La IA como multiplicador de fuerza: el mayor riesgo para la infraestructura energética sigue siendo el factor humano
Expertos en ciberseguridad avisan que, aunque los agentes autónomos preocupan, la amenaza real para las redes eléctricas son los atacantes humanos potenciados por LLMs.
El consenso entre los expertos en ciberseguridad es claro: la mayor vulnerabilidad de los sistemas energéticos críticos no proviene de una IA desbocada que decida apagar las luces, sino de actores humanos que utilizan herramientas de inteligencia artificial para escalar sus capacidades ofensivas. Aunque existe un debate público sobre el riesgo de agentes autónomos rompiendo sus parámetros de seguridad, la realidad operativa en el sector de la energía sigue girando en torno a la intención maliciosa de personas que aprovechan el software generativo para superar barreras técnicas que antes les eran imposibles.
Infraestructura obsoleta y parches fantasma
El problema de fondo es la antigüedad del hardware. La infraestructura de energía eléctrica, como las centrales nucleares o las redes de distribución, fue diseñada décadas antes de que la conectividad a Internet fuera una prioridad de diseño. En Estados Unidos, la edad media de un reactor nuclear ronda los 44 años, según datos de la Agencia de Información de Energía (EIA). Estos sistemas operativos tecnológicos (OT) son intrínsecamente distintos a los de IT: no están pensados para recibir actualizaciones frecuentes, y en muchos casos las empresas que desarrollaron los controladores originales han desaparecido, dejando sin soporte parches de seguridad para equipos que siguen alimentando ciudades enteras.
Aquí es donde la IA entra en juego como un multiplicador de fuerza. Como señala Sophie McDowall, de la Fundación para la Defensa de la Democracia, la IA permite a los adversarios moverse con una rapidez que los defensores, limitados por los ciclos de actualización trimestrales o anuales de los sistemas OT, no pueden igualar. Un atacante con conocimientos limitados de protocolos OT puede utilizar un LLM, que ha "leído" los manuales técnicos, para chainear vulnerabilidades y automatizar el proceso desde el acceso inicial hasta la explotación. La barrera de entrada para lanzar un ataque sofisticado contra una utilidad eléctrica ha bajado drásticamente.
La defensa no depende del atacante
Rob Denaburg, de la American Public Power Association, destaca que la naturaleza del atacante (un estado-nación, un script kiddie o un agente autónomo) es menos importante que la eficacia de la defensa. "Al final del día, sigue siendo un ciberataque", afirma. La estrategia defensiva debe centrarse en cortar la cadena de ataque en un punto crítico. Esto implica no solo parches, sino medidas no cibernéticas, como la capacidad de pasar a operaciones manuales o, en casos extremos, la desconexión de ciertos nodos de la red para proteger la integridad física del sistema.
La responsabilidad compartida es el otro eje del debate. Si bien es positivo que líderes de la industria, como Sam Altman de OpenAI, estén dialogando con las utilidades eléctricas sobre la seguridad, los expertos señalan una contradicción: las empresas de IA están ofreciendo soluciones a un problema que sus propias herramientas están contribuyendo a crear. La infraestructura crítica está expuesta, y la velocidad de la ofensiva impulsada por IA obliga a repensar quién tiene la responsabilidad de garantizar que la luz siga encendida.
