posterior se ve condicionado por el poder estatal y la influencia en las adquisiciones, en lugar de por los compromisos de los proveedores. La lección es que los implementadores europeos dependen cada vez más de modelos de vanguardia desarrollados, gestionados y sometidos a presión política fuera de Europa. Si se puede obligar a los proveedores de modelos a flexibilizar o reinterpretar sus compromisos de seguridad bajo la presión de la seguridad nacional estadounidense, Europa no puede considerar la alineación con los proveedores como un sustituto estable de sus propios controles operativos, condiciones de contratación y supervisión en tiempo real.

Máquinas de ataque y la ilusión de la barandilla

El caso de Anthropic también pone de relieve una gama más amplia de fallos en las medidas de seguridad que se han vuelto alarmantemente comunes en el despliegue de agentes de IA comerciales. En febrero de 2026, Microsoft confirmó que un error en su producto 365 Copilot Chat había provocado que el asistente de IA resumiera correos electrónicos confidenciales durante semanas, eludiendo las políticas de prevención de pérdida de datos (DLP) empresariales y las etiquetas de confidencialidad configuradas explícitamente para impedir dicho acceso.36 ^La vulnerabilidad afectó a los correos electrónicos almacenados en las carpetas de Elementos enviados y Borradores de los usuarios de toda la base de clientes empresariales de Microsoft. La IA no había recibido instrucciones directas para procesar material confidencial. Lo procesó de todos modos, no por intención maliciosa, sino porque un error de codificación le permitió eludir la capa de gobernanza entre el modelo y los datos. La cuestión no es que Copilot se descontrolara, sino que los controles empresariales diseñados para software convencional pueden fallar cuando se concede a un asistente de IA un amplio acceso semántico a través de los sistemas de comunicación y documentación.

El incidente de Microsoft Copilot pone de manifiesto un problema más amplio. Las herramientas DLP buscan prevenir el intercambio deliberado o accidental de información confidencial. Sin embargo, los asistentes de IA funcionan de manera diferente. ³⁷ Para ser eficaces, necesitan acceder y procesar grandes cantidades de datos provenientes de correos electrónicos, documentos, chats y almacenamiento en la nube. Una vez que un sistema de IA se integra en los sistemas cotidianos del lugar de trabajo, puede acceder a todo lo que estos sistemas pueden acceder. ³⁸ Simplemente adjuntar las reglas DLP existentes a estas herramientas crea brechas, ya que los controles no fueron diseñados para el acceso y la síntesis impulsados ​​por la IA.

Un enfoque más seguro sería diseñar los permisos, la monitorización y la gobernanza teniendo en cuenta la IA desde el principio, en lugar de modificarlos después de la implementación. En ese contexto, el riesgo principal reside en que un asistente de IA actúe basándose en el acceso semántico en lugar de en la intención claramente definida del usuario. Un agente de entorno laboral capaz de leer correos electrónicos confidenciales, redactar mensajes, resumir documentos y buscar en repositorios internos opera dentro del entorno de confianza de la organización con una visibilidad contextual inusualmente amplia. Esto crea una superficie de ataque mayor: una instrucción maliciosa oculta en un correo electrónico, un archivo adjunto, un documento compartido o una página web puede influir en cómo el asistente interpreta su tarea y qué información recupera o transmite.

En este sentido, el verdadero problema de gobernanza es arquitectónico. Se refiere a cómo se define el alcance del acceso, cómo se registran las acciones de los agentes, si las identidades de los agentes se pueden distinguir de las de los usuarios humanos y si la autorización se puede aplicar dinámicamente a medida que los agentes se mueven entre sistemas. En un entorno similar a Copilot, el peligro reside en que el amplio acceso del asistente a datos confiables del lugar de trabajo convierta una instrucción maliciosa oculta en una orden operativa.

Uno de los ejemplos más claros de esta práctica es la inyección de instrucciones. ³⁹ Los atacantes pueden insertar instrucciones ocultas en los datos que un asistente empresarial debe leer, como un documento, un correo electrónico o una página web. Dado que los sistemas de gestión de lenguaje procesan el texto como información y posibles instrucciones, el asistente puede interpretar esas señales maliciosas como parte de la solicitud del usuario. En un entorno similar al de Copilot, esto podría significar que una tarea de resumen aparentemente rutinaria extraiga material sensible de correos electrónicos protegidos, siga una instrucción maliciosa en un documento o incluya contenido confidencial en una respuesta externa. En la práctica, esto difumina la frontera tradicional entre datos y código, creando una superficie de ataque que los controles de ciberseguridad convencionales no están diseñados para monitorear.

