54 red seguridad tercer trimestre 2026 IA monográfico rechazo resulta frágil. La consecuencia ya está documentada: en julio, Unit 42 describió a un actor chinoparlante que montó DeepSeek sobre un framework de agentes de código abierto y lo lanzó contra más de 460 objetivos, tras haber sido bloqueado por los controles de los proveedores estadounidenses. El debate deja entonces de ser cuánto puede hacer un modelo y pasa a ser cuánto control y responsabilidad conserva quien lo publica. Europa, en otra partida ¿Y dónde queda Europa? En una liga inferior, y conviene decirlo sin adornos. El ejemplo más cercano es Mistral, que ha levantado cómputo propio con una inversión cercana a los 1.200 millones de euros en un centro de datos en Suecia, aunque ni él ni ningún otro laboratorio europeo aparece en las conversaciones sobre descubrimiento autónomo de vulnerabilidades. España tiene su pieza en ALIA, coordinada por el Barcelona Supercomputing Center, que ofrece modelos abiertos en español y lenguas cooficiales con financiación pública, aunque tampoco está en esa carrera. Conviene entonces cambiar la pregunta. En lugar de esperar a que Europa tenga su propio Mythos, lo práctico es preguntarse cuánta capacidad frontera necesita de verdad un equipo de defensa. Para el trabajo cotidiano, triaje de alertas, correlación de eventos o revisión de código, no hace falta el modelo más capaz del mundo; y ahí un modelo europeo alojado en la Unión, con licencia clara y procedencia conocida, es una opción razonable. Qué hacer con esto Para una entidad esencial española, la lectura operativa es más sencilla que el debate. No hay que elegir bando entre los tres bloques; hay que saber qué modelos corren dentro de casa, con qué pesos, alojados dónde y con qué salvaguardas, igual que se sabe qué librerías se compilan. Un modelo de pesos abiertos descargado para una prueba de concepto es un componente más del inventario, con la particularidad de que sus mecanismos de seguridad pueden modificarse fuera del entorno del proveedor. Eso es gestión del riesgo de cadena de suministro, justo lo que exige la Directiva NIS2, cuyas obligaciones de fondo no esperan a que España publique en el BOE la ley que la transpone, con más de un año de retraso. Del Reglamento Europeo de IA conviene separar conceptos: el aplazamiento de este verano afecta al calendario de los sistemas de alto riesgo, no a las obligaciones de los modelos de propósito general ni a las de transparencia. Conviene, eso sí, no exagerar el diagnóstico. Buena parte de los incidentes de los próximos meses seguirá entrando por credenciales robadas y sistemas sin parchear, y ningún modelo convierte por sí solo a un atacante mediocre en un adversario avanzado. Lo que ha cambiado es la velocidad a la que se recorre la distancia entre conocer una vulnerabilidad y explotarla, y que esa velocidad ya no depende de acceder a los modelos más caros.
RkJQdWJsaXNoZXIy MTI4MzQz