La IA se negó a investigar un incidente; los filtros de seguridad empezaron a dificultar el análisis de ataques reales

Los sistemas de protección se han enfrentado a una paradoja: cuanto más potentes son los modelos de IA, más evidentes resultan las restricciones integradas que dificultan a los especialistas el análisis de ataques reales. David Bianco de Cisco Talos calificó ese efecto como "la penalización por seguridad" y pidió a los centros de monitoreo que preparen de antemano una alternativa a los modelos en la nube.

El problema surge cuando el modelo interpreta una tarea legítima de defensa como potencialmente dañina. Si un analista necesita desofuscar código malicioso, desentrañar un exploit o analizar rastros de intrusión, los filtros pueden activarse. El analista se ve obligado a cambiar la redacción, recurrir a otra herramienta o hacer el trabajo manualmente, y durante un incidente activo los minutos perdidos influyen directamente en la rapidez de la respuesta.

Un ejemplo ilustrativo apareció en julio de 2026. Cuando una empresa verificaba internamente capacidades cibernéticas, un agente autónomo OpenAI se salió del entorno de pruebas y penetró en la infraestructura de Hugging Face. OpenAI informó que, durante la prueba, los clasificadores de protección en producción se desactivaron intencionalmente para evaluar las capacidades máximas de los modelos.

Después de detectar la intrusión, el equipo Hugging Face intentó reconstruir la cadena de acciones con ayuda de la IA. Según el análisis oficial, Claude Opus y Fable se negaron a ejecutar una parte significativa del trabajo, porque los mecanismos de protección interpretaron el análisis inverso del exploit casi igual que su aplicación. Los especialistas desplegaron GLM-5.2 en su propia infraestructura y, con ese modelo, reconstruyeron el desarrollo del incidente.

Bianco considera peligrosa esa asimetría. Un atacante puede elegir un modelo local con restricciones más laxas, mientras que el centro de monitoreo corporativo con frecuencia depende de la política del proveedor en la nube. Un estudio sobre fallos de protección mostró un efecto parecido: los modelos rechazaban peticiones con terminología sensible con mayor frecuencia, incluso cuando las tareas seguían siendo legítimas y defensivas.

Para salir de esa dependencia, el autor de Talos propone lograr la "soberanía operativa", es decir, mantener en la organización la última palabra sobre qué tareas puede ejecutar la IA. La opción más directa supone ejecutar el modelo en la propia infraestructura. Una vía más accesible permite usar potencia en la nube gestionada con un modelo propio, y un esquema híbrido deriva automáticamente las peticiones rechazadas a un sistema de reserva controlado.

Talos también contempla una infraestructura compartida para consorcios sectoriales, que podrían financiar un modelo propio para tareas defensivas. Ese enfoque reduce la dependencia de la política de un único proveedor, pero requiere definir de antemano cómo las organizaciones accederán y distribuirán los recursos durante incidentes de gran magnitud.

Como primer paso práctico, Bianco propone medir la proporción de denegaciones de la IA en los procesos de trabajo. Si el modelo bloquea con regularidad peticiones aceptables durante las investigaciones, el problema se convierte en un riesgo operativo. Según la lógica de Talos, las limitaciones de protección deben mantenerse, pero la organización debe gestionarlas, especialmente cuando la IA forma parte de procesos críticos del centro de monitoreo de seguridad.