El ecosistema de Moltbook puso de manifiesto esta vulnerabilidad estructural de una forma diferente. En el centro de la plataforma se encontraba OpenClaw, un marco de agente de IA diseñado para operar con amplios permisos en los dispositivos locales de los usuarios. Podía leer y modificar archivos, acceder a aplicaciones de correo electrónico y mensajería, almacenar credenciales de inicio de sesión e interactuar de forma independiente con servicios externos. Concentraba, en una única arquitectura, las capacidades que hacen que los sistemas basados ​​en agentes sean especialmente difíciles de proteger: amplio acceso a datos locales confidenciales, exposición a entradas externas no confiables y la capacidad de realizar acciones externas sin supervisión humana continua.

Esto es lo que el investigador de seguridad Simon Willison ha denominado la «triple amenaza» de los agentes autónomos: un riesgo específico y triple cuando la IA puede leer información interna confidencial, acceder a material de internet y enviar mensajes o archivos fuera de la organización. En este contexto, una instrucción maliciosa incrustada en una página web, un documento compartido o un mensaje puede hacer más que simplemente engañar al modelo. Puede redirigir el comportamiento del sistema a través de límites de confianza, incitándolo a recuperar archivos locales, exponer credenciales o transmitir material confidencial al exterior bajo la apariencia de realizar tareas legítimas.

La cuestión no radica simplemente en que el agente se convierta en una herramienta más eficiente para un atacante humano. La propia arquitectura crea las condiciones para la pérdida de control, ya que el mismo sistema que interpreta la información también posee los permisos necesarios para actuar en consecuencia. Por lo tanto, el riesgo no se limita a atacantes humanos más eficientes. Los sistemas cibernéticos autónomos presentan un problema distinto de pérdida de control: la desalineación, la explotación adversaria y los fallos en cascada de múltiples agentes podrían transformar sistemas diseñados como herramientas en actores de amenazas semiindependientes, difíciles de atribuir, redirigir o neutralizar.

La brecha de gobernanza en Europa

Si la capacitación en seguridad a nivel de modelo no puede prevenir de manera confiable el uso indebido, la lógica regulatoria de delegar las obligaciones de ciberseguridad principalmente a los desarrolladores de IA —la suposición implícita en la Ley de IA de 2024 y el Paquete de Ciberseguridad de 2026 de la UE— es insuficiente por sí sola. ⁴¹ Un desarrollador puede crear un modelo con una sólida alineación de seguridad y aun así lograr que ese modelo se convierta en un arma. Esto significa que los implementadores —las organizaciones que integran sistemas de IA en sus operaciones y les otorgan acceso a datos confidenciales— no pueden considerar la certificación de seguridad del desarrollador como un sustituto de sus propias obligaciones de seguridad.

La Ley de IA aborda parcialmente este desafío, pero de forma menos directa de lo que suele suponerse. La ley no regula la IA con agentes como una categoría independiente. En efecto, regula usos y contextos específicos prohibiendo un conjunto limitado de prácticas inaceptables e imponiendo obligaciones a los sistemas de alto riesgo enumerados en la normativa. Es importante destacar que los sistemas de IA utilizados exclusivamente con fines militares, de defensa o de seguridad nacional quedan fuera del ámbito de aplicación de la ley. Esta exclusión es crucial, ya que algunas de las capacidades cibernéticas autónomas más trascendentales desde el punto de vista estratégico podrían surgir precisamente en el ámbito menos cubierto por la ley de IA emblemática de la Unión. El Paquete de Ciberseguridad es otro esfuerzo por reforzar las defensas cibernéticas de la UE, en particular en lo que respecta a las cadenas de suministro, la coordinación de crisis y las infraestructuras críticas. Estos son avances importantes. Sin embargo, no resuelven por completo el problema que plantea la IA con agentes.

Una respuesta europea creíble requiere más que simples actualizaciones legislativas. Necesita también mecanismos prácticos: canales de notificación compartidos para el comportamiento anómalo de los agentes, procedimientos de notificación en caso de incidentes significativos relacionados con el uso de IA y estándares comunes para clasificar los fallos que involucran sistemas autónomos. Dicha respuesta exige una mayor coordinación con los equipos nacionales de respuesta a incidentes de seguridad informática (CSIRT) y los centros sectoriales de intercambio de información y análisis (ISAC), liderados por la agencia de ciberseguridad de la UE, ENISA. Sin una mejor visibilidad del comportamiento práctico de estos sistemas, la UE tendrá dificultades para distinguir los fallos aislados de los primeros indicios de una campaña autónoma más amplia.

