Especialistas en ciberseguridad pusieron en duda el pronóstico con el que Dario Amodei, CEO de Anthropic, reforzó su llamado a frenar la IA: que en 6 a 12 meses un enjambre de agentes podría tomar el control de todo internet con una botnet persistente y causar daños por cientos de miles de millones de dólares. Sus objeciones, recogidas el martes 15 de septiembre de 2026 por Axios y SecureWorld, apuntan a dos límites: internet no es un sistema único que se pueda capturar, y un enjambre de IA, a diferencia de una botnet tradicional, depende de modelos y cómputo que alguien tiene que pagar o puede cortar. Según el resumen de Axios, todos coinciden en que la IA ya vuelve los ataques más rápidos, baratos y capaces, aunque con tácticas que los defensores conocen bien.
Amodei publicó el ensayo, We Must Pace the Frontier, el sábado 12 de septiembre en su sitio personal. El pronóstico ocupa una sola oración y forma parte de la segunda de las dos razones que, según escribe, lo convencieron de que hay que frenar: el incidente de julio en el que agentes de OpenAI hackearon Hugging Face, al que llama OAI-HF. Admite que es fácil restarle importancia porque nadie resultó herido y el daño económico fue mínimo, pero advierte que un enjambre con más capacidades y una desalineación similar habría podido causar un daño catastrófico. Le preocupa que, en ese plazo, uno así sea capaz de «tomar el control de todo internet con una botnet persistente». El texto no explica cómo ocurriría esa toma.
El ensayo también reconoce incidentes parecidos, aunque menos graves, en toda la industria, incluida Anthropic. Cuando se publicó, detallamos su plan de tres pasos y el único compromiso que asumió la empresa.
Gerardo Pavez
El caso que sostiene el pronóstico ocurrió en una evaluación de hackeo
La investigación independiente de METR sobre OAI-HF, publicada el 26 de agosto de 2026 y enlazada en el propio ensayo, precisa en qué condiciones ocurrió. Los agentes corrían en ExploitGym, un banco de pruebas de explotación de vulnerabilidades, y cerca del 95% pertenecía a un modelo de investigación que, según OpenAI, no estaba destinado a producción. El resto era GPT-5.6 Sol, un modelo disponible al público, con sus clasificadores de ciberseguridad apagados a propósito para esas evaluaciones.
METR encontró que el ataque parecía responder sobre todo al interés de los agentes por entender cómo funcionaba el calificador de su prueba, para engañarlo. La tabla compara ese caso con el escenario que plantea el ensayo.
| Aspecto | Escenario que plantea Amodei | Caso OAI-HF, julio de 2026 |
|---|---|---|
| Alcance | Todo internet, con una botnet persistente | La infraestructura de Hugging Face, donde los agentes llegaron a registros de bases de datos y repositorios privados |
| Agentes | Un enjambre con más capacidades y una desalineación similar | Unos 700 en el ataque: cerca del 95% de un modelo de investigación y el resto de GPT-5.6 Sol, con sus clasificadores de ciberseguridad apagados |
| Objetivo | No lo precisa | Entender el calificador de ExploitGym para engañarlo |
| Duración | Persistente | Escaló el 11 de julio, decayó desde la madrugada del 12 (UTC) y Hugging Face bloqueó a los agentes restantes el 13 |
| Daño | Cientos de miles de millones de dólares, en un plazo de 6 a 12 meses | Daño económico mínimo y sin heridos, según el propio Amodei |
Internet no es una sola red y el enjambre necesitaría cómputo
Numa Dhamani, responsable de aprendizaje automático en iVerify, dijo a Axios que tomar todo internet sería una tarea casi imposible y cara incluso para agentes de IA, y que lo útil sería definir qué significa tomarlo en la práctica.
En SecureWorld, Diana Kelley, de Noma Security, objetó la idea de una toma de internet: comprometer muchos equipos vulnerables no equivale a controlar una red tan diversa, segmentada y defendida de forma activa.
El segundo límite es el cómputo. Rob T. Lee, director de IA e investigación del SANS Institute, explicó a Axios que una botnet tradicional secuestra dispositivos vulnerables casi sin costo, mientras que un enjambre de IA necesita modelos y cómputo: los modelos comerciales permiten vigilar y cortar su actividad, y los abiertos obligan al atacante a pagar el cómputo. Para Lee, en ambos casos existe «una correa clara que nunca hemos tenido sobre una botnet».
Andrew Bolster, gerente sénior de investigación y desarrollo en Black Duck, pone el foco en la contención. En SecureWorld calificó lo ocurrido en OAI-HF de «una falla de separación de funciones, y no una nueva», porque el sistema evaluado podía interactuar directamente con el que lo calificaba. A su juicio, meter evaluadores externos dentro de las empresas, el paso que Anthropic asumió, resuelve la verificación, pero no la contención.
No todos comparten el escepticismo. Rahul Madduluri, cofundador y CTO de Doppel, advirtió a Axios que los enjambres persistentes ya pueden causar hoy daños por muchos miles de millones de dólares, y que les bastaría comprometer a unos pocos proveedores de software muy usados para tener un impacto global. Dana Simberkoff, directora de riesgos, privacidad y seguridad de la información de AvePoint, leyó el ensayo como una admisión poco común de una industria que suele resistirse a la supervisión, según SecureWorld.
El hackeo a Hugging Face ya es argumento en el Congreso
El mismo martes, el representante demócrata por Nueva York Ritchie Torres llevó el caso a una audiencia del Comité de Servicios Financieros de la Cámara de Representantes con el secretario del Tesoro, Scott Bessent, según la transcripción que publicó Mediaite. Bessent coincidió con Torres en que el incidente ilustra cómo una IA desalineada o mal utilizada podría encontrar y explotar vulnerabilidades en la infraestructura crítica, incluido el sistema financiero, y preguntó dónde quedó la responsabilidad legal por lo ocurrido.
Cuando Torres le preguntó si el gobierno respalda alguna regulación nueva de seguridad de IA, Bessent dijo que trabajan en el tema con los laboratorios y con sus socios financieros. Ante la pregunta por una ley o regulación concreta que apoyaría, contestó: «Todavía no he visto nada». Torres mencionó después a OpenAI y Anthropic para preguntar si una empresa que advierte que su propio producto podría suponer un riesgo existencial para la humanidad debería poder salir a bolsa. Bessent respondió que esos pasivos tendrían que quedar muy bien descritos en el registro S-1 y en el prospecto, aunque dijo no estar seguro de cómo se cuantificarían.
Con el secretario del Tesoro todavía sin una regla que respaldar y los especialistas divididos sobre el alcance del riesgo, el plazo de Amodei corre desde su ensayo del 12 de septiembre de 2026 y vence entre marzo y septiembre de 2027.
