Jason Clinton, subdirector de ciberseguridad de Anthropic, ha emitido una grave advertencia sobre el futuro cercano de la seguridad digital, pronosticando un "tsunami de vulnerabilidades". Según Clinton, la inteligencia artificial está acelerando la identificación de fallos, lo que presiona a los equipos de seguridad. Recomienda a las empresas priorizar y reforzar sus medidas de seguridad básicas durante los próximos 18 meses, antes de que la tecnología pueda ofrecer soluciones más integradas.
A menudo, no nos detenemos a pensar en los procesos que aseguran que una transferencia bancaria llegue a su destino, que un documento se mantenga privado o que nuestras cuentas permanezcan inaccesibles para terceros. Simplemente utilizamos estos servicios digitales como parte de nuestra rutina diaria, con la misma naturalidad con la que encendemos la luz en casa. Sin embargo, detrás de cada operación, existen decisiones técnicas, controles rigurosos y equipos humanos que trabajan para mantener la seguridad, elementos que los usuarios rara vez perciben. Nuestra interacción con el mundo digital se fundamenta, en gran medida, en esta confianza implícita.
Aunque las garantías absolutas en ciberseguridad nunca han existido, hemos desarrollado mecanismos efectivos para gestionar los riesgos. Una estrategia crucial ha sido hacer que el costo, la complejidad o el tiempo necesarios para superar ciertas barreras sean excesivos para un atacante, mientras los equipos de seguridad identifican y corrigen vulnerabilidades. No obstante, la inteligencia artificial está alterando esta dinámica de esfuerzo y tiempo, simplificando tareas que antes requerían una investigación considerable. Esta aceleración en el descubrimiento de fallos incrementa significativamente la presión sobre quienes deben resolverlos.
Una de las voces que ha alertado públicamente sobre este panorama es Jason Clinton, subdirector de ciberseguridad de Anthropic. El 22 de octubre, publicó un mensaje en su cuenta personal de X que dejaba poco espacio para el optimismo: "Por muy mal que se hayan puesto las cosas en los últimos cuatro días, van a empeorar mucho más antes de mejorar. Responsables de seguridad, nunca desaprovechéis una crisis: acudid a vuestros consejos de administración y pedid ayuda ahora mismo. No para la inteligencia artificial, sino para lo básico. (Tenemos que aguantar unos 18 meses)".
Su trayectoria profesional confiere peso a estas palabras. Antes de unirse a Anthropic en abril de 2023 como su primer director de Seguridad de la Información (CISO), Clinton dedicó más de una década a Google, donde llegó a liderar la seguridad de la infraestructura de Chrome. Actualmente, como subdirector en la empresa desarrolladora de Claude, contribuye a definir su estrategia de seguridad. Su experiencia también se refleja en dos artículos publicados por Anthropic en julio de 2026, enfocados en la seguridad de los agentes de IA y el desarrollo de software.
Para comprender el contexto de su advertencia, es relevante considerar los eventos recientes, aunque Clinton no haya vinculado explícitamente sus declaraciones con ellos. El 20 de octubre, comenzaron a circular los identificadores de dos vulnerabilidades críticas de PHP antes de que se publicaran sus detalles técnicos. Estos fallos, conocidos colectivamente como PHP2Shell y calificados con una gravedad de 9,2 sobre 10, podrían permitir a un atacante ejecutar código en servidores vulnerables sin necesidad de autenticación.
La urgencia no concluyó con la publicación de estas correcciones. Amazon reportó haber detectado un intento de explotación el 17 de octubre, cuatro días antes de la divulgación oficial, mientras que Cloudflare, según su consejero delegado, registró millones de intentos tras el conocimiento público de los fallos. Ante esta presión, ENISA y otras entidades europeas recomendaron aislar de las redes públicas las aplicaciones expuestas que no pudieran ser actualizadas de inmediato. Esta urgencia tuvo consecuencias tangibles: Reuters informó que varias administraciones europeas suspendieron temporalmente servicios digitales como medida preventiva.
Este episodio ilustra una de las principales inquietudes que la inteligencia artificial está generando en el ámbito de la ciberseguridad. Los modelos más avanzados pueden facilitar la identificación de fallos, el análisis de sus causas y el desarrollo de métodos para explotarlos, reduciendo significativamente el esfuerzo requerido para estas tareas. De hecho, la PHP Foundation reconoce que los primeros indicios de uno de estos problemas se remontaban a 2024, pero las dificultades técnicas y la escasez de recursos habían retrasado su corrección. Descubrir una vulnerabilidad no implica una solución inmediata: desarrollar, probar y desplegar parches sigue siendo un proceso que demanda tiempo.
Anthropic ya había advertido sobre esta situación en un documento publicado en abril de 2026, co-firmado por Jason Clinton. Las dificultades técnicas y la falta de recursos habían retrasado su corrección. La preocupación del ejecutivo no es reciente. En agosto, había reaccionado en X a una publicación de la Agencia de Seguridad Nacional estadounidense (NSA) sobre amenazas a controladores industriales, utilizados en infraestructuras críticas. La NSA alertaba sobre actividades maliciosas que empleaban scripts generados con IA contra ciertos sistemas industriales, pero Clinton fue más allá: afirmó que se avecinaba un "tsunami de vulnerabilidades" y que podría no haber tiempo suficiente para aplicar parches. Por ello, instó a aislar determinadas redes y a utilizar diodos de datos, dispositivos que permiten la transmisión de información en una única dirección.
Su recomendación más reciente también tiene una implicación empresarial relevante. Al pedir a los responsables de seguridad que acudan a sus consejos de administración, Clinton está señalando a los órganos encargados de supervisar las decisiones estratégicas clave de una empresa. Esto no significa que los miembros deban aprobar cada gasto tecnológico, pero sí que pueden respaldar inversiones, exigir cambios y priorizar ciertos riesgos dentro de la organización.
Otra clave de su advertencia reside en lo que no reclama: nuevas herramientas de inteligencia artificial. Su petición es reforzar las medidas de seguridad fundamentales. Esto incluye, por ejemplo, controlar el acceso a los sistemas, exigir autenticación multifactor, mantener copias de seguridad recuperables y disponer de procedimientos claros para responder a incidentes. Estas son medidas conocidas, cuya implementación requiere tiempo, personal y presupuesto.
¿Y qué debería ocurrir en esos 18 meses para que la situación comience a mejorar? Clinton lo explicó posteriormente en otra publicación de X con un concepto que denominó "vulnzero". Confía en que las capacidades de ciberseguridad actualmente asociadas a los modelos de IA más avanzados se extiendan a versiones mucho más pequeñas y económicas, hasta integrarse de forma generalizada en el desarrollo de software y, según su previsión, evitar que los errores de seguridad lleguen a los productos publicados.
Quizás la cuestión de fondo no sea el alcance de los modelos de inteligencia artificial, sino qué acciones tomamos mientras sus capacidades continúan avanzando. Clinton vislumbra un futuro en el que esta misma tecnología permita encontrar y corregir errores antes de que afecten a los usuarios, pero ese escenario sigue siendo una proyección. Mientras tanto, las organizaciones deben tomar decisiones con los recursos disponibles y los riesgos conocidos, sin depender de una mejora que aún no se ha materializado.