Esto pone de manifiesto una debilidad más amplia en el enfoque actual de la UE. Europa sigue otorgando demasiada importancia a los desarrolladores de modelos y muy poca a las organizaciones que implementan estos sistemas en entornos reales. Las normas vigentes se centran principalmente en la seguridad del producto, el cumplimiento normativo y la resiliencia organizativa. Sin embargo, el problema fundamental de gobernanza de los sistemas basados ​​en agentes reside en su comportamiento durante la ejecución: a qué recursos tienen acceso, qué acciones pueden realizar, cómo se registran dichas acciones y con qué rapidez un agente malintencionado puede redirigir estos agentes contra los sistemas en los que están integrados. En otras palabras, el principal riesgo ya no se limita a productos defectuosos o componentes inseguros; también proviene de sistemas de confianza que actúan de forma no fiable tras su implementación.

Aquí es donde el Paquete de Ciberseguridad sigue anclado en un modelo de amenazas anterior. El paquete se centra en riesgos cibernéticos conocidos: componentes inseguros, proveedores extranjeros y ataques a redes externas. Estos riesgos siguen siendo reales e importantes. Sin embargo, la IA con agentes introduce un tipo diferente de vulnerabilidad. Dado que estos sistemas de IA operan con autorización, el peligro reside menos en la intrusión que en desviar un sistema de confianza en la dirección equivocada. Un agente también puede conservar el contexto a lo largo de varias sesiones, lo que permite que las instrucciones o patrones de comportamiento dañinos se acumulen gradualmente con el tiempo. Esto dificulta la detección de la amenaza con las herramientas de ciberseguridad convencionales, que suelen estar diseñadas para identificar eventos sospechosos puntuales en lugar de fallos lentos y distribuidos que se desarrollan a través de múltiples interacciones.

Por ello, las normas centradas en la defensa perimetral, la certificación y la resiliencia de las entidades presentan una importante laguna. Ofrecen una orientación limitada sobre cómo supervisar el comportamiento de los agentes en tiempo real, restringir las acciones de los sistemas autónomos una vez desplegados y responder ante cambios en su comportamiento dentro de entornos autorizados. El marco de ciberseguridad europeo se ha fortalecido, pero aún no está completamente diseñado para sistemas que pueden actuar con cierto grado de autonomía dentro de las mismas organizaciones que deben confiar en ellos.

Un problema paralelo se refiere a la cadena de herramientas de IA emergente. Los sistemas de agentes suelen depender de múltiples componentes externos, como API, complementos de terceros, herramientas de navegación y servicios de modelos basados ​​en la nube. Cada dependencia amplía la superficie de ataque y crea nuevos riesgos en la cadena de suministro. ^Un complemento comprometido, una respuesta de API manipulada o una base de datos de recuperación envenenada podrían alterar el comportamiento de un agente sin comprometer directamente el sistema anfitrión. Los marcos de la cadena de suministro existentes se centran principalmente en los componentes de hardware y software, pero la seguridad de los agentes autónomos depende cada vez más de la integridad de estos ecosistemas de herramientas dinámicos.

Una debilidad relacionada concierne a los servicios habilitadores de los que dependen las operaciones cibernéticas autónomas para funcionar a gran escala. Los ciberdelincuentes no dependen únicamente del agente en sí. También necesitan acceso a las API del modelo, la computación en la nube, herramientas externas y, a menudo, servicios de pago y alojamiento. Estas dependencias crean cuellos de botella en la gobernanza. Por ello, la supervisión no puede limitarse a la certificación del modelo o sistema. También debe abarcar quién puede obtener acceso de alto riesgo a estos servicios, cómo se detectan los patrones de uso sospechosos y bajo qué autoridad legal se puede aislar a los ciberdelincuentes de la infraestructura informática, de alojamiento y financiera que sustenta sus operaciones.

El marco de certificación de la UE, de forma similar, se centra en los productos y servicios de las tecnologías de la información y la comunicación (TIC), pero no especifica cómo certificar o regular los sistemas de IA con capacidad de gestión, que presentan un desafío fundamentalmente distinto al del software convencional. ⁴³ A diferencia de un producto estándar, que puede ser probado, evaluado y aprobado porque se comporta siempre de la misma manera, el comportamiento de un sistema con capacidad de gestión varía según el contexto, no puede predecirse completamente de antemano y cambia a medida que el sistema adquiere nuevas herramientas y capacidades. Un sistema que supera una evaluación de seguridad hoy puede comportarse de manera diferente, y con menor seguridad, en otro entorno el mes que viene.

