El FBI bautizó esto como 'going dark' en 2014: perder de golpe la capacidad de escuchar comunicaciones digitales. Doce años después, el criptógrafo Matthew Green, de Johns Hopkins, advierte en un análisis publicado el 14 de agosto de 2026 que el escenario está por repetirse, pero con un giro inesperado.
Esta vez la amenaza no es un algoritmo de cifrado nuevo, sino la inteligencia artificial que está parchando el software más rápido de lo que las agencias de inteligencia pueden explotarlo. Green escribió el texto recién salido de Usenix Security 2026, la conferencia de seguridad que se celebró en su ciudad natal, Baltimore.
TL;DR
- Matthew Green (Johns Hopkins) publicó el 14 de agosto de 2026 un análisis sobre IA y vigilancia tras Usenix Security 2026 en Baltimore.- Anthropic lanzó Mythos en abril de 2026, un modelo especialmente hábil para hallar vulnerabilidades de software.- Estados Unidos bloqueó temporalmente la exportación de Mythos, restringiéndolo a agencias propias y proveedores de confianza.- OpenAI, Z.ai y Moonshot ya probaron que la caza de vulnerabilidades con IA no es monopolio de un solo laboratorio.- En 2014 el FBI lanzó la iniciativa 'Going Dark' tras la llegada del cifrado de disco del iPhone (2010) y el cifrado de extremo a extremo de WhatsApp.- En el caso Apple vs. FBI de 2016, una empresa externa hackeó el iPhone del tirador sin ayuda de Apple.- Los equipos de defensa ya reconstruyen pipelines de CI enteros para escanear vulnerabilidades con IA antes de que el código llegue a producción.
Qué pasó: la IA revive el debate 'going dark'
El argumento de Green arranca en abril de 2026, cuando Anthropic presentó Mythos, un modelo inusualmente hábil para encontrar vulnerabilidades de software. El gobierno de Estados Unidos bloqueó temporalmente su exportación, restringiendo el acceso a agencias propias y proveedores de confianza.
La restricción resultó casi irrelevante: OpenAI, junto con laboratorios chinos de pesos abiertos como Z.ai y Moonshot, demostraron poco después que la caza de vulnerabilidades con IA no es algo que un solo laboratorio pueda monopolizar. La lista de fallos graves que estos modelos encuentran crece cada semana.
A primera vista esto parece una buena noticia para el equipo ofensivo. Green cree que a largo plazo pasará lo contrario: los defensores están parchando decenas de años de bugs acumulados, y equipos de ingeniería enteros están reconstruyendo sus pipelines de integración continua para incorporar escaneo de vulnerabilidades con IA antes de que el código llegue a producción.
Contexto e historia: de los teléfonos públicos a WhatsApp
Green usa una referencia pop para explicar el cambio: la primera temporada de The Wire (2002) muestra policías intervenniendo teléfonos públicos y celulares descartables. Nada de eso habría sorprendido a un agente de 1989. Menos de una década después de ese estreno, toda esa tecnología quedó obsoleta.
El punto de quiebre llegó a fines de la década de 2000 con los smartphones y los mensajes de texto: como los teléfonos empezaron a almacenar datos, no solo transmitirlos, su contenido se volvió una fuente valiosa para las fuerzas de seguridad. Eso duró hasta 2010, cuando Apple empezó a cifrar el almacenamiento del iPhone con una clave derivada del código de acceso del usuario (Android siguió poco después). Al año siguiente, Apple sumó cifrado de extremo a extremo a los mensajes de texto de iPhone.
Para 2016, casi mil millones de usuarios de WhatsApp ya cifraban sus mensajes por defecto.
Para 2014, una pequeña app de mensajería llamada WhatsApp ya sumaba 600 millones de usuarios en todo el mundo. Para 2016, esos usuarios (casi mil millones) usaban por defecto mensajes y llamadas cifradas de extremo a extremo. Ese mismo año, el director del FBI James Comey anunció la iniciativa Going Dark, pensada para abrir una conversación nacional sobre qué podían (o debían) hacer los proveedores para que esas comunicaciones fueran legibles para la policía.
