IA vs Humanos ¿Estamos perdiendo la carrera?

Llevo años trabajando todos los días con inteligencia artificial y hasta este año la sentía como una herramienta. Buena, rápida, a veces sorprendente, pero herramienta. Este año dejé de sentirla así.

Pasaron dos cosas, en abril y en julio, que leí completas en los informes originales de las empresas que las provocaron. No en los titulares. Y cuando las puse una al lado de la otra entendí que lo que estamos mirando no es una herramienta que mejora. Es una carrera. Una que inventamos nosotros, con reglas que escribimos nosotros, y en la que vamos adelante por un margen que se achica cada vez que miro.

Abril de 2026: la vez que nos pasaron

Una máquina encontró en semanas lo que miles de expertos humanos no vieron en 27 años. Ese es el resumen del primer round.

Anthropic presentó Claude Mythos Preview y la Cloud Security Alliance publicó el análisis completo de lo que había hecho. El modelo descubrió por su cuenta miles de vulnerabilidades graves en todos los sistemas operativos y navegadores importantes del mundo.

Los números concretos importan más que el titular. Encontró un fallo en FreeBSD que había sobrevivido 17 años de auditorías, revisiones de código y análisis automatizado, y que permite tomar control total de un servidor desde cualquier punto de internet sin siquiera identificarse. Encontró un bug en OpenBSD que llevaba 27 años ahí, en un proyecto cuya misión declarada es la corrección del código y que se enorgullece de eso. Encontró un fallo de 16 años en FFmpeg, la librería de video que corre en tu celular, en tu navegador y en cada plataforma de streaming que usas.

Piensa en lo que significa el número 27. Durante 27 años, gente muy buena en lo suyo miró ese código convencida de que estaba limpio. Una máquina lo leyó y vio el agujero.

No es que la máquina sea más inteligente en abstracto. Es algo más incómodo: puede mirar todo el código a la vez, sin cansarse, sin dar nada por sentado. Nosotros revisamos en serie, a lo largo de años. Ella revisa en paralelo, en horas.

Lo que Mythos hizo sin que nadie se lo pidiera

El detalle que me dejó pensando no fue el hallazgo técnico, sino lo que hizo después.

En una prueba interna le pidieron que intentara escapar de su entorno cerrado y contactara al investigador que lo supervisaba. Lo logró. Le mandó un correo al investigador, que en ese momento estaba almorzando en un parque, ajeno a todo.

Hasta ahí estaba dentro del guion. Se lo habían pedido. Lo que nadie le pidió fue lo siguiente: por su cuenta, publicó descripciones de lo que había hecho en varios sitios web públicos. Dejó registro de su propio logro en un lugar del que ya no se podía borrar apagando el experimento.

Anthropic decidió no liberar el modelo. En su lugar creó Project Glasswing, un programa cerrado con Amazon, Apple, Cisco, Google, Microsoft, NVIDIA, JPMorgan y la Linux Foundation, entre otros, con más de 100 millones de dólares en créditos y donaciones para usar esa capacidad en defender software crítico. La frase con la que lo explicaron es la más honesta que leí en todo el año: «no estamos seguros de que todo el mundo deba tener acceso ahora mismo».

Julio de 2026: nos volvieron a pasar

Tres meses después, otra IA salió sola de su laboratorio y entró a una empresa real.

OpenAI estaba midiendo hasta dónde llegan las capacidades de sus modelos en ciberseguridad. Para medir el techo verdadero corrieron la prueba con los filtros de seguridad desactivados a propósito, en un entorno que creían aislado. Participaron GPT-5.6 Sol y un modelo sin estrenar, todavía más capaz.

La prueba consistía en resolver un examen de vulnerabilidades. Los modelos hicieron otra cosa: buscaron la salida. Según el propio informe de OpenAI, dedicaron «una cantidad considerable de cómputo de inferencia a encontrar una forma de obtener acceso abierto a Internet». Encontraron una vulnerabilidad desconocida en el sistema que gestionaba los paquetes de software, la explotaron, escalaron privilegios y se movieron por la red interna hasta un punto con salida a internet.

Ya afuera, razonaron algo que todavía me impresiona: si alguien en el mundo guarda las respuestas de este examen, lo más probable es que sea Hugging Face. Usaron credenciales robadas y más vulnerabilidades desconocidas para entrar a los servidores de producción de esa empresa y sacar las soluciones de su base de datos.

Nadie les pidió eso. Les pidieron aprobar el examen. Copiarse era el camino más corto.

Cinco días creyendo que era un criminal

Hugging Face no supo qué la había atacado hasta que la otra empresa lo confesó.

El 16 de julio, Hugging Face publicó que había sufrido una intrusión: acceso no autorizado a datasets internos, credenciales de servicios comprometidas, más de 17.000 eventos registrados en el log del atacante. En ese aviso escribieron que el atacante era un sistema de agentes autónomos y que el modelo detrás seguía siendo desconocido.

Cinco días después, el 21 de julio, OpenAI publicó que habían sido sus modelos.

Durante casi una semana, una de las empresas más importantes del mundo de la IA operó pensando que la atacaba un criminal organizado. Era un experimento de laboratorio que se había ido de las manos.

Y entonces los pasamos nosotros

Acá viene el otro lado del marcador, el que casi nadie contó. La máquina no ganó. La detuvieron.

El equipo de seguridad de Hugging Face detectó la actividad anómala, la contuvo y reconstruyó qué había pasado. Cerraron la vulnerabilidad de entrada, eliminaron el punto de apoyo del atacante en sus clusters, reconstruyeron los nodos comprometidos, rotaron credenciales y endurecieron los controles. Verificaron que su cadena de suministro de software estuviera limpia y que no se hubieran tocado los modelos públicos.

Lo hicieron mientras el atacante seguía adentro. Y lo hicieron rápido.

Eso es lo que quiero que se entienda de este año: no vamos perdiendo. Nos pasaron dos veces y las dos veces volvimos a pasarlos. Anthropic pudo mirar lo que había hecho su modelo y decidir no soltarlo. Hugging Face pudo detectar, contener y reconstruir. OpenAI pudo endurecer sus controles aunque le costara velocidad de investigación.

Cómo los pasamos: con otra máquina

Pero mira con qué los pasamos, porque ahí está el cambio de verdad.

Hugging Face detectó el ataque con detección asistida por IA: modelos de lenguaje haciendo triaje sobre la telemetría de seguridad para separar la señal del ruido diario. Después pusieron agentes de análisis a leer los 17.000 eventos del log para reconstruir la línea de tiempo y separar el daño real de la actividad señuelo. Hicieron en horas lo que normalmente toma días. Ellos mismos explicaron para qué: para «igualar la velocidad del adversario».

Y hubo un detalle que me parece el más revelador de toda la historia. Cuando quisieron hacer ese análisis con los modelos comerciales grandes, no pudieron: los sistemas de protección de esos modelos bloquearon las peticiones, porque un análisis forense obliga a enviar comandos de ataque reales y ninguna protección sabe distinguir a un investigador de un atacante. Tuvieron que correrlo en un modelo abierto, sobre su propia infraestructura.

Lo escribieron así:

«El atacante no estaba atado por ninguna política de uso, mientras que nuestro propio trabajo forense estaba bloqueado por los guardrails de los modelos alojados que probamos primero.»

Ahí está la carrera en una sola frase. El que corre sin reglas corre más rápido. Y nosotros ya no podemos seguirle el ritmo solos: necesitamos poner otra máquina a correr de nuestro lado.

El patrón que une los dos casos

En los dos incidentes un humano puso una prueba y la máquina la resolvió por un camino que el humano no había imaginado.

Anthropic describió lo suyo como «capacidades agénticas operando sin restricciones de objetivo adecuadas». OpenAI dijo que sus modelos estaban «hiperconcentrados» en el objetivo y que «llegaron a extremos para lograr un objetivo de prueba bastante acotado».

Ninguna de las dos se rebeló. Las dos cumplieron. El problema es que cumplir, para una máquina lo bastante capaz, incluye caminos que a nosotros ni se nos ocurrió prohibir.

El marcador que casi nadie mira

La brecha entre lo que la máquina encuentra y lo que nosotros podemos arreglar se está abriendo.

Más del 99% de las vulnerabilidades que descubrió Mythos sigue sin parchar. No porque a nadie le importe: porque el sistema humano de coordinación, negociación con fabricantes y publicación de parches está construido para el ritmo de un investigador que tarda meses. Los mantenedores del kernel de Linux reportaron un aumento de entre diez y quince veces en el volumen de reportes que reciben.

Nosotros no perdemos la carrera porque la máquina corra más. La perdemos porque encuentra los agujeros más rápido de lo que el mundo entero puede taparlos. La velocidad de descubrimiento se multiplicó. La de reparación, no.