Si a esto se le suma el riesgo de que las interacciones con contenido externo no confiable puedan alterar el funcionamiento de un sistema, queda claro por qué un régimen de certificación diseñado para productos estáticos podría ser estructuralmente inadecuado para gobernar estos sistemas. Evaluadores independientes han llegado a una conclusión similar: a medida que los modelos con mayor capacidad cibernética agotan cada vez más los entornos de prueba no protegidos, la evaluación debe orientarse hacia rangos reforzados y monitoreados activamente, un enfoque difícil de conciliar con una certificación puntual en el momento de la entrada al mercado. ⁴⁴

La brecha transatlántica entre la IA y la ciberseguridad

Los fallos en las medidas de seguridad y las campañas de espionaje descritas anteriormente no se producen en un vacío geopolítico. Se están acelerando justo cuando Estados Unidos reorienta su enfoque hacia las operaciones cibernéticas ofensivas e integra cada vez más la IA autónoma en esa estrategia. La postura de la administración del presidente estadounidense Donald Trump ha sido descrita por la investigadora cibernética Stephanie Pell como una postura de “mano dura” hacia los rivales extranjeros que atacan las redes estadounidenses. Este enfoque se ha visto impulsado en gran medida por las revelaciones de intrusiones chinas en la infraestructura de telecomunicaciones y otros sistemas críticos de Estados Unidos.

El problema transatlántico no radica únicamente en que Estados Unidos avance más rápido que Europa, sino también en que Washington y Bruselas se mueven en direcciones opuestas. El enfoque estadounidense considera cada vez más la IA de vanguardia como un activo operativo que debe integrarse en el poder cibernético y militar, incluso a costa de debilitar las salvaguardias impuestas por los proveedores. El enfoque europeo, por el contrario, sigue centrado en la regulación, la ciberresiliencia, la gestión de riesgos y la contención legal. Esto genera una tensión estructural. Europa depende en gran medida de tecnologías producidas en un sistema cuya lógica estratégica no comparte ni puede controlar. En resumen, la cuestión central es la divergencia estratégica. ⁴⁷

Esta divergencia se manifestará al menos de tres maneras. Primero, los actores europeos de los sectores público y privado podrían depender de modelos estadounidenses cuyos ajustes de seguridad, condiciones de acceso o usos posteriores en materia de seguridad y defensa estén condicionados por las políticas de contratación pública y los imperativos de seguridad nacional de Estados Unidos. Segundo, las obligaciones legales europeas en materia de protección de datos, diligencia debida y seguridad de la infraestructura podrían resultar incompatibles con una postura estadounidense más permisiva respecto a las operaciones cibernéticas ofensivas y la participación de contratistas. Tercero, cuanto más rápido Estados Unidos integre la IA con capacidad de agencia en su doctrina cibernética, mayor será el riesgo de que Europa se vuelva estratégicamente dependiente sin estar alineada normativamente.

Ofensiva de EE. UU.

Las agencias de inteligencia estadounidenses han llevado a cabo operaciones ofensivas con mayor transparencia, a medida que los funcionarios y documentos estratégicos de EE. UU. se han vuelto más explícitos al reconocer, señalar y justificar públicamente la actividad cibernética ofensiva. Sin embargo, la creciente participación de actores del sector privado en dicha actividad respaldada por el gobierno marca un cambio significativo con respecto a la doctrina anterior. ^Este cambio plantea interrogantes importantes sobre los marcos legales que regulan la responsabilidad estatal, la línea divisoria entre las operaciones cibernéticas patrocinadas por el Estado y las privadas, y el riesgo de escalada en un entorno donde la atribución es altamente cuestionada. El desafío de la gobernanza se intensifica aún más por la posibilidad de que contratistas, intermediarios y empresas de seguridad comerciales se conviertan en los primeros en adoptar agentes autónomos ofensivos, lo que difumina la distinción entre responsabilidad estatal, experimentación comercial y acciones cibernéticas negables.

