El profesor de criptografía Matthew Green planteó en agosto una tesis polémica que ha provocado intenso debate en la comunidad de ciberseguridad: ¿y si la inteligencia artificial hace tan escasos los fallos de seguridad que las agencias gubernamentales pierden su capacidad de hackear dispositivos de forma legal? Según TechCrunch, Green advirtió que la IA podría hacer el software «demasiado seguro», eliminando las vulnerabilidades que autoridades usan para vigilar objetivos legítimos.
Desde 2014, cuando el entonces director del FBI James Comey popularizó el concepto de «going dark», las fuerzas del orden han advertido que el cifrado dificulta la captura de criminales. Apps como Signal, WhatsApp e iMessage democratizaron el cifrado extremo-a-extremo, haciendo casi imposibles las escuchas tradicionales. Apple también cifró por defecto los datos de sus dispositivos, complicando el acceso a iPhones protegidos con códigos fuertes.
Una tregua frágil basada en exploits
Green explica que durante la última década se alcanzó una «tregua incómoda»: en lugar de incorporar puertas traseras en dispositivos, los gobiernos invirtieron en herramientas de hackeo y spyware comercial que explotan vulnerabilidades (zero-days) para acceder a sistemas. Este equilibrio permitió que las autoridades siguieran operando mientras los ciudadanos disfrutaban de mayor privacidad mediante cifrado robusto.
Sin embargo, la promesa de los modelos de lenguaje (LLMs) de encontrar bugs a escala industrial amenaza ese status quo. Datos preliminares sugieren que la IA puede descubrir vulnerabilidades más rápido que investigadores humanos, lo que permitiría a las empresas parchear fallos masivamente y reducir la superficie de ataque disponible para gobiernos.
Opiniones divididas en la industria ofensiva
Luna Tong, investigadora con experiencia en firmas que desarrollan exploits gubernamentales, coincide con Green: «Hay una fiebre del oro de bugs ahora mismo, pero es un fenómeno temporal y los bugs volverán a escasear pronto». Otro veterano del sector, que pidió anonimato, teme que la IA vuelva obsoletos a los investigadores humanos de seguridad porque los defensores tendrán ventaja.
Paolo Stagno, director de tecnología en Crowdfense —firma que comercializa zero-days para gobiernos—, declaró a TechCrunch: «Está claro que ningún estado renunciará a la posibilidad de vigilancia». Stagno considera el sistema actual de explotar fallos «el más democrático que tenemos», pero advierte que podría no sobrevivir si los bugs se vuelven demasiado escasos.
Tres expertos actuales del sector ofensivo y uno retirado discrepan. Su argumento: los bugs triviales serán más fáciles de hallar; las vulnerabilidades complejas —más valiosas para agencias— no desaparecerán; y la IA puede asistir activamente a investigadores que venden exploits a gobiernos. Hamid Kashfi, fundador de DarkCell y colaborador de la startup de ciberseguridad con IA Xbow, afirmó: «Por cada bug encontrado y reportado por IA, probablemente hay 20 que no se reportan».
Protecciones modernas y presión por puertas traseras
Dos investigadores de zero-days consultados por TechCrunch señalaron estar más preocupados por las nuevas protecciones de seguridad en dispositivos modernos que por la IA. Eva Galperin, directora de ciberseguridad en la Electronic Frontier Foundation, advirtió que la ofensiva tiene ventaja hoy gracias a la IA hallando bugs y al aumento de vulnerabilidades introducidas por código generado con herramientas de IA (el llamado «vibe-code»).
Galperin recordó que encontrar más bugs no garantiza parches rápidos ni universales, dado que el proceso de actualización puede ser complejo. Aún así, anticipó una renovada presión por puertas traseras gubernamentales, porque «los regímenes autoritarios siempre querrán acceso excepcional».
Katie Moussouris, fundadora y CEO de Luta Security y experta en gestión de vulnerabilidades, dijo: «Todavía queda camino antes de que los últimos teléfonos y portátiles estén completamente libres de bugs». Moussouris estimó que la comunidad de inteligencia no se verá materialmente obstaculizada hasta «al menos después de las próximas elecciones presidenciales [en EE.UU.]», momento en que la presión por puertas traseras podría volverse seria.
