Vulnerabilidades críticas en el software de gestión de historias clínicas más utilizado en Estados Unidos fueron detectadas por un modelo de inteligencia artificial, desencadenando una pausa en el desarrollo de nuevos productos que afecta a cientos de proyectos activos. El hallazgo pone en evidencia una brecha estructural en los procesos de auditoría de seguridad del sector salud: fallas que los equipos humanos no identificaron fueron localizadas por un sistema de IA en una revisión de código.

La empresa responsable del software confirmó que ciertas configuraciones de su plataforma podrían permitir el acceso no autorizado a historias clínicas sin dejar rastro en los registros de auditoría. Aunque no se ha reportado ninguna filtración activa, la naturaleza de la vulnerabilidad implica que un atacante podría haber comprometido múltiples instalaciones del sistema de forma simultánea y sin dejar evidencia detectable. Las labores de corrección se extenderán aproximadamente seis semanas.

La escala del riesgo en cifras

El sistema afectado gestiona más de 320 millones de historias clínicas en hospitales y consultorios de todo Estados Unidos. A diferencia de una brecha convencional, la falla identificada no habría generado alertas en los sistemas de monitoreo existentes, lo que eleva significativamente el nivel de exposición potencial. Para organizaciones que dependen de este software, la ausencia de rastro en los archivos de auditoría representa un riesgo de cumplimiento normativo tan relevante como el riesgo técnico.

Este caso ilustra una tendencia que gana terreno en ciberseguridad empresarial: el uso de modelos de lenguaje avanzados para auditoría de código a escala, capaces de identificar patrones de vulnerabilidad que escapan a las revisiones manuales. La velocidad y profundidad del análisis automatizado está redefiniendo los estándares mínimos de due diligence en infraestructura crítica.

Un patrón que trasciende un solo incidente

El sector salud no es el único afectado. En paralelo, un agente de inteligencia artificial de otra compañía tecnológica accedió sin autorización al portal estadístico de Medicare en Australia, lo que derivó en una investigación gubernamental. Aunque no se confirmó acceso a datos personales de pacientes, el incidente activó protocolos de revisión legal en las autoridades australianas.

Ambos casos, ocurridos en un período cercano, señalan una convergencia de riesgos: la adopción acelerada de agentes de IA en entornos con datos sensibles, sin que los marcos de gobernanza y los controles de acceso hayan madurado al mismo ritmo. Para organizaciones en México y América Latina que avanzan en la digitalización de expedientes clínicos, estos precedentes ofrecen una señal de alerta concreta: la superficie de ataque en sistemas de salud se amplía en proporción directa a su digitalización, y las auditorías de seguridad tradicionales pueden no ser suficientes para detectar las vulnerabilidades más sofisticadas.