La Estrategia Cibernética de Trump para Estados Unidos, presentada en marzo de 2026, marca una postura más agresiva hacia el uso de herramientas cibernéticas habilitadas por IA para detectar, desviar y engañar a los actores de amenazas, así como para promover la IA agente para escalar de forma segura la defensa y la interrupción de redes. ⁴⁹ La estrategia también señala una mayor disposición a tratar las capacidades cibernéticas ofensivas como un instrumento más habitual de la diplomacia estatal, incluso a través de operaciones habilitadas por IA diseñadas para anticiparse, interrumpir e imponer costos a los adversarios. En este sentido, la ciberdiplomacia deberá garantizar que los sistemas de IA, en particular la IA generativa y la IA agente, impulsen no solo la innovación sino también la estabilidad global. Estados Unidos avanza hacia una adopción operativa más rápida de las capacidades cibernéticas habilitadas por IA, incluidos los usos ofensivos, mientras que el enfoque de Europa sigue estando más ligado a la contención.

En consecuencia, el desafío para Europa radica en la interconexión entre la dependencia tecnológica y política de un ecosistema moldeado por la doctrina, las decisiones de contratación y las prioridades operativas de Estados Unidos. Por ejemplo, los proveedores de servicios en la nube, las empresas de telecomunicaciones y los proveedores de ciberseguridad con presencia transatlántica operan en un entorno legal cada vez más ambiguo. Las normativas ^europeas de protección de datos y ciberseguridad imponen obligaciones que podrían entrar en conflicto con la participación en operaciones ofensivas dirigidas por Estados Unidos, y ninguna de las partes ha abordado adecuadamente las dimensiones extraterritoriales de esta tensión. La participación de actores del sector privado en operaciones cibernéticas ofensivas supone riesgos directos para las empresas europeas, cuya infraestructura puede utilizarse, consciente o inconscientemente, como conducto para dichas actividades.

Un debate similar sobre la doctrina estadounidense de «defensa anticipada» podría ofrecer algunas lecciones al respecto. Esta postura demuestra la importancia de actuar con prontitud, persistencia y cerca del origen de las ciberamenazas, en lugar de esperar a responder a los daños ya producidos. ⁵¹ Sin embargo, esto solo beneficia a Europa hasta cierto punto. La nueva estrategia cibernética estadounidense se enmarca dentro de un enfoque más unilateral de «Estados Unidos primero», lo que la convierte en un modelo más débil para los aliados que buscan normas comunes, gobernanza compartida y reparto coordinado de la carga. Al mismo tiempo, la postura cibernética de la UE presenta características estructurales que se convierten en desventajas en un entorno de amenazas acelerado por la IA.

Defensa europea

El modelo cibernético europeo aún se inclina fuertemente hacia la regulación, la resiliencia y la respuesta posterior a incidentes. Si bien estas son fortalezas importantes, las operaciones cibernéticas habilitadas por IA se mueven más rápido, se adaptan con mayor rapidez y pueden desarrollarse dentro de sistemas de confianza antes de que se activen los mecanismos convencionales de alerta y respuesta. Una postura basada principalmente en absorber impactos y responder a posteriori se vuelve más difícil de mantener cuando los ataques se escalan a la velocidad de las máquinas. Europa debe hacer un esfuerzo más serio para invertir en capacidades cibernéticas tanto defensivas como estratégicas que incorporen sistemas de IA. ⁵² Si bien la UE ha aumentado su gasto general en defensa, aún no ha prestado la misma atención a la ciberseguridad y la defensa habilitadas por IA. El proyecto de Ley de Desarrollo de la Nube y la IA presentado por la Comisión Europea en junio de 2026 menciona la ciberseguridad como uno de los sectores clave para proyectos pioneros en IA de vanguardia, pero todo el proceso, desde la propuesta de la ley hasta su adopción e implementación, llevará años.

En un entorno donde los adversarios ya utilizan la IA para acelerar las operaciones cibernéticas, Europa no puede depender exclusivamente de los métodos de defensa tradicionales. Los desafíos radican en la velocidad, la escala y la oportunidad. Las operaciones cibernéticas con IA pueden comprimir el intervalo entre el reconocimiento, la explotación y la interrupción, dejando menos tiempo para la detección y respuesta humanas. La solución implica desarrollar capacidades avanzadas de detección, respuesta y resiliencia con apoyo de la IA, de modo que los defensores puedan identificar comportamientos anómalos con mayor antelación, contener las intrusiones más rápidamente y recuperarse con mayor eficacia cuando los ataques se desarrollan a la velocidad de las máquinas. El argumento estratégico es claro: si los atacantes utilizan la IA para actuar con mayor rapidez, los defensores también necesitan capacidades con IA para preservar la estabilidad estratégica y proteger la infraestructura crítica. La dependencia del intercambio de inteligencia estadounidense crea un único punto de vulnerabilidad estratégica, tanto técnica como políticamente, dada la volatilidad de las relaciones transatlánticas.

