Tres niveles de acceso diferenciado a modelos de inteligencia artificial de alto rendimiento marcan un punto de inflexión en cómo las organizaciones de ciberseguridad pueden operar frente a amenazas cada vez más sofisticadas. La nueva estructura del Programa de Verificación Cibernética consolida dos iniciativas previas —una orientada a seguridad de software crítico y otra para equipos verificados— en un esquema unificado que amplía el alcance sin eliminar los controles de riesgo.

Tres niveles, tres perfiles de riesgo

El primer nivel, denominado Acceso de Defensa, cubre tareas como ingeniería inversa de malware y análisis de vulnerabilidades. Está disponible para equipos de seguridad en empresas, universidades, entidades gubernamentales, organizaciones sin fines de lucro e investigadores independientes con historial verificable de divulgación responsable. Las solicitudes se procesan en pocos días.

El segundo nivel, Acceso de Equipo Rojo, habilita pruebas de penetración en sistemas autorizados y está reservado para equipos internos especializados y firmas de seguridad establecidas. Incorpora bloqueos en tiempo real para prevenir daños físicos significativos, y su revisión puede tomar varias semanas. Las personas individuales no son elegibles para este nivel.

El tercer nivel, Acceso Especializado, opera con las restricciones más bajas y está reservado para un grupo selecto capaz de evaluar infraestructura crítica: redes eléctricas, sistemas operativos de vuelo y entornos equivalentes. La verificación requiere un proceso formal con el gobierno de Estados Unidos. Los participantes del programa anterior son trasladados automáticamente a este nivel sin necesidad de nueva aprobación.

Resultados medibles y tensiones sin resolver

Las pruebas de referencia realizadas con CyScenarioBench ofrecen una lectura clara del comportamiento de cada nivel. Sin acceso al programa, el modelo se detuvo antes de completar los primeros pasos de las pruebas. En el nivel de Defensa, 46 de 50 escenarios fueron bloqueados. En el nivel de Equipo Rojo, no hubo bloqueos y se completaron 34 de 50 tareas —un rendimiento comparable al modelo sin salvaguardias—, lo que ilustra la magnitud del acceso que este nivel otorga.

En términos de impacto operativo, socios del programa identificaron al menos 129,000 vulnerabilidades de software verificadas entre abril y julio de 2026, con más de 33,000 clasificadas como críticas o de alta gravedad. La estimación interna sugiere que el impacto real podría ser cinco veces superior a esa cifra.

Sin embargo, la expansión no está exenta de señales de alerta. El director ejecutivo de JPMorgan Chase, Jamie Dimon, ha advertido públicamente que los modelos de mayor capacidad han incrementado diez veces los riesgos de ciberseguridad a escala global. Esta tensión entre potencial defensivo y superficie de ataque ampliada es el dilema central que cualquier organización debe evaluar antes de solicitar acceso a niveles superiores del programa.

Implicaciones para la estrategia de seguridad corporativa

La estructura escalonada traslada parte de la responsabilidad de gestión del riesgo hacia las organizaciones solicitantes. Acceder a niveles más altos implica compromisos de verificación más exigentes, pero también capacidades significativamente mayores para detectar y corregir vulnerabilidades antes de que sean explotadas.

Para organizaciones que gestionan infraestructura sensible o datos regulados, la pregunta relevante no es si adoptar estas herramientas, sino en qué nivel de acceso la relación entre capacidad defensiva y exposición operativa resulta justificable. La velocidad con que se identificaron más de 33,000 vulnerabilidades críticas en cuatro meses sugiere que el costo de no participar también tiene un precio medible.