Las restricciones impuestas por las grandes empresas de inteligencia artificial están obstaculizando el trabajo de investigadores de ciberseguridad ofensiva. Durante meses, estas compañías han implementado programas y guardrails para limitar el uso de sus modelos por parte de hackers maliciosos, pero esto también ha afectado a los defensores legítimos de redes.
Recientemente, el gobierno de EE. UU. impuso restricciones de control de exportación a los modelos de IA Mythos y Fable de Anthropic, motivadas en parte por un informe que sugería la posibilidad de eludir los guardrails diseñados para prevenir ataques cibernéticos. Aunque las restricciones sobre Fable 5 y Mythos 5 han sido levantadas, el acceso a Mythos 5 se ha reintroducido solo para organizaciones estadounidenses cuidadosamente revisadas.
Anthropic y OpenAI han creado programas para que los investigadores de ciberseguridad puedan solicitar acceso a modelos con menos restricciones. Sin embargo, estas limitaciones han sido criticadas por expertos en ciberseguridad, quienes argumentan que dificultan la identificación de vulnerabilidades. Mark Dowd, un reconocido investigador, expresó su preocupación sobre cómo estas decisiones arbitrarias afectan la seguridad.
Chris Anley, científico jefe de NCC Group, destacó que la capacidad de un modelo de IA para intentar explotar un error es crucial para confirmar su existencia. Sin embargo, los guardrails pueden impedir que los modelos respondan a estas consultas, lo que perjudica a los defensores. Anley comparó esta situación con el uso de un martillo, que es tanto una herramienta de construcción como un arma.
Ante estos obstáculos, algunos investigadores recurren a modelos de IA de código abierto que no tienen restricciones. Esta situación plantea un desafío significativo para las empresas que buscan proteger sus sistemas, ya que la falta de acceso a herramientas adecuadas puede dejar vulnerabilidades sin resolver.
Comentarios