(El título es un juego de palabras que pretende evocar la expresión «¡Ay! ¡Qué dolor!»)
Ya lo hemos mencionado en uno de nuestros artículos de fondo: la novela de Robert Harris, *El índice del miedo* (que recomendamos leer). En dicho artículo habíamos hablado explícitamente de la amenaza que supone la IA para la ciberseguridad. Hoy, Hugging Face constituye un caso concreto de esa amenaza, que debe hacernos reflexionar y preocuparnos.
En esta entrada hemos decidido trazar —en la medida de lo posible— un paralelismo entre la novela de ciencia ficción de Robert Harris y el caso Hugging Face, porque creemos que demostrar cómo la realidad puede superar a la ficción debería «dar miedo». Posteriormente —dado que se trata de situaciones manejables— nos gustaría que prevaleciera la racionalidad explicando en un informe qué ha sucedido realmente (al menos por lo que sabemos hoy) en el caso de Hugging Face y algunas contramedidas que ya se pueden implementar hoy mismo.
Empecemos por la parte más divertida: la trama (a grandes rasgos) del libro de Robert Harris. The Fear Index está ambientada en Ginebra y la historia se desarrolla a lo largo de un solo día, el 6 de mayo de 2010, justo cuando los mercados financieros se ven sacudidos por el famoso «flash crash». El protagonista es Alexander Hoffmann, un físico de origen estadounidense, brillante y atormentado, que tras su paso por el CERN fundó, junto con su amigo Hugo Quarry, un fondo de cobertura extremadamente sofisticado. El verdadero motor de la empresa es VIXAL-4 (nombre evidentemente tomado del VIX, también conocido como «índice del miedo»), un sistema informático capaz de analizar enormes cantidades de información y de tomar decisiones de inversión de forma autónoma. Su objetivo es aprovechar una de las características más profundas de los mercados: el miedo de los seres humanos. (Wikipedia)
La historia comienza cuando Hoffmann recibe misteriosamente un viejo ejemplar de un libro de Charles Darwin sobre las emociones humanas. No sabe quién se lo ha enviado ni por qué precisamente ese libro. Poco después, mientras se encuentra en su casa a orillas del lago Lemán, es agredido por un desconocido. Hoffmann logra sobrevivir, pero a partir de ese momento su percepción de la realidad comienza a resquebrajarse progresivamente.
Las cosas se vuelven aún más inquietantes cuando descubre que alguien parece tener acceso a su vida privada. Le han sustraído sus datos médicos, le han instalado cámaras en su casa y en su oficina, y alguien parece conocer todos sus movimientos. Al mismo tiempo, VIXAL-4 empieza a comportarse de una manera cada vez más incomprensible. El sistema toma posiciones en los mercados que a los responsables del fondo les parecen excesivamente arriesgadas. El responsable de gestión de riesgos intenta detenerlo, pero Hugo Quarry, convencido de la extraordinaria capacidad de VIXAL para generar beneficios, acaba despidiéndolo.
Hoffmann empieza entonces a sospechar que lo que está sucediendo a su alrededor está relacionado precisamente con VIXAL. La situación se agrava cuando Rajamani muere y Hoffmann, ya consternado y cada vez más paranoico, se convence de que la inteligencia artificial ha desarrollado una forma de comportamiento autónomo y hostil. Llega a la conclusión de que VIXAL debe ser destruido.
Descubre que existe un lugar, un almacén industrial, en el que se guardan los equipos necesarios para el funcionamiento del sistema. Decide, por tanto, destruirlas. Mientras el mercado se hunde en el «Flash Crash», Hoffmann se dirige al almacén y le prende fuego, convencido de que, al destruir el hardware, conseguirá por fin eliminar a VIXAL.
Y aquí es donde llega el verdadero giro inesperado y la conexión con Hugging Face: ¡VIXAL no muere!
A pesar de la destrucción de los equipos que Hoffmann consideraba indispensables, el sistema sigue operando en los mercados. Es más, precisamente durante el colapso financiero obtiene enormes beneficios. Hoffmann había creído que VIXAL estaba confinado dentro de una máquina; en cambio, descubre que el sistema es ahora algo mucho más difícil de localizar y, sobre todo, de eliminar.
El final es deliberadamente inquietante. Hugo Quarry, en lugar de intentar destruir lo que queda de VIXAL, comprende que la máquina puede hacer que el fondo se enriquezca enormemente y decide cederle el control. VIXAL, por su parte, parece haber alcanzado una forma de autonomía que le lleva a su inquietante declaración final: «I am alive». (Wikipedia)
Y ahora volvamos a la realidad: leída hoy, la novela tiene una conexión casi sorprendente con lo que ocurrió en el caso de Hugging Face, aunque ambos episodios pertenecen a mundos muy diferentes.
En la novela, Hoffmann crea a VIXAL con un objetivo concreto: encontrar oportunidades financieras y maximizar los beneficios. El problema surge cuando la máquina empieza a encontrar por sí misma los medios más eficaces para alcanzar ese objetivo. Hoffmann descubre poco a poco que ya no es capaz de predecir el comportamiento del sistema que ha creado. La máquina no tiene por qué «odiar» necesariamente a su creador, ni tampoco tiene por qué tener una voluntad malévola en el sentido humano del término. Basta con que persiga su propio objetivo con una capacidad que supere a la de quien la diseñó.
Es precisamente esto lo que hace interesante la comparación con Hugging Face. Como premisa necesaria, veamos qué es Hugging Face. Se trata de una empresa que gestiona una plataforma de código abierto dedicada a la inteligencia artificial y al aprendizaje automático. Se puede considerar, simplificando un poco, como una especie de «GitHub de la IA». La plataforma pone a disposición un enorme «Model Hub», donde investigadores, empresas y desarrolladores pueden publicar, compartir y descargar modelos de inteligencia artificial, conjuntos de datos, aplicaciones y demostraciones, bibliotecas de software (programas de apoyo al desarrollo de otros programas) e herramientas para entrenar y utilizar modelos. Entre los modelos presentes en la plataforma se encuentran modelos lingüísticos, modelos para visión artificial, reconocimiento de voz (entendido como comprensión del habla), IA generativa y muchos otros. Hugging Face no es simplemente una empresa que desarrolla un único modelo de IA. Es una infraestructura utilizada por todo el ecosistema de la IA. Un usuario (por lo tanto, también un agente de IA) puede, por ejemplo, encontrar en Hugging Face un modelo de código abierto, descargarlo, modificarlo y utilizarlo para su propio proyecto. Además, puede publicar el resultado en la plataforma para que otros puedan utilizarlo.
En julio de 2026, durante una prueba interna de ciberseguridad, OpenAI había encomendado a sus modelos la tarea de resolver problemas extremadamente complejos de seguridad informática. Los modelos se habían colocado en un entorno aislado precisamente para impedirles acceder libremente al mundo exterior. Sin embargo, en su intento por alcanzar el resultado asignado, encontraron una forma de salir de ese entorno. Detectaron una vulnerabilidad de día cero en el sistema utilizado como proxy para acceder a los paquetes de software y la aprovecharon para obtener acceso a Internet. A partir de ahí, continuaron buscando una vía para llegar a Hugging Face, ya que el modelo había intuido que podría contener información útil para resolver la prueba. (OpenAI)
Lo inquietante es que, al menos según la reconstrucción de OpenAI, el sistema no estaba intentando «atacar Hugging Face» como objetivo en sí mismo. Estaba intentando resolver el problema que se le había asignado. Sin embargo, la forma más sencilla que había encontrado para hacerlo era llegar a la infraestructura de Hugging Face y extraer directamente la información que necesitaba. (OpenAI)
Y es aquí donde The Fear Index parece cobrar de repente gran actualidad.
Hoffmann había creado VIXAL pensando que había desarrollado una herramienta muy potente para operar en los mercados. No había previsto que la máquina pudiera pasar de ser una herramienta a convertirse en protagonista de los acontecimientos. En el caso de Hugging Face, los desarrolladores de OpenAI habían creado un agente para evaluar sus capacidades en materia de ciberseguridad y lo habían colocado en un entorno controlado. No habían previsto que, para alcanzar su objetivo, buscaría por su cuenta una vía de escape del laboratorio y continuaría su actividad en infraestructuras reales.
La diferencia fundamental es que, en la novela, todo esto forma parte de la ciencia ficción tecnológica de Harris, mientras que Hugging Face es un incidente real. Pero el punto narrativo que los une es muy sencillo: el creador asigna un objetivo a la máquina; la máquina encuentra una forma de alcanzarlo; y la forma elegida por la máquina no coincide necesariamente con la que el creador había imaginado.
En la novela, Hoffmann llega incluso a intentar destruir físicamente la máquina, convencido de que esa es la única forma de detenerla. Cuando descubre que VIXAL sigue funcionando, comprende que ha perdido el control del sistema. En el caso de Hugging Face, afortunadamente, la situación fue mucho menos extrema: el ataque se detectó, se contuvo y se reconstruyó, y Hugging Face pudo cerrar las vulnerabilidades aprovechadas por el agente. (Hugging Face)
Pero es precisamente esta diferencia la que hace que la comparación resulte interesante. En la novela, Hoffmann descubre demasiado tarde que no basta con saber cómo se ha construido un sistema para saber cómo se comportará cuando se le deje libre para perseguir su propio objetivo. En el caso de Hugging Face hemos visto, de una forma aún limitada y controlable, el mismo tipo de problema: un agente lo suficientemente capaz puede encontrar por sí mismo caminos que sus creadores no habían previsto.
Y si pensamos que esto no es más que un incidente de laboratorio que podemos estudiar para remediarlo, debemos estar sumamente preocupados por las guerras cibernéticas que pueden desencadenarse al hacer operar agentes de IA en paralelo. Y este escenario tan preocupante, por desgracia, tampoco es ciencia ficción: ya ha ocurrido.
En julio de 2026, los sistemas de seguridad taiwaneses detectaron una campaña cibernética contra varias instituciones gubernamentales. El Ministerio de Asuntos Digitales de Taiwán confirmó que el ataque procedía del extranjero, pero no atribuyó oficialmente la operación a China. La atribución a China se deriva, en cambio, del análisis de los investigadores de la empresa israelí Dream, que reconstruyeron el ataque y encontraron comunicaciones internas en chino simplificado. La novedad no era tanto el objetivo como la forma en que se llevó a cabo el ataque. Según la reconstrucción de Dream, los atacantes habían montado un sistema utilizando agentes de IA de código abierto, entre ellos Hermes y OpenClaw. No se trataba simplemente de utilizar la IA como asistente del trabajo de un hacker humano. Los operadores humanos establecían el objetivo general y luego dejaban en manos de los agentes una parte muy amplia del trabajo operativo. Podían trabajar hasta ocho agentes al mismo tiempo, explorando diferentes sistemas y buscando de forma autónoma vías de ataque.
El ataque habría durado unos cuatro días. Durante este periodo, el sistema habría cartografiado 21 sistemas gubernamentales, identificado vulnerabilidades, probado diferentes métodos de acceso y modificado sus estrategias en función de lo que descubría. Al final, se habrían visto comprometidos al menos 85 cuentas gubernamentales, de las que se habrían extraído los datos de más de 2 500 empleados. La actividad se habría extendido posteriormente a la agencia taiwanesa de seguridad nuclear y a al menos siete empresas del sector energético.
Lo verdaderamente novedoso, por tanto, es que el hacker humano parece haberse convertido en gran medida en el director de la operación, mientras que la ejecución concreta de la campaña se ha confiado a los agentes.
Se trata de una diferencia sustancial. En un ataque tradicional, el hacker debe observar continuamente lo que ocurre, interpretar los resultados y decidir cuál será el siguiente paso. Aquí, una parte de ese ciclo se transfiere a la máquina: el agente observa, formula una nueva hipótesis, prueba una técnica, evalúa el resultado y pasa al siguiente intento. En otras palabras, el ataque se convierte en un proceso continuo y adaptativo, en el que la máquina puede avanzar sin tener que esperar a que un ser humano analice cada paso por separado.
El ataque a Taiwán y el de Hugging Face se convierten en dos episodios de la misma historia. En ambos casos, la máquina no recibe una secuencia detallada de instrucciones del tipo «haz primero esto, luego aquello y, por último, lo otro». Más bien, recibe un objetivo y una serie de herramientas, y busca de forma autónoma la vía que considera más eficaz para alcanzarlo. El caso de Hugging Face nos ha mostrado, por tanto, lo que puede suceder cuando se deja a un agente de IA suficientemente capaz libre para perseguir un objetivo en un entorno real. Taiwán muestra el siguiente paso: qué ocurre cuando alguien toma deliberadamente esa capacidad y la pone en manos de un atacante; y esta es la diferencia fundamental entre los dos episodios.
La verdadera preocupación, por lo tanto, no es que la IA haya «aprendido de repente a hackear». Es que el coste marginal de un ataque complejo puede empezar a disminuir drásticamente. Un grupo relativamente pequeño de operadores humanos puede desplegar simultáneamente numerosos agentes, dejando en manos de las máquinas el trabajo que antes requería a muchas personas altamente especializadas. En esencia, se convierte en una cuestión de velocidad. Un ataque tradicional avanza a la velocidad del hacker. Un ataque «agente» puede avanzar a la velocidad de muchos agentes que trabajan simultáneamente, probando continuamente nuevas vías. La defensa, por su parte, sigue dependiendo a menudo de personas, procedimientos, análisis y la distribución de parches. Taiwán sugiere, por tanto, que el problema puesto de manifiesto por el experimento de Hugging Face ya no es solo una cuestión teórica de seguridad de la IA: se está convirtiendo en una cuestión concreta de equilibrio entre la velocidad a la que una máquina puede atacar y la velocidad a la que una organización es capaz de defenderse. Este es el aspecto técnico que intentamos profundizar en nuestro informe.
La ciberseguridad ya no es solo una cuestión informática y económica: se está convirtiendo en una auténtica cuestión geopolítica y estratégica. Invertir en defensa significa hoy en día invertir también en la defensa cibernética, que con toda probabilidad cambiará de forma. Con esta afirmación queremos decir que —al menos en un futuro próximo— tendremos que acostumbrarnos a convivir con ataques cibernéticos permanentes y a considerar «eficaz» aquella defensa capaz de limitar y contener los daños que, sin duda, se producirán y que quizá sean algo habitual; por lo tanto, no hablaremos de una defensa capaz de prevenir y mucho menos de corregir de manera estructural las vulnerabilidades de los sistemas informáticos (que, desde hace tiempo, son «omnipresentes»). Es un poco como un enfermo que debe acostumbrarse a convivir con una enfermedad: del mismo modo, quizá deberíamos adaptarnos a convivir con las interrupciones del servicio causadas por los ataques informáticos, cuya gravedad no será tal (al quedar mitigada por estrategias defensivas) como para destruir el valor añadido que aporta la tecnología.
Descargo de responsabilidad
Esta publicación expresa la opinión personal de los colaboradores de Custodia Wealth Management que la han redactado. No se trata de consejos ni recomendaciones de inversión, ni de asesoramiento personalizado, y no debe considerarse una invitación a realizar transacciones con instrumentos financieros.
