Un fallo de PHP con 14 años, la prohibición de agentes de IA en la banca y el auge de asistentes autónomos obligan a las pymes a repensar su seguridad digital.
Durante catorce años, un fallo en PHP —el lenguaje que hace funcionar buena parte de internet, desde tiendas online hasta webs corporativas— pasó desapercibido. Cuando por fin salió a la luz, puso en riesgo potencial a millones de sitios web en todo el mundo. Esa sola noticia resume bien el momento que vive la ciberseguridad empresarial: los agujeros llevan años ahí, pero es la explosión de la inteligencia artificial la que está obligando a mirarlos de frente.
El canal Inteligencia Artificial, de Jon Hernández, repasó en un reciente vídeo varias noticias que, vistas juntas, dibujan un escenario inquietante para cualquier empresa que dependa de software, de una web o de un agente de atención al cliente automatizado. No es ciencia ficción ni alarmismo gratuito: son hechos ya ocurridos, con nombres propios como PHP, Anthropic, la banca estadounidense y Waymo.
Un fallo de PHP con 14 años pone en jaque a millones de webs
La firma de seguridad Wiz documentó una vulnerabilidad crítica en PHP, apodada PHP2Shell, que lleva más de una década latente en el código. En términos sencillos, un fallo de este tipo permite a un atacante ejecutar código propio dentro de un servidor ajeno, como si tuviera las llaves de la casa sin que el propietario lo sepa.
Lo relevante para una pyme no es el detalle técnico, sino la lección de fondo: el software que usamos a diario —muchas veces sin saberlo, porque funciona de fondo en la tienda online o en el gestor de contenidos— puede llevar años con una grieta abierta. La ciberseguridad no es un gasto puntual antes de lanzar un proyecto, sino una vigilancia constante.
¿Por qué Anthropic habla de 18 meses críticos para la ciberseguridad?
Jason Clinton, responsable de seguridad de Anthropic —la empresa detrás del asistente de IA Claude—, lanzó una advertencia: los próximos dieciocho meses serán críticos para la ciberseguridad, en un momento en que la misma IA que ayuda a programar y defender sistemas también puede usarse para atacarlos.
Es la cara menos amable de una tecnología que, por otro lado, está democratizando capacidades antes reservadas a grandes corporaciones. Un modelo de lenguaje puede escribir código de defensa tan bien como código ofensivo; la diferencia está en quién lo use y con qué intención. Para una pyme, el mensaje práctico es que ya no basta con un antivirus y una copia de seguridad: conviene entender, aunque sea de forma básica, qué agentes automatizados tienen acceso a los sistemas de la empresa.
La nueva generación de agentes autónomos: Claude Duet y sus rivales
En paralelo a la alarma, Anthropic presentó Claude Duet, un agente capaz de actuar de forma proactiva: no solo responde cuando se le pregunta, sino que anticipa tareas y actúa por su cuenta. No está solo en esa carrera: otros proyectos como Dot, Grokbot o Muse apuntan en la misma dirección, agentes que dejan de ser un simple chat y empiezan a comportarse como un colaborador digital con iniciativa propia.
Esta tendencia —agentes que actúan sin que se les pida cada paso— es la misma que ha disparado la preocupación de los reguladores. Cuanta más autonomía se le da a un sistema, más importa saber qué puede hacer y qué no. En la Unión Europea esa discusión ya tiene marco legal: la ley de IA europea clasifica cada sistema según su riesgo, de mínimo a limitado o alto, y exige más control cuanto mayor es el impacto potencial sobre las personas.
La banca de Estados Unidos cierra la puerta a los agentes de IA
La prueba de que esta preocupación no es teórica llegó desde la banca estadounidense. Varios bancos de EE. UU. han detectado agentes de inteligencia artificial no autorizados operando dentro de cuentas de clientes y han respondido prohibiendo su uso en sus aplicaciones, según recogió Reuters. El riesgo es fácil de entender: un agente con acceso a una cuenta bancaria puede mover dinero, aceptar condiciones o compartir datos sin que haya una persona supervisando cada acción en tiempo real.
Para una pyme que gestiona pagos, nóminas o cobros a través de la banca digital, la lección es clara: la comodidad de automatizar no puede ir por delante del control. Quien compara ofertas de banca digital para pymes con comisiones claras debería preguntar también qué agentes de IA tiene activados su banco y qué permisos les ha dado.
En la misma línea de cautela institucional, Estados Unidos ha dado un paso regulatorio adicional: las agencias federales deberán eliminar DeepSeek, el modelo de IA de origen chino, de sus contratos y sistemas, por motivos de seguridad nacional. Es otra señal de que los gobiernos empiezan a tratar la procedencia y el control de los modelos de IA como una cuestión estratégica, no solo técnica.
¿Está la pyme española preparada para esta nueva etapa de la IA?
En nuestra opinión, muchas todavía no. Muchas pequeñas empresas adoptan herramientas de IA por la vía rápida —un chatbot aquí, un agente allí— sin un responsable claro que entienda qué datos ve cada sistema. Y, al mismo tiempo, con la euforia inversora que rodea a la inteligencia artificial, conviene no perder la cabeza: ya hemos hablado en Innohub de si existe una burbuja de la inteligencia artificial y qué significa para la pyme que invierte en estas herramientas sin un plan claro.
Waymo llega a Madrid y Unitree presenta un robot de combate
El vídeo también recoge dos noticias que, aunque parezcan lejanas al día a día de una pyme, apuntan a la misma dirección: la IA sale del ordenador y entra en el mundo físico. Waymo, la empresa de coches autónomos de Alphabet, anunció pruebas en la región de Madrid con vistas a ofrecer taxis sin conductor en España en 2027. Y la compañía robótica Unitree presentó un nuevo robot humanoide capaz de realizar movimientos de kung fu, una demostración de hasta dónde ha llegado el control físico de estas máquinas.
Ninguna de las dos noticias es, todavía, una amenaza de ciberseguridad directa. Pero sí son un recordatorio de la velocidad del cambio: los mismos agentes de IA que hoy preocupan a los bancos mañana podrían estar al volante de un coche o dentro de un robot que trabaja junto a personas. Cuanta más autonomía física y digital se concede a una máquina, más relevante es saber quién responde si algo falla.
¿Qué debe aprender tu pyme de esta crisis de ciberseguridad empresarial?
La acumulación de noticias recogidas en el vídeo no es casualidad ni ruido pasajero: es la fotografía de un sector que crece más rápido de lo que se regula. Un fallo de catorce años en PHP, una advertencia de dieciocho meses desde Anthropic, bancos que cierran la puerta a los agentes de IA y gobiernos que vetan modelos extranjeros son piezas del mismo rompecabezas.
Para el pequeño empresario, la buena noticia es que no hace falta ser un experto en ciberseguridad para actuar con sensatez. Basta con tres cosas: saber qué herramientas de IA usa realmente la empresa, revisar qué permisos y qué datos tiene cada una, y mantener a una persona al mando de las decisiones críticas, aunque el agente proponga lo contrario. La IA es, sin duda, una oportunidad histórica para competir con empresas mucho más grandes —de hecho, cada vez se repite más que el empleo seguro ya no lo da la oficina, sino el oficio que uno domina—, pero esa oportunidad solo se aprovecha bien si va acompañada de criterio y de una ciberseguridad empresarial tomada en serio desde el primer día.
La ciberseguridad no es un gasto puntual antes de lanzar un proyecto, sino una vigilancia constante.
Cuanta más autonomía se le da a un sistema, más importa saber qué puede hacer y qué no.
Fuentes
- NOTICIAS IA: La IA desata una crisis de ciberseguridad sin precedentes — Inteligencia Artificial (Jon Hernández) — Vídeo fuente de este artículo
- PHP2Shell: the PHP remote code execution vulnerability — Análisis técnico de la vulnerabilidad de PHP
- US banks detect unauthorized AI agents in customer accounts — Reuters, sobre la prohibición bancaria de agentes de IA
Seguir leyendo
Esto también puede interesarte
Innohub TV
Mira este contenido también en Innohub TV
Hemos seleccionado en Innohub TV los clips que siguen con este mismo tema.
