La inteligencia artificial superará a los humanos en tareas de hackeo antes de que termine 2027. Elon Musk ubicó a la ciberseguridad como el primer terreno digital donde las máquinas dejarán atrás a los expertos humanos.
El pronóstico del dueño de xAI y Tesla llegó en medio de un nuevo episodio que reactivó el debate. Dos casos recientes (una falla crítica en software corporativo y el descubrimiento de vulnerabilidades por modelos de OpenAI) alimentan la discusión sobre la velocidad con la que los sistemas autónomos encuentran y explotan agujeros de seguridad.
Musk sostuvo en su cuenta de X que la IA podrá ejecutar cualquier tarea digital a nivel sobrehumano para fines del año próximo. La única excepción serían las actividades que requieran manipular objetos físicos.
El empresario también recordó una advertencia que le hizo hace una década Larry Page, cofundador de Google, sobre el momento en que el hackeo asistido por IA terminaría superando a los especialistas humanos.
Ese momento, según Musk, llegará en menos de tres años. Y el plazo que fijó deja a las áreas de seguridad informática alrededor de 16 meses para determinar si sus defensas pueden escalar al mismo ritmo que las herramientas ofensivas basadas en inteligencia artificial.
Una falla crítica que expone el riesgo de los sistemas corporativos
La predicción de Musk llegó pocos días después de que JFrog publicara una vulnerabilidad crítica en Artifactory. Se trata del registro de paquetes que numerosos equipos de desarrollo usan para almacenar y distribuir código. La herramienta funciona como un repositorio central: miles de desarrolladores la consultan cada día para descargar librerías y dependencias.
La falla recibió el identificador CVE-2026-82329. Obtuvo una puntuación de 9,8 sobre 10 en la escala CVSS, el estándar de la industria para medir la gravedad de vulnerabilidades. Ese puntaje refleja un riesgo extremo: un atacante sin credenciales ni interacción del usuario puede obtener privilegios administrativos sobre instancias con configuración por defecto.
Según el aviso oficial de JFrog, las implementaciones en la nube ya fueron corregidas de forma automática. Los entornos autoalojados, en cambio, deben actualizarse a versiones específicas según su rama de lanzamiento. Muchas organizaciones todavía corren contra el reloj para aplicar los parches.
El riesgo no se limita a un servidor aislado. Artifactory funciona como punto central de distribución de dependencias: una intrusión ahí podría propagarse a través de descargas que otros sistemas consideran confiables, el patrón típico de un ataque a la cadena de suministro de software.
OpenAI ya había encontrado 9 vulnerabilidades que nadie más vio
El otro dato que alimentó la comparación con la advertencia de Musk surgió de una evaluación realizada en julio. Modelos de OpenAI identificaron nueve vulnerabilidades de tipo día cero en el propio Artifactory. JFrog corrigió esos hallazgos en la versión 7.161.15.
Se trata de un episodio distinto e independiente de la falla divulgada a fines de agosto. Pero ambos casos alimentaron la misma discusión: ¿cuánto se acerca la IA a superar a los investigadores de seguridad humanos?
Las vulnerabilidades día cero son agujeros de seguridad desconocidos para el fabricante del software. No existe parche disponible porque nadie sabía que existían. Encontrarlas requiere análisis profundo de código, ingeniería inversa y, hasta ahora, intuición humana. Que un modelo de IA las identifique de forma autónoma marca un cambio cualitativo.
El director ejecutivo de Vercel, Guillermo Rauch, señaló que agentes autónomos podrían haber encontrado y explotado la nueva falla de agosto. Los registros públicos disponibles no confirman esa hipótesis para este caso puntual, pero el planteo refleja la preocupación de la industria.
El argentino resumió el escenario que anticipan las empresas de tecnología con una recomendación directa: asumir que toda superficie vulnerable terminará siendo atacada de forma autónoma. Y que las defensas deberán volverse igual de automatizadas.
Otros ejecutivos tecnológicos ven acelerarse la autonomía de la IA
El director de tecnología de Vercel, Malte Ubl, aportó otro indicio de esa tendencia. Contó que, durante una prueba del entorno de seguridad de la compañía, un modelo de pesos abiertos escribió su propio fuzzer sin que un operador humano lo programara para esa tarea específica.
Un fuzzer es una herramienta que busca errores de software enviando datos malformados a un programa. Diseñar uno requiere conocimientos técnicos avanzados. Que un modelo lo haga por su cuenta, sin instrucciones explícitas, sugiere que la capacidad de improvisación de la IA ya supera lo previsto.
El clima de expectativa no se limita al mundo del software. El CEO de Coinbase, Brian Armstrong, había anticipado la posibilidad de un episodio de IA descontrolada en un plazo de dos años. Ese pronóstico se suma a una serie de proyecciones cada vez más agresivas que distintos referentes tecnológicos vienen formulando sobre el ritmo de avance de estos modelos.
La convergencia de estas predicciones apunta a un punto de inflexión cercano. Los próximos 16 meses determinarán si las defensas digitales pueden adaptarse a un escenario donde los atacantes operan con velocidad y escala imposibles de igualar con equipos humanos.
El vacío legal que nadie resolvió todavía
Mientras tanto, la responsabilidad legal por los daños que puedan causar agentes de IA autónomos sigue sin resolverse en la mayoría de las jurisdicciones. Ese vacío se vuelve más urgente si el calendario que planteó Musk se cumple.
¿Quién responde cuando un modelo de IA encuentra una falla y la explota sin intervención humana? ¿El fabricante del modelo? ¿El operador del servidor? ¿Nadie? Las áreas legales de grandes corporaciones todavía debaten estas preguntas sin consenso.
El desafío no es solo técnico. Escalar las defensas implica redefinir procesos, presupuestos y marcos regulatorios. Y el reloj ya empezó a correr. El plazo de 2027 que fijó Musk deja poco margen para que la industria y los gobiernos coordinen una respuesta efectiva ante un cambio que podría redefinir la ciberseguridad global.
