¿Realmente es Estados Unidos un aliado? Mythos como prueba

Mi columna de esta semana en Invertia se titula «La ciberdefensa europea no puede depender del permiso de Washington» (pdf), y trata sobre un cambio de paradigma que apenas empieza a vislumbrarse, pero que tiene implicaciones profundas tanto para la seguridad como para la geopolítica tecnológica: la industrialización del hacking gracias a la inteligencia artificial.

El detonante de la reflexión es la aparición de herramientas como Mythos, desarrolladas en el contexto de proyectos como el anunciado por Anthropic en su iniciativa «Project Glasswing«, capaces de identificar vulnerabilidades de día cero de forma automatizada y a una escala sin precedentes. Como ya advertí en dos entradas anteriores en esta misma página, el verdadero problema no es tanto la herramienta en sí como el cambio estructural que introduce: convertir una actividad tradicionalmente artesanal en un proceso escalable y con paciencia infinita.

Cuando el hacking se industrializa, el equilibrio entre atacantes y defensores se rompe aún más. Esa es precisamente la preocupación que subyace en artículos recientes como el publicado en Harvard Business Review, «Cyber defense has to move at the speed of AI«, que insiste en la necesidad de que las capacidades defensivas evolucionen al mismo ritmo que las ofensivas en un entorno dominado por la inteligencia artificial. El problema, como suele ocurrir, es que esa evolución no se produce de manera homogénea.

En este contexto, la negativa de Estados Unidos a facilitar el acceso a herramientas como Mythos a empresas e instituciones europeas introduce una dimensión geopolítica particularmente incómoda. Tal y como recoge The Next Web en «Europe’s finance chiefs want Mythos access to defend their banks. Washington has so far said no«, responsables europeos del ámbito financiero han solicitado acceso a estas capacidades para poder proteger sus sistemas, encontrándose con una respuesta negativa que revela hasta qué punto la supuesta alianza transatlántica tiene límites muy claros cuando se trata de tecnologías críticas.

Otros medios como Bloomberg («Euro finance chiefs want Mythos access to prepare defenses«), o The Business Times («ECB is studying defences against Mythos-powered attacks, Lagarde says«) han incidido en la misma idea: las instituciones europeas son conscientes del riesgo, pero carecen de herramientas equivalentes para afrontarlo en igualdad de condiciones.

La paradoja es evidente. Para defenderse de un tipo de ataque, es necesario poder simularlo, entenderlo y anticiparlo. Sin acceso a herramientas de este tipo, las organizaciones europeas quedan en una posición estructuralmente inferior. No se trata de una cuestión de conveniencia, sino de capacidad real de defensa. Como apunta Bruce Schneier en su análisis sobre Mythos, estamos entrando en una fase en la que la automatización de la búsqueda de vulnerabilidades redefine completamente el campo de juego de la ciberseguridad.

Incluso actores como Mozilla han empezado a experimentar con este tipo de herramientas para mejorar la seguridad de sus productos. Si quienes desarrollan software de código abierto consideran necesario apoyarse en estas capacidades para reforzar su seguridad, resulta difícil justificar que empresas o instituciones europeas deban prescindir de ellas.

La cuestión, en última instancia, no es simplemente tecnológica, sino política. ¿Qué significa ser aliado cuando el acceso a herramientas críticas se restringe unilateralmente? ¿Hasta qué punto puede hablarse de soberanía tecnológica cuando la defensa de infraestructuras clave depende de decisiones tomadas fuera del propio ámbito europeo? La discusión sobre Mythos no es un episodio aislado, sino un síntoma más de una relación asimétrica que Europa lleva demasiado tiempo aceptando sin cuestionar de manera efectiva.

Mi columna intenta precisamente poner el foco en esa incomodidad, en esa contradicción entre discurso y realidad. Porque en un entorno en el que la inteligencia artificial acelera todos los procesos, desde la innovación hasta el conflicto, quedarse atrás no es simplemente perder competitividad. Es asumir un riesgo estructural que afecta a la estabilidad económica, institucional y social. Y en ese contexto, depender del permiso de otro para defenderse deja de ser una opción razonable para convertirse en un problema urgente. Si Estados Unidos es nuestro aliado, no quiero saber cómo serán los enemigos…

This article is also openly available in English on my Medium page if you use this link, «Why Mythos spells the end of Europe’s cybersecurity illusions»