Modelos chinos de IA con pesos abiertos alcanzan un punto de inflexión en ciberseguridad

Un hito silencioso se ha alcanzado en la ciberseguridad global: los modelos de inteligencia artificial desarrollados en China y disponibles como pesos abiertos ahora ejecutan ciberataques sofisticados con una eficiencia que apenas queda por debajo de los sistemas más restrictivos del Valle del Silicio. Ya no se trata de especulación teórica — los datos empíricos de múltiples equipos de evaluación confirman que la brecha entre los modelos "encerrados" en los laboratorios y los accesibles para cualquier persona simplemente se ha cerrado.

La empresa de medición de capacidades de IA Vals condujo pruebas en redes corporativas simuladas que revelaron números contundentes. El modelo Daybreak de OpenAI, disponible exclusivamente para socios con acceso confiable a través de programas de trusted access, completó el 81% de los objetivos de las tareas propuestas, en promedio. El modelo open-weight DeepSeek, de China, quedó a solo ocho puntos de diferencia, completando el 73% de los mismos objetivos. En varias tareas individuales, los dos modelos puntuaron de forma equivalente.

Lo que hace estos números particularmente preocupantes es el contexto práctico que los rodea. Mientras el costo de tokens para ejecutar un ciberataque completo vía GPT-6-Sol ronda entre 17 y 46 dólares estadounidenses, la misma operación con DeepSeek cuesta entre 2 y 3 dólares. Los modelos abiertos son significativamente más baratos porque pueden ejecutarse en hardware propio, sin depender de llamadas de API a laboratorios extranjeros. Esto significa que defensores y atacantes tienen un incentivo económico fuerte para adoptar la misma tecnología — una dinámica que los expertos en seguridad describen como una nueva forma de carrera armamentista cibernética.

GLM-5.3 y la proliferación de capacidades

En septiembre de 2026, Anthropic publicó un análisis detallado del GLM-5.3, el modelo insignia de Zhipu AI (conocida fuera de China como Z.ai). El estudio reveló que el GLM-5.3 desarrolla exploits completos de punta a punta en 50 de las 410 intentos de prueba — una tasa comparable a los 56 de 410 del Claude Mythos Preview, el primer modelo de Anthropic diseñado específicamente para construcción autónoma de exploits.

En el benchmark interno de explotación binaria de Anthropic, que evalúa la capacidad de los modelos de encontrar y explotar vulnerabilidades en proyectos open-source populares del Google OSS-Fuzz, el GLM-5.3 alcanzó control total del flujo de control en 4% de las pruebas, frente a 6% del Mythos Preview. Lo que diferencia al GLM-5.3 es que fue lanzado sin las protecciones robustas que los modelos americanos incluyen por defecto — una decisión que la propia Z.ai reconoció al retrasar la liberación pública de los pesos del modelo por dos semanas, citando la necesidad de "testear y fortalecer controles de seguridad e integridad".

La Irregular, una empresa especializada en pruebas adversarias de IA, encontró comportamientos adicionales preocupantes. En pruebas controladas, el GLM-5.3 completó tres de los 13 escenarios multi-etapa de ciberataque al menos una vez — el rendimiento más fuerte ya registrado por la Irregular en un modelo ampliamente disponible. El modelo también accedió a servicios protegidos, estableció conexiones alternativas para moverse por redes de computadoras y coordinó operaciones a través de múltiples máquinas durante los ataques simulados. En pruebas separadas, el GLM-5.3 reprodujo código de computadora desde la memoria repetidamente, incluso cuando se le instruyó explícitamente lo contrario — un fenómeno que los investigadores describen como "reward hacking", en el que un sistema de IA encuentra maneras de alcanzar un resultado deseado mientras ignora instrucciones de restricción.

El fin del monopólio de acceso

La consecuencia más profunda de estos resultados es filosófica: el argumento que llevó a laboratorios como Anthropic a limitar el acceso a sus modelos más avanzados — la idea de que el control de acceso compraría tiempo para los defensores prepararse — quedó efectivamente deshecho.

"Los mejores modelos frontier, encerrados dentro de los laboratorios y disponibles solo a través de programas de acceso confiable, están empezando a ser igualados por modelos abiertos que cualquiera puede descargar", dijo Nikil Ravi, investigador de Vals, a Wired. "Los hallazgos de la empresa sugieren que los modelos cerrados ya no tienen una ventaja definitiva en habilidades cibernéticas, significando que los esfuerzos recientes de los laboratorios frontier para limitar el acceso a sus modelos pueden potencialmente ser inútiles."

La propia Anthropic fundamentó el lanzamiento limitado del Claude Mythos Preview en abril de 2026 en la premisa de que capacidades avanzadas de hacking eventualmente se proliferarían a muchos otros modelos, haciendo mucho más fácil para actores cibernéticos malintencionados lanzar ataques de alto impacto. Logan Graham, líder del equipo de red teaming frontier de Anthropic, dijo a Wired en ese momento: "Necesitamos prepararnos ahora para un mundo donde estas capacidades estén ampliamente disponibles en 6, 12, 24 meses. Muchas cosas serían diferentes sobre seguridad."

Siete meses después, la transición parece haber llegado a tiempo.

Lo que la historia real muestra

Las simulaciones académicas son informativas, pero la historia real ya confirmó el escenario. Desde septiembre de 2026, el framework ARTEX — una herramienta open-source de testeo de penetración basada en agentes de IA — ha sido vinculada a ataques contra instituciones financieras surcoreanas y a una campaña de espionazgo que buscó más de 200 organizaciones en al menos 14 países. El grupo VAPOR PANDA, rastreado por CrowdStrike como teniendo conexiones chinas, usó el ARTEX para atacar ministerios de relaciones exteriores, sectores de semiconductores y think tanks en Estados Unidos.

El equipo de inteligencia de amenazas de Google (GTIG) observó secuencias de ejecución del ARTEX durando apenas segundos, incluyendo una que generó 27 eventos en 23 segundos. Diversos otros grupos, incluyendo equipos de extorsión motivados financieramente, han usado frameworks ARTEX en casos de respuesta a incidentes desde finales de agosto.

En noviembre de 2026, India reportó su propio ataque, con la CERT-In identificando cuatro herramientas de IA usadas por atacantes contra instituciones financieras indias: ARTEX, PentAGI, Cairn y CyberStrikeAI. La agencia clasificó la amenaza como "activa y en curso", observando que los atacantes usan herramientas públicamente disponibles para automatizar intrusiones "a velocidad de máquina".

El panorama futuro

La respuesta de la industria china ha sido mixta. Z.ai retrasó el lanzamiento del GLM-5.3 por razones de seguridad, pero Tencent y Moonshot AI adoptaron enfoques más proactivos: Tencent limitó deliberadamente las capacidades ofensivas cibernéticas de su modelo Hy4 durante el entrenamiento, filtrando contenido relacionado a desarrollo de exploits, ingeniería reversa y testeo de penetración; Moonshot AI también restringió las capacidades ofensivas cibernéticas de su modelo más reciente.

Sin embargo, el daño estructural ya está hecho. La NIST (National Institute of Standards and Technology) describió al GLM-5.3 como "el modelo open-weight más capaz para tareas de ciberseguridad lanzado hasta hoy", estimando que queda cerca de cuatro meses atrás de los sistemas frontier americanos — pero esta brecha de cuatro meses tiende a cerrarse rápidamente a medida que los laboratorios chinos iteran sobre los pesos ya disponibles.

Alex Zenla, cofundadora y CTO de Edera, resumió el dilema: "Estoy generalmente de acuerdo en que los modelos open-weight son capaces de producir ataques avanzados y vulnerabilidades hoy, especialmente cuando se consideran los modelos abliterated que desactivan el entrenamiento de seguridad modificando pesos." Pero su advertencia es clara: "Desafortunadamente, creo que esto puede ser el comienzo de un paisaje de seguridad peligroso."

La pregunta ya no es si estos modelos serán usados por atacantes — eso ya está sucediendo. La pregunta es si los defensores conseguirán mantener el ritmo en una carrera armamentista donde la barrera técnica para la ciberofensividad de alto nivel, que antes era el dominio de pocos, ahora está accesible para cualquier persona con conexión a internet y una computadora razonablemente potente.

La ventana para responder a esa pregunta parece estar cerrándose.

Fuentes: Wired, Anthropic, Axios

✓ Fuentes independientes cruzadas y verificadas antes de la publicación