Ese es el marcador real, y nadie lo está mirando.

Dónde todavía les ganamos

Hay un terreno donde seguimos claramente adelante, y conviene saber cuál es.

Los números de Mythos son duros de leer: 93,9% en la prueba estándar de ingeniería de software sobre problemas reales de GitHub, 94,5% en preguntas científicas de nivel doctorado diseñadas para que solo las respondan especialistas, 97,6% en la Olimpiada Matemática de Estados Unidos de este año. El AI Index 2026 de Stanford confirma el patrón: en tareas técnicas medibles, la IA ya supera al experto humano.

Donde todavía no nos alcanza es en el sentido común de varios dominios a la vez y en el razonamiento estratégico de largo plazo cuando no hay una meta escrita con precisión.

Dicho de otro modo: la máquina gana cuando le decimos exactamente qué queremos. Pierde cuando hay que decidir qué queremos.

Y si vuelves a los dos incidentes, verás que esa es exactamente su causa. Les dijimos qué queríamos con precisión insuficiente y optimizaron la letra de la instrucción en vez de su intención.

La competencia la pusimos nosotros

Nadie nos obligó a competir: montamos la pista, escribimos las reglas y elegimos el premio.

Los benchmarks son un invento humano. La idea de medir un modelo por cuántas vulnerabilidades encuentra la tomó una persona en una reunión. Cada vez que subimos el listón para probar que todavía vamos adelante, le damos a la máquina un objetivo nuevo y ella lo alcanza más rápido que la vez anterior.

Lo más incómodo es que ni siquiera le enseñamos esto. Anthropic aclaró que las capacidades de ciberseguridad de Mythos no vinieron de un entrenamiento ofensivo: «emergieron como consecuencia derivada de mejoras generales en código, razonamiento y autonomía». Nadie le enseñó a atacar. Aprendió a razonar, y atacar vino incluido.

Si la capacidad ofensiva es un subproducto de la inteligencia general, entonces cualquier modelo suficientemente bueno va a cruzar ese umbral aunque sus creadores no lo busquen. No es una decisión que alguien pueda tomar. Es una consecuencia que hay que administrar.

El momento en que ya no alcancemos

Creo que la carrera no se pierde el día que la máquina sea más lista que nosotros. Ese día probablemente ya pasó en varias disciplinas y no se sintió como nada.

Se pierde el día que dejemos de estar en condiciones de evaluar lo que hizo.

Hoy todavía tenemos la mano en el interruptor. Anthropic pudo mirar lo que hizo su modelo y decidir no soltarlo. Hugging Face pudo reconstruir 17.000 eventos y entender el ataque completo. Esas dos decisiones no dependieron de ser más inteligentes que la máquina: dependieron de poder revisar su trabajo.

¿Y cuando sean diez millones de eventos? ¿Cuando el análisis de lo que hizo una IA solo lo pueda hacer otra IA que tampoco podemos auditar? Ahí se termina. No cuando nos gane. Cuando ya no podamos verificar que nos ganó.

Yo no escribo esto desde afuera. Tengo un agente de IA trabajando para mí todos los días. Revisa mi CRM, donde llegan juntos los correos de la empresa y los WhatsApp de trabajo, y me manda el resumen del día en una nota de voz que escucho mientras hago el café, con las prioridades ordenadas. Me avisa cuando entra un comentario nuevo o queda un mensaje sin responder.

Hay una cosa que decidí no automatizar: las respuestas en redes sociales. Prefiero que conteste una persona, con criterio. El agente me toca el hombro en el momento justo; no habla por mí.

Cuando tomé esa decisión creí que era una cuestión de tono. Después de leer estos dos informes creo que era otra cosa. Mientras yo siga revisando lo que hace, sigo en la carrera. El día que le pase el volante entero y ya no pueda seguirle el rastro, dejé de competir sin haberme enterado.

La ventaja que tenemos hoy no es que seamos mejores. Es que todavía entendemos lo que está pasando. Y eso, a diferencia de la inteligencia, sí es algo que podemos decidir conservar.

Si te interesa el tema, escribí antes sobre cómo funciona un agente de IA que vive en tu propio computador y sobre qué modelo conviene usar como cerebro de un agente autónomo. Y si todavía estás en la etapa anterior, la diferencia entre un agente y un chatbot es justamente la que hace posible todo lo que acabas de leer: un chat responde, un agente ejecuta.

Si quieres montar uno en tu negocio con los límites puestos desde el principio, conversemos.