El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) publicó el martes 3 de noviembre su informe anual State of the Cyber Nation, el décimo desde su fundación. Allí escribe que es «muy probable» que, de aquí a 2028, un ransomware con IA —malware que se busca solo sus puertas de entrada— se haya usado contra la infraestructura crítica del país: hospitales, plantas de agua, redes eléctricas, aeropuertos. En la tabla de probabilidad que usa la comunidad de inteligencia británica, «muy probable» corresponde a una probabilidad de entre el 80 % y el 90 %.
Richard Horne, director del NCSC —la agencia que depende de GCHQ, el servicio de inteligencia de señales británico—, presentó el informe en Londres. Su primer punto fue quitarle dramatismo al asunto: la inteligencia artificial «no inventó nuevas formas de atacarnos». Lo que cambió es otra cosa. «Fallas que se toleraron demasiado tiempo ahora se pueden descubrir y explotar a una escala y a un ritmo que antes eran inimaginables», dijo.
En el mismo discurso citó lo que estaba pasando esa semana en Europa: alguien entró a los sistemas de refrigeración de supermercados y los puso a calentar hasta arruinar la comida. Para esa maniobra no hizo falta ningún modelo de lenguaje. Lo que el informe anticipa es el paso siguiente: esa misma búsqueda de la puerta abierta la hace un programa que prueba solo, sin nadie al mando.
Detrás de esas puertas hay compuertas de agua que se abren por internet, cámaras frigoríficas, líneas de producción, controles de calefacción. Horne habló de «la automatización de procesos físicos que son vitales para la vida moderna» y señaló que son justamente los que menos se miran cuando se decide dónde va el dinero: no se ven como tecnología de oficina y su protección queda fuera de las discusiones de inversión.
«Durante décadas nos hemos salido con la nuestra haciendo tecnología barata», dijo. Sistemas al final de su vida útil estirados un año más, actualizaciones postergadas como si fueran un ahorro, accesos abiertos porque era cómodo, compras decididas por precio y sin preguntar si lo comprado aguantaba.
Por qué el ransomware con IA encuentra la puerta abierta
A esa base débil se le suma la capacidad de búsqueda. Horne describió la IA como un multiplicador de fuerza en manos de quien quiere hacer daño: acelera la velocidad y la escala de las operaciones. Sobre China, el informe dice que «muy probablemente» tiene la intención y está en la mejor posición para usar IA contra la infraestructura crítica británica, y que su actividad es el desafío cibernético más sofisticado y sostenido que enfrenta el país. Sobre Rusia, apunta que sus grupos toman modelos abiertos y los reentrenan para sus objetivos en lugar de construir sus propias herramientas.
El volumen se mide en avisos. Solo por una falla de PHP, la agencia envió más de 110.000 notificaciones y alertas tempranas a organizaciones británicas. Cada una era una puerta que se supo abierta antes de que alguien la empujara.
La misma herramienta para tapar el agujero
La IA también corre para el otro lado. Los grandes proveedores ya publican cientos de correcciones en una sola actualización, y el proyecto del núcleo de Linux parchó más de mil fallas el mes pasado. Encontrar y cerrar un agujero dejó de depender de que alguien lo note a tiempo.
El gobierno británico puso dinero donde estaba el discurso. Anunció 60 millones de libras para la primera etapa de un Escudo Cibernético nacional y 70 millones para el Centro Nacional de Exposición y Vulnerabilidad en Tiempo Real (NERV), que usará IA para encontrar fallas en la infraestructura crítica y en la economía. A eso se suma un Centro de Excelencia en Seguridad de IA en Mánchester, dentro del propio NCSC.
A los responsables de organizaciones, Horne les dejó una frase para cuando llegue el momento de rendir cuentas: tendrán que mirar a los ojos a sus inversores, a sus empleados y a sus clientes y explicar por qué, «cuando la comida no esté en las góndolas, cuando las luces no estén encendidas», no hicieron nada. El proyecto de ley de ciberseguridad y resiliencia, que fijará un piso mínimo de protección para la infraestructura crítica, espera su trámite en el Parlamento, y el plan nacional de ciberacción se anunciará en las próximas semanas.
OTRAS FUENTES CONSULTADAS: The Independent (03/11/2026); New Civil Engineer (03/11/2026); IT Pro (03/11/2026).
