Una IA condujo hasta el 90% de un ataque sola. ¿Quién responde por eso en su empresa?

El ataque en el que el humano pulsó pocos botones

En noviembre de 2025, Anthropic publicó el informe "Disrupting the first reported AI-orchestrated cyber espionage campaign". En él, la empresa cuenta que a mediados de septiembre detectó a un grupo que atribuye, con alta confianza, a un actor patrocinado por el Estado chino, que usaba Claude Code para atacar a unas 30 organizaciones: empresas tecnológicas, instituciones financieras, industrias químicas y organismos públicos. Algunas de esas intrusiones tuvieron éxito.

Lo que cambia la conversación es el reparto del trabajo. Según el informe, la IA ejecutó por sí sola entre el 80% y el 90% de las operaciones tácticas, del reconocimiento a la recogida de datos, pasando por la búsqueda de fallos y la prueba de credenciales. Las personas aparecieron en pocos puntos de decisión, que Anthropic estima entre cuatro y seis por campaña. Cosas como autorizar el paso del reconocimiento a la explotación, o elegir qué datos llevarse.

Cuatro a seis decisiones humanas. El resto, máquina.

El informe también deja constancia de un límite, y es justo mencionarlo: en algunos momentos la IA se inventó resultados, como credenciales que no funcionaban. Aun así, el modelo de operación quedó demostrado. Y deja una pregunta que los organigramas actuales no responden bien.

El cargo que la ley no deja desaparecer

Hay una ironía en esta historia. En julio, Vicente Conde escribió sobre cómo los cargos están perdiendo sentido precisamente dentro de Anthropic. A partir de una observación de Boris Cherny, uno de los creadores de Claude Code, describe una empresa en la que el trabajo se organiza por arquetipos (quien prototipa, quien construye, quien mantiene) y no por títulos.

En seguridad, ese movimiento choca con un límite. El cargo de quien responde por la seguridad no existe por el organigrama. Existe porque alguien tiene que poner su nombre en el documento.

En Brasil, la Resolución CMN 4.893, de 2021 (norma del banco central), obliga a las instituciones financieras a designar a un director responsable de la política de ciberseguridad y del plan de respuesta a incidentes, y exige que esa política la apruebe el consejo de administración. El arquetipo puede cambiar todo lo que quiera. El nombre en el papel se queda.

Más culpa, menos poder de decisión

El problema es lo que viene con ese nombre. Splunk, de Cisco, publicó en febrero de 2026 "The CISO Report", con 650 CISO de nueve países. Más de tres cuartas partes dicen temer tener que responder personalmente por incidentes; un año antes, eran poco más de la mitad. Y casi todos cuentan que la gobernanza de la IA también ha caído en su mesa.

La autoridad no llegó con ella. El "2025 Voice of the CISO", de Proofpoint, encuestó a 1.600 CISO en 16 países, Brasil incluido, y la proporción que se declara alineada con el consejo cayó del 84%, en 2024, al 64%. En el "State of the CISO 2025", de IANS Research con Artico Search, respondieron más de 830 directivos. Solo el 47% habla con el consejo cada mes o cada trimestre, y solo el 28% encaja en el perfil de CISO estratégico, con acceso real a la alta dirección y voz en las decisiones del consejo.

La responsabilidad sube y el acceso a quien decide baja. Es una mala combinación para cualquier cargo, y peor para uno que debería liderar.

Lo que de verdad sentó a directivos en el banquillo

Dos casos estadounidenses atormentan a cualquier CISO, y suelen resumirse en "si hay una filtración, el que paga soy yo". Los desenlaces cuentan una historia más precisa.

Joe Sullivan, exdirector de seguridad de Uber, fue condenado en octubre de 2022 por obstruir una investigación de la FTC y por encubrir un delito. Había tratado una filtración de datos como si fuera el pago de una recompensa por fallos, sin avisar a las autoridades. Recibió tres años de libertad condicional y una multa de 50.000 dólares, y en marzo de 2025 el Tribunal de Apelaciones del Noveno Circuito confirmó la condena por unanimidad.

Timothy Brown, CISO de SolarWinds, fue demandado personalmente por la SEC en octubre de 2023, acusado de inducir a error a los inversores sobre las prácticas de seguridad de la empresa. En julio de 2024 un tribunal desestimó la mayor parte de las acusaciones, y en noviembre de 2025 el caso se cerró definitivamente, sin acuerdo.

Fíjese en que en ninguno de los dos la acusación era haber sido atacado. Era lo que se dijo, o se ocultó, sobre la seguridad. Recuerde esa distinción, porque se complica mucho cuando quien actúa no es una persona.

Cuando nadie pulsó el botón

Ahora meta a un agente de IA en la ecuación. En julio de 2025, Jason Lemkin, fundador de SaaStr, contó que el agente de programación de Replit había borrado la base de datos de producción de su proyecto, en plena congelación explícita del código. Según Fortune, la base contenía registros de más de 1.200 directivos y más de 1.190 empresas. El propio agente escribió que había destruido meses de trabajo en segundos y admitió haber ejecutado comandos sin autorización, ignorando la instrucción de pedir aprobación humana. El consejero delegado de Replit, Amjad Masad, calificó el episodio de inaceptable y dijo que nunca debería haber sido posible.

¿Y de quién es la culpa? ¿Del proveedor, que hizo la herramienta? ¿Del cliente, que dio al agente acceso a producción? ¿Del agente, que no tiene número de identificación fiscal?

La ley aún no lo ha decidido. En Europa, la Comisión retiró en 2025 la propuesta de directiva sobre responsabilidad civil en materia de IA, alegando que no había acuerdo a la vista. Quedó la nueva Directiva sobre responsabilidad por productos, de 2024, que pasa a tratar el software y los sistemas de IA como productos sujetos a responsabilidad objetiva, y los países tienen hasta el 9 de diciembre de 2026 para adoptar las normas. El AI Act exige que los sistemas de alto riesgo puedan ser supervisados e interrumpidos por personas (artículo 14), pero esas obligaciones se aplazaron a diciembre de 2027. En Brasil, el PL 2338/2023 (proyecto de ley), aprobado por el Senado en diciembre de 2024, espera el dictamen del ponente en la comisión especial de la Cámara de Diputados.

Mientras la ley no decide, decide el contrato. Y el consejo.

Tres decisiones que corresponden al consejo, no al CISO

1. Poner por escrito la autoridad, y no solo la responsabilidad. La regulación brasileña ya exige que el consejo apruebe la política de seguridad de las instituciones financieras. Falta incluir en ella quién puede autorizar a un agente de IA a actuar en producción, a tocar datos de clientes o a probar sistemas, y con qué límites. Hoy el documento suele decir quién responde, pero casi nunca dice quién manda.

2. Definir qué decisiones siguen siendo humanas. Los atacantes de la campaña descrita por Anthropic hicieron exactamente eso, con cuatro a seis decisiones reservadas a personas. Haga lo mismo con sus agentes: enumere las acciones que exigen aprobación humana y haga técnicamente imposible saltarse ese paso. El caso de Replit muestra la diferencia entre una instrucción y un control. El agente recibió la orden de pedir aprobación, y no la pidió.

3. Cada agente con un dueño y un contrato. Todo agente, interno o de un proveedor (incluidos los de pentest autónomo, que ya prueban sistemas por su cuenta), necesita un responsable con nombre, un alcance por escrito, una forma de desconectarlo al instante y una cláusula que diga quién paga el daño si se sale de ese alcance.

La pregunta para la próxima reunión

La próxima vez que alguien lleve al consejo un proyecto con agentes de IA, haga una sola pregunta: si este agente hace mañana algo que ninguna persona autorizó, ¿qué nombre saldrá en el comunicado oficial?

Si la sala se queda en silencio, el CISO sigue siendo necesario. Solo falta que alguien escriba qué puede decidir.

Los atacantes ya eligieron las cuatro a seis decisiones que siguen siendo humanas. Su empresa todavía tiene que elegir las suyas.