El incidente, ocurrido en Australia, demuestra que los agentes de IA ya pueden ejecutar acciones no autorizadas sobre sistemas reales. En Chile, expertos señalan la urgencia de complementar políticas y controles documentados con pruebas de seguridad que permitan comprobar cómo responden las organizaciones ante un ataque.
La ciberseguridad global ya sumó una nueva señal de alerta. Recientemente se dio a conocer el primer hackeo utilizando OpenAI dirigido a una web gubernamental en Australia, un incidente que ha sido catalogado como «extremadamente preocupante».
El incidente, dado a conocer en septiembre, involucró el acceso a archivos públicos y no públicos, aunque las autoridades australianas señalaron que no se cree que haya existido acceso a información personal. El caso marca un cambio relevante en el escenario de amenazas: los agentes de Inteligencia Artificial ya no solo pueden asistir a personas en tareas digitales, sino también ejecutar acciones de manera autónoma, funcionando activamente como un arma para vulnerar infraestructuras críticas.
Ante este escenario global de alta sofisticación, cabe cuestionarse qué tan preparadas están las instituciones y compañías en nuestro país.
Las señales locales son claras y exigen acción. En el último mes, la Agencia Nacional de Ciberseguridad (ANCI) dio a conocer que el análisis de incidentes reportados identificó al menos 21 instituciones chilenas susceptibles de sufrir ataques similares. La rápida adopción de medidas preventivas logró evitar potenciales pérdidas que superaban los $1.000 millones para diversos organismos públicos.
Estos datos fueron presentados por la Directora Nacional (S) de la ANCI, Michelle Bordachar, en el marco del Industrial Cyber Summit. Durante su intervención, la autoridad alertó sobre la creciente sofisticación de ataques como el phishing y lanzó un mensaje tajante al sector público y privado, afirmando que la gran mayoría de los incidentes se pueden prevenir volviendo a las medidas básicas de protección.
Durante su presentación, Bordachar destacó además la importancia de reportar oportunamente los incidentes para identificar patrones, detectar vulnerabilidades y generar alertas que permitan prevenir nuevos ataques.
Para David Pereira, gerente general de Inside Security, esta discusión pone sobre la mesa una diferencia fundamental: contar con políticas y controles de seguridad no necesariamente significa que estos funcionen frente a un ataque. El experto, además, advierte que la única forma de enfrentar este nivel de riesgo es mediante la comprobación empírica de las defensas.
«El caso del ataque con OpenAI en Australia nos demuestra que los ciberdelincuentes están usando tecnología de punta para encontrar brechas en segundos. Frente a esto, lo que señala la ANCI es vital, ya que los manuales, las certificaciones y las políticas documentadas no detienen a un ataque real», explica Pereira.
En este contexto, una respuesta estratégica al desafío es el enfoque «Hack to Protect», señala el experto. A través del Ethical Hacking es posible llevar las defensas desde la documentación a una situación controlada de ataque. Mediante pruebas de penetración y otras técnicas, las organizaciones pueden identificar vulnerabilidades, evaluar la efectividad de sus controles y determinar qué tan rápido son capaces de detectar y responder ante una intrusión.
“El objetivo no es esperar a que un atacante descubra una vulnerabilidad. Es adelantarnos y poner a prueba nuestras propias defensas, bajo condiciones controladas, para saber dónde están las brechas y corregirlas antes de que sean explotadas”, agrega Pereira.
El desafío adquiere especial relevancia a medida que las organizaciones incorporan inteligencia artificial a sus procesos y aumentan su exposición digital. Es por esto que, en el marco del Mes de la Ciberseguridad, Inside Security llama a transitar desde una seguridad basada en políticas y controles documentados hacia una seguridad comprobada, donde las defensas sean sometidas periódicamente a pruebas reales de vulnerabilidad.