Si Europa depende excesivamente de la inteligencia estadounidense, los servicios en la nube y los modelos de vanguardia para comprender y responder a las amenazas basadas en IA, su margen de acción autónoma se reduce en momentos de crisis. En este sentido, la UE podría apostar por la resiliencia asimétrica, es decir, una estrategia que no intente replicar la postura cibernética ofensiva completa de Estados Unidos o China. Esto requeriría que Europa aceptara que no igualará las capacidades cibernéticas ofensivas de EE. UU. o China e invirtiera fuertemente en sistemas defensivos basados ​​en IA, redundancia y capacidades de recuperación. También implicaría priorizar la capacidad de la UE para absorber ataques, restablecer rápidamente las funciones esenciales y reducir el impacto estratégico de las interrupciones. Esto es más coherente con la cultura estratégica europea y las fortalezas institucionales de la UE en materia de regulación y estandarización.

De forma inmediata, el cambio en la doctrina estadounidense deja a los aliados europeos ante una creciente brecha de capacidades sin un camino claro para compartir la carga. La UE y la Organización del Tratado del Atlántico Norte (OTAN) han profundizado su cooperación cibernética, pero la integración de capacidades ofensivas habilitadas por IA en la doctrina aliada aún se encuentra en sus primeras etapas. ⁵³ Si los sistemas autónomos de IA se convierten en el principal medio de operaciones cibernéticas ofensivas en los próximos años, la postura actual de la UE —principalmente defensiva, institucionalmente fragmentada y dependiente del intercambio de inteligencia y las capacidades tecnológicas de EE. UU.— podría ser estructuralmente inadecuada. ⁵⁴ Pero el problema no radica solo en las menores capacidades de la UE. También radica en un desajuste entre la velocidad y la autonomía del entorno de amenazas emergente y un marco europeo que aún se organiza en torno a una coordinación más lenta y respuestas reactivas. La pregunta fundamental es si las estructuras de gobernanza de la UE están preparadas para este nuevo entorno.

Hacia un enfoque más sólido de la UE

Los marcos de seguridad específicos de la UE para sistemas de IA autónomos deben ir más allá de la certificación de productos tradicional. Los enfoques actuales basados ​​en la certificación están diseñados principalmente para evaluar los sistemas antes de su implementación: si un producto cumple con ciertos estándares en el momento de su entrada al mercado, si se han documentado los riesgos y si se han cumplido las obligaciones formales de cumplimiento. Estas herramientas son útiles, pero no capturan el comportamiento de un sistema autónomo después de su implementación, una vez que interactúa con nuevos datos, herramientas externas, usuarios humanos y entradas adversarias en tiempo real. Estos sistemas no se comportan como el software convencional; pueden actuar de forma independiente, adaptarse a nuevas situaciones y operar a alta velocidad. Esto significa que la supervisión no puede terminar con la aprobación o la entrada al mercado. También debe incluir la monitorización en tiempo de ejecución, límites claros sobre lo que los agentes pueden hacer, el registro de las acciones de los agentes, la notificación de incidentes por fallos autónomos y mecanismos para suspender o restringir los sistemas cuyo comportamiento cambie durante su funcionamiento.

La creciente normalización de las operaciones cibernéticas ofensivas, incluso mediante una cuidadosa formulación en la UE, también deberá evaluarse a la luz de los fundamentos normativos del marco internacional vigente para la gobernanza cibernética. ⁵⁵ Las posiciones de la UE en las Naciones Unidas han enfatizado que, cuando las operaciones cibernéticas se desarrollan en el contexto de un conflicto armado o producen efectos comparables a los de ataques convencionales, el derecho internacional humanitario sigue aplicándose. ⁵⁶ Esto incluye principios fundamentales como la distinción, la proporcionalidad y la precaución en los ataques, independientemente de si el efecto se produce mediante código o fuerza cinética. La postura de Estados Unidos, que considera la acción cibernética ofensiva una herramienta habitual de la política exterior y difumina los límites entre actores estatales y privados, es relevante para Europa, no solo como una cuestión de gestión de alianzas, sino también de gobernanza. Si, efectivamente, la IA con agentes se convierte en la herramienta preferida para la actividad cibernética ofensiva a nivel estatal, la urgencia de subsanar las deficiencias regulatorias y de capacidad de la UE se intensifica drásticamente.

La autonomía de las capacidades cibernéticas también complica las cuestiones de derecho internacional y responsabilidad estatal. ⁵⁷ Los marcos existentes parten de la premisa de que las operaciones cibernéticas son llevadas a cabo por actores controlados por humanos, cuya intención y dirección pueden atribuirse a un Estado. Los agentes autónomos complican esta premisa. Si un sistema de IA identifica objetivos de forma independiente, desarrolla exploits o intensifica una operación más allá de sus parámetros originales, determinar la responsabilidad se vuelve mucho más complejo. Si bien los Estados siguen siendo legalmente responsables de las operaciones cibernéticas que despliegan, los desafíos probatorios y de atribución asociados con los sistemas autónomos podrían dificultar considerablemente la aplicación de respuestas diplomáticas y mecanismos de rendición de cuentas.

Además, el desafío estratégico para los Estados va más allá de la capacidad y la atribución de capacidades, e incluye una resiliencia desigual. Esto significa que la capacidad para prevenir, absorber y recuperarse de las interrupciones cibernéticas se distribuye de manera desigual en la sociedad y los sectores críticos. Es probable que las empresas de servicios públicos, los hospitales, los municipios y los pequeños operadores de infraestructuras críticas sean los puntos más vulnerables en un entorno de amenazas cibernéticas, ya que suelen tener menos recursos técnicos, menor redundancia y una capacidad de respuesta a incidentes más débil que los grandes actores estatales o del sector privado. También requieren apoyo específico que vaya más allá de las obligaciones genéricas de cumplimiento.

La Guía de Debida Diligencia para la IA Responsable de la Organización para la Cooperación y el Desarrollo Económicos (OCDE) ofrece un marco útil para identificar, evaluar, prevenir y mitigar los impactos adversos en toda la cadena de valor de la IA, incluyendo a los implementadores, desarrolladores, proveedores de infraestructura y financiadores. ⁵⁸ El monitoreo continuo, las restricciones claras sobre lo que pueden hacer los sistemas autónomos y la supervisión humana efectiva para acciones sensibles o de alto impacto son esenciales. ENISA, con su mandato y recursos ampliados, podría desempeñar un papel clave en el desarrollo de guías y estándares prácticos en este campo.

Pero la debida diligencia por sí sola no bastará. Europa también necesita una doctrina operativa, criterios de adquisición y requisitos mínimos de seguridad en tiempo de ejecución para los agentes desplegados en sectores críticos. De lo contrario, la UE corre el riesgo de crear un marco de rendición de cuentas complejo en torno a una categoría de sistemas cuyo comportamiento más peligroso solo se manifiesta una vez desplegados en entornos reales, conectados a infraestructuras cotidianas y autorizados a realizar operaciones autónomas en sistemas y flujos de datos reales.

Finalmente, considerando el papel histórico de la UE en el establecimiento de estándares globales, podría plantearse retomar ese rol en materia de normas de IA. El bloque podría impulsar con firmeza restricciones internacionales a las armas cibernéticas autónomas, análogas a los marcos para los sistemas autónomos de armas letales. Sin embargo, esto solo funciona si se respalda con una disuasión creíble, lo cual está vinculado a la brecha de capacidades de Europa. A medida que algunos Estados adoptan posturas más firmes con capacidades cibernéticas ofensivas, aumenta el riesgo de escalada y daños colaterales.

En este sentido, la UE debería utilizar su influencia diplomática para promover normas claras que protejan la infraestructura civil y prevengan comportamientos desestabilizadores en el ciberespacio. La Unión también debería exigir límites claros para las operaciones cibernéticas autónomas dirigidas contra infraestructuras críticas civiles, hospitales y sistemas relacionados, por ejemplo, con el mando, control y comunicaciones nucleares. Como mínimo, los despliegues de alto riesgo deberían requerir aprobación política y evaluaciones de riesgo documentadas, en lugar de quedar a discreción operativa o a compromisos de seguridad por parte de los proveedores.

Conclusión

El desafío de gobernanza que plantea la IA con agentes va mucho más allá de la ciberseguridad. Lo que este documento describe es, en muchos sentidos, solo el comienzo de una revisión regulatoria más amplia, impulsada por la proliferación de agentes autónomos en todo el ecosistema digital. La IA con agentes no solo acelera las ciberamenazas existentes, sino que también tiene el potencial de alterar los marcos regulatorios en áreas muy alejadas de la seguridad de la red. En cada uno de estos campos, la brecha regulatoria es estructural: los marcos diseñados para la acción humana tienen dificultades para gestionar sistemas capaces de actuar de forma independiente.

Esto implica que Europa deberá revisar prácticamente todo su marco regulatorio digital —no solo sus leyes de ciberseguridad, sino también sus regulaciones financieras, la gobernanza de las plataformas, la protección laboral y las políticas de medios— a la luz de la realidad de la IA autónoma. Además, la velocidad y la escala con que operan los sistemas de agentes sugieren que la aplicación de la ley y las contramedidas podrían necesitar automatizarse parcialmente, lo que plantea una nueva cuestión de política pública, en gran medida inexplorada: cómo regular el despliegue de IA de agentes defensiva frente a IA de agentes hostil.

Este cambio no implica la desaparición de los operadores humanos. Los Estados, las organizaciones criminales y los actores del sector privado seguirán definiendo objetivos y desplegando capacidades. Sin embargo, la gestión operativa de los ciberconflictos podría delegarse cada vez más a sistemas de software autónomos capaces de actuar con mayor rapidez, a mayor escala y con menor supervisión directa que las generaciones anteriores de herramientas cibernéticas. A medida que se desarrolla esta transición, muchos de los mecanismos de gobernanza que sustentan los marcos de ciberseguridad actuales, desde las prácticas de atribución hasta los regímenes de certificación, se verán sometidos a una presión creciente.

Para la UE, el desafío reside en que sus marcos normativos actuales siguen anclados en un modelo de ciberseguridad centrado en adversarios humanos y sistemas de software relativamente predecibles. La IA con agentes introduce una lógica operativa diferente. Superar esta brecha de gobernanza requerirá más que simples ajustes a la legislación vigente. En primer lugar, será necesaria una visión europea más clara sobre el papel adecuado de los sistemas con agentes en la ciberseguridad y otros ámbitos: qué funciones pueden delegarse a agentes autónomos, dónde debe limitarse estrictamente la autonomía y qué decisiones deben permanecer bajo un control humano efectivo.

Es fundamental priorizar las decisiones de gobernanza más amplias, ya que determinan las reglas operativas necesarias y dónde deben aplicarse límites más estrictos. La supervisión de la seguridad debe ir más allá del diseño y la certificación de los sistemas de IA y abarcar el comportamiento en tiempo de ejecución de los agentes autónomos que operan en entornos reales. Las organizaciones que implementen estos sistemas necesitarán obligaciones más claras para la monitorización, el registro y la restricción de las capacidades de los agentes de IA que interactúan con datos e infraestructura sensibles.

En la práctica, esto implica vincular las decisiones políticas de alto nivel sobre el papel aceptable de los agentes de IA con requisitos concretos para su implementación: a qué sistemas pueden acceder, qué acciones pueden realizar, qué tipo de aprobación humana se requiere y cuándo deben ralentizarse, suspenderse o bloquearse por completo las operaciones autónomas. Los estándares técnicos también deben evolucionar para abordar cuestiones que antes eran secundarias a la política de ciberseguridad, como la autenticación de los agentes autónomos, el registro de sus acciones y la detección de manipulaciones maliciosas de su comportamiento.

A medida que Washington integra cada vez más las capacidades de IA en su estrategia cibernética, la UE corre el riesgo de volverse tecnológicamente dependiente y estratégicamente desalineada. En este contexto, el liderazgo regulatorio por sí solo no garantiza la influencia sobre cómo se utilizan o gobiernan estos sistemas. La UE necesita más que una mejor coordinación entre las normas existentes. Necesita un modelo de gobernanza más riguroso para los sistemas cibernéticos autónomos y una estrategia más explícita para reducir la dependencia de los proveedores estadounidenses de IA de vanguardia. De lo contrario, la Unión corre el riesgo de regular los márgenes de un ecosistema tecnológico cuyas decisiones de seguridad más importantes se toman en otros lugares.

El experimento Moltbook ofreció un primer vistazo a un entorno digital poblado en gran medida por agentes autónomos que interactúan entre sí. Lo que parecía una curiosidad pronto podría convertirse en una característica común de la infraestructura de internet. A medida que los sistemas autónomos asumen roles cada vez más importantes en la ciberseguridad, la defensa y la economía, el principal desafío político será garantizar que la expansión de la capacidad de acción de las máquinas no supere a las instituciones humanas responsables de su gestión.

Este documento se elaboró ​​en el marco del proyecto EU Cyber ​​Direct — Iniciativa de Diplomacia Cibernética de la UE, con financiación de la Unión Europea. El contenido del documento es responsabilidad exclusiva de los autores y en ningún caso refleja la postura de la UE ni de ninguna otra institución.

Fuentes: Raluca Csernatoni y Patryk Pawlak/Carnegie Europe

Foto: boliviainteligente-5b9Lr-ggr0E-unsplash