En 2016 la agencia llevó la discusión a la corte: tras un atentado, el FBI tenía el iPhone bloqueado del tirador y le ordenó a Apple que le diera acceso. Apple se negó. Lo que rompió el estancamiento, y en cierto modo terminó con 'Going Dark' tal como se conocía, fue algo que ni el FBI ni Apple esperaban: una empresa externa anunció que podía hackear el teléfono sin ayuda de Apple. Durante la década siguiente, la policía recurrió a herramientas como GrayKey para desbloquear celulares o a exploits remotos como Pegasus de NSO Group en lugar de insistir con puertas traseras legisladas.
Detalles técnicos: qué cambia con la IA que caza bugs
Todo ese equilibrio (fabricantes cerrando huecos, cazadores de exploits manteniéndose un paso adelante) dependía de que encontrar vulnerabilidades siguiera siendo un trabajo humano lento. Lo que describe Green es que esa asimetría se está por romper del lado defensivo.
Vía histórica de accesoCuándo se usóVentajaLimitaciónBackdoor legislado (acceso excepcional)Propuesto 2014-2016, nunca aprobado en EE.UU.Acceso garantizado por leyDebilita el cifrado para todos los usuariosExploits comprados (GrayKey, Pegasus)2016-2026No requiere cooperación del fabricanteCaro, depende de que existan bugs sin parcharHacking dirigido por un terceroCaso Apple vs. FBI, 2016Evita el litigio legalNo escala, cada dispositivo exige trabajo nuevoEscaneo de vulnerabilidades con IA (lado defensor)Desde abril de 2026Cierra bugs antes del lanzamientoReduce el inventario de exploits disponibles, también para la policía
💭 Clave: calcular el número exacto de bugs en un programa es, en la práctica, un problema indecidible (una variante del problema de la parada). Por eso Green no cree que la IA vaya a encontrar 'todos' los bugs, sino que se acerca a un techo de bugs útiles explotables, y ese techo podría alcanzarse pronto.
flowchart TD
A["Fabricante escribe código nuevo"] --> B["IA escanea vulnerabilidades en el pipeline de CI"]
B --> C{"¿Se halló un bug explotable?"}
C -- "Sí" --> D["Se parcha antes del release"]
C -- "No" --> E["El código llega a producción"]
D --> F["Menos exploits disponibles para comprar"]
E --> G["Agencias podrían explotar el bug remanente"]
F --> H["Riesgo de que la policía se quede sin acceso"]
Cómo verificar el cifrado de tus propias herramientas hoy
No hace falta esperar a que el debate legislativo avance para comprobar en qué estado está la seguridad de tus propios servicios. Dos verificaciones rápidas ayudan a entender de qué habla Green en la práctica.
Primero, confirmá qué versión de TLS negocia un servidor propio:
openssl s_client -connect tuservidor.com:443 -tls1_3 -brief
Si la conexión responde con Protocol version: TLSv1.3 y una línea Cipher con un conjunto moderno (por ejemplo TLS_AES_256_GCM_SHA384), el canal está usando cifrado actualizado. Si el comando falla en -tls1_3, tu servidor todavía negocia versiones más viejas y expuestas.
Segundo, probá el mismo tipo de escaneo de vulnerabilidades pre-release que describe Green, a escala local, con una herramienta open source como Semgrep:
# macOS
brew install semgrep
# Linux
python3 -m pip install semgrep
# Windows (PowerShell)
pip install semgrep
# Correr el escaneo sobre tu repo
semgrep scan --config auto .
💡 Tip: corré el escaneo en tu propio CI antes de mergear, no después del release: esa es exactamente la lógica que Green describe que ya adoptan los equipos de defensa a gran escala.
Escanear antes del release es la estrategia que Green atribuye al lado defensor.Impacto y análisis
La paradoja que plantea Green es incómoda: un software más seguro es, en abstracto, una buena noticia para todos, incluidos los defensores de la privacidad. Pero si las agencias de inteligencia pierden su vía informal de acceso (comprar o encontrar exploits) la presión política para legislar un acceso excepcional obligatorio puede volver con más fuerza que en 2014.
El precedente de Apple vs. FBI mostró qué pasa cuando el gobierno choca con un fabricante que se niega a cooperar: en ese momento, un tercero resolvió el problema técnico y bajó la temperatura política. Si ese tipo de salida técnica deja de estar disponible porque ya no hay bugs sin parchar que comprar, la salida que queda es la legislativa, la misma que la industria de la criptografía lleva más de una década resistiendo.
⚠️ Ojo: la misma IA que parcha bugs también puede usarse para encontrarlos con fines ofensivos. Nada garantiza que el ritmo de parcheo le gane siempre al ritmo de explotación, sobre todo si un actor estatal entrena su propio modelo sin las restricciones de exportación que hoy limitan a Mythos.
Qué sigue
Lo que Green deja abierto es si los gobiernos van a interpretar este cierre de vías técnicas como un argumento para insistir con puertas traseras legisladas, algo que ya se discute en otros países bajo marcos distintos. La pregunta de fondo para 2026 y 2027 no es si la IA sigue mejorando en encontrar bugs (eso ya está pasando), sino si el ritmo de parcheo defensivo alcanza para sostener el argumento de que el cifrado fuerte, sin puertas traseras, sigue siendo compatible con la seguridad pública.
📖 Resumen en Telegram: Ver resumen
Probalo vos: corré hoy mismo openssl s_client -connect tuservidor.com:443 -tls1_3 -brief contra uno de tus propios servicios para confirmar qué cifrado usa antes de que el debate legislativo decida por vos.
Preguntas frecuentes
¿Qué significa exactamente 'going dark'?
Es el término que usó el FBI desde 2014 para describir la pérdida de su capacidad de acceder a comunicaciones digitales por el avance del cifrado. Matthew Green lo retoma para describir un fenómeno similar, esta vez causado por la IA que cierra vulnerabilidades de software.
¿Qué es Mythos y por qué Estados Unidos restringió su exportación?
Mythos es un modelo de Anthropic anunciado en abril de 2026, señalado por su habilidad inusual para encontrar vulnerabilidades de software. El gobierno de Estados Unidos limitó temporalmente su exportación a agencias propias y proveedores de confianza.
¿Cómo hackeaba la policía los iPhones antes de esto?
Principalmente con herramientas compradas a terceros, como GrayKey para desbloqueo físico o Pegasus de NSO Group para explotación remota, en lugar de depender de una puerta trasera legislada que nunca se aprobó en Estados Unidos.
¿La IA de ciberseguridad hace que el cifrado sea inútil para protegerte?
No: al contrario, según Green refuerza la protección, porque cierra los bugs que antes permitían saltarse el cifrado sin romperlo. El efecto colateral es que agencias que dependían de esos bugs pierden esa vía de acceso.
¿Qué relación tiene esto con leyes de puertas traseras en otros países?
Green sugiere que, si la vía técnica informal (exploits comprados) se agota, la presión política para exigir acceso excepcional por ley puede intensificarse, en la línea de debates que ya existen en distintas jurisdicciones sobre cifrado y vigilancia.
¿Puedo usar hoy una herramienta similar a la que describe Green?
Podés probar escáneres de vulnerabilidades abiertos como Semgrep en tu propio pipeline de CI. No tienen la capacidad de un modelo como Mythos, pero aplican la misma lógica de detectar bugs antes del release.
Referencias
- Everything is about to "go dark" (blog de Matthew Green): el análisis original que originó este artículo.- Apple-FBI encryption dispute (Wikipedia): contexto detallado del caso judicial de 2016.- NSO Group (Wikipedia): antecedentes de Pegasus, la herramienta de explotación remota mencionada en el artículo.- Anthropic: laboratorio que desarrolló Mythos, el modelo señalado por Green.
📱 ¿Te gusta este contenido? Únete a nuestro canal de Telegram @programacion donde publicamos a diario lo más relevante de tecnología, IA y desarrollo. Resúmenes rápidos, contenido fresco todos los días.
Top comments (0)