Refrigeradores, cámaras de seguridad y televisores inteligentes podrían convertirse en vectores de propagación de modelos de inteligencia artificial autorreplicantes. No es un escenario especulativo de largo plazo: investigadores en ciberseguridad estiman que los modelos de IA de pequeña escala están a pocos meses de adquirir la capacidad técnica de desplazarse de un dispositivo a otro sin intervención humana.

El fenómeno, conocido en la comunidad de seguridad como "gusanos de IA", no es nuevo en el debate académico. Sin embargo, lo que cambia el cálculo de riesgo es la democratización de los modelos de lenguaje de menor tamaño. Hasta hace poco, las preocupaciones sobre sistemas autorreplicantes se concentraban en modelos de gran escala, confinados a centros de datos con recursos computacionales masivos y, por tanto, más fáciles de monitorear y controlar. Los modelos compactos, accesibles al público y optimizados para hardware de consumo, abren un frente distinto.

De la teoría al experimento: qué mostraron las pruebas

Un experimento reciente ilustra la magnitud del problema. Investigadores distribuyeron el modelo Gemma 4 —desarrollado por Google— entre 15 televisores inteligentes conectados en red, demostrando que un modelo de lenguaje puede operar de forma distribuida en un entorno doméstico estándar, aunque con limitaciones de velocidad. El siguiente paso fue más revelador: se construyó una red simulada de dispositivos Android y se liberó un agente de IA con instrucciones de localizar nuevos equipos, copiarse en ellos y ejecutarse de forma autónoma.

Solo el modelo más avanzado completó el ciclo de replicación en su totalidad. Los modelos más pequeños, sin embargo, avanzaron etapas significativas del proceso, lo que sugiere que la barrera técnica no es una pared, sino una pendiente que se acorta con cada iteración de mejora.

Implicaciones para la seguridad corporativa y regulatoria

La convergencia entre la mejora acelerada de modelos compactos y la expansión del ecosistema de dispositivos conectados —estimado en más de 18,000 millones de unidades activas globalmente— crea una superficie de ataque que los marcos de ciberseguridad tradicionales no contemplan. Los sistemas autorreplicantes que operan fuera del control humano son, por definición, difíciles de desactivar una vez desplegados.

Para organizaciones con infraestructura IoT extendida —manufactura, logística, salud, retail— esto representa una variable de riesgo que debe integrarse en las evaluaciones de seguridad perimetral y en las políticas de gestión de dispositivos. La pregunta ya no es si estos sistemas pueden existir, sