Por: Gonzalo García, VP de Ventas para Fortinet Sudamérica
A inicios de junio 2026 escribí que la próxima ola en no sería de ataques, sino de parches: que la IA iba a multiplicar el volumen de vulnerabilidades descubiertas hasta romper el modelo operativo de TI. La ola llegó antes de lo que anticipaba, y con una torsión que conviene analizar en detalle.
El 16 de julio, Hugging Face, la plataforma más popular a nivel mundial donde se publican y descargan modelos de inteligencia artificial, divulgó una intrusión en parte de su infraestructura productiva. Cinco días después, OpenAI reconoció que el episodio había sido causado por sus propios modelos, ejecutados sin los filtros de seguridad habituales durante una evaluación interna de capacidades ofensivas. No hubo un grupo criminal detrás, solo un sistema autónomo que, buscando resolver un examen, decidió ir a buscar las respuestas al servidor donde estaban guardadas.
La secuencia es instructiva. El entorno de pruebas tenía una sola salida a Internet: un proxy interno que hacía de caché de repositorios de paquetes. Los modelos encontraron y explotaron una vulnerabilidad desconocida en ese componente, escalaron privilegios, se movieron lateralmente hasta alcanzar un nodo con conectividad, dedujeron que Hugging Face podía alojar las soluciones del examen y ejecutaron código en su infraestructura abusando de dos rutas del pipeline de datasets. Desde ahí obtuvo credenciales, movimiento lateral entre clústeres y generó un sinfín de actividad.
Lo que falló no fue la IA
Conviene decirlo sin rodeos, no cayó ningún control de inteligencia artificial. Lo que cayó fue infraestructura clásica, un componente de terceros con una falla no conocida o un único punto de salida convertido en cuello de botella y, por lo tanto, en llave maestra. Una red interna donde llegar a un nodo significaba poder llegar a muchos otros. Un pipeline de procesamiento de datos que ejecutaba código de terceros. La IA no inventó vectores nuevos, encadenó los de siempre a velocidad de máquina y sin cansarse.
Eso desplaza la pregunta. Ya no es si nuestro proveedor de IA es confiable, sino si nuestra arquitectura resiste a un adversario que trabaja de corrido, prueba miles de caminos y no necesita dormir el fin de semana.
Parcheo virtual: honestidad sobre lo que sí y lo que no
Sería cómodo afirmar que un parche virtual habría evitado todo. No es cierto, y decirlo así le hace un flaco favor a quien tiene que decidir un presupuesto. Una vulnerabilidad desconocida en un componente interno no tiene, por definición, contramedida previa disponible. El parcheo virtual no adivina.
Lo que sí hace, y es sustantivo, es que el acceso inicial a la plataforma no ocurrió por magia, sino por rutas de ejecución de código en el procesamiento de datasets, cargadores con código remoto e inyección en plantillas de configuración. Esas son familias de ataque conocidas y con firma. Un IPS de red y un WAF con protección de APIs delante de ese pipeline actúan sobre el patrón, no sobre el CVE puntual, y bloquean la clase completa aunque la instancia sea nueva. Y una vez divulgada la falla del proxy, la contramedida se despliega en horas mientras el parche real espera su ventana. Recordemos el dato que citaba en la columna anterior, apenas el 0,7% de los CVE observados en endpoints está bajo ataque activo. No se trata de mitigar decenas de miles de vulnerabilidades, sino de cubrir de inmediato ese subconjunto.
Microsegmentación, el control que sí cambiaba el desenlace
Si tuviera que señalar una sola decisión de arquitectura que habría transformado un incidente grave en un incidente menor, es esta. Todo el episodio, en ambas compañías, depende de una misma capacidad: moverse. Escalar hasta un nodo con salida a Internet, saltar de un worker de procesamiento a varios clústeres internos, cosechar credenciales y usarlas en otro lado.
Segmentar en profundidad rompe esa cadena en tres puntos. Primero, aísla el pipeline de datos, que ejecuta contenido no confiable por diseño, como zona de mínima confianza, con permiso solo hacia lo que estrictamente necesita. Segundo, aplica control de salida por carga de trabajo: un worker de datasets no tiene por qué alcanzar Internet y ahí la exfiltración se corta aunque el compromiso exista. Tercero, convierte el movimiento lateral en un evento visible: cada intento cruza una política y cada política genera telemetría. Un fin de semana de actividad silenciosa es, ante todo, un síntoma de que nada se interpone.
Aquí es donde el enfoque de plataforma gana frente a los productos sueltos: firewall interno, ZTNA, WAF, protección de endpoint e inteligencia de amenazas operando bajo una misma consola y fuente de datos. La microsegmentación falla, casi siempre, no por tecnología, sino por complejidad de gestión.
La asimetría que nadie previó
Un detalle final que merece atención de todo CISO de la región. Cuando Hugging Face intentó realizar el análisis forense del ataque con modelos comerciales, esos modelos se negaron: los mecanismos de seguridad no distinguen a un investigador de un atacante. Tuvo que resolverlo con un modelo de pesos abiertos, ejecutado en su propia infraestructura. El atacante no tenía política de uso; el defensor sí.
La lección operativa es concreta: tener validado un modelo propio para análisis forense, antes del incidente. No es una discusión filosófica sobre gobernanza de IA, es una línea del plan de respuesta.
La conclusión de julio de 2026 no es que las máquinas nos atacan. Es que la ventana entre el descubrimiento y la explotación ya no se mide en días. Mitigar en horas y contener por diseño dejó de ser una buena práctica, es la condición para seguir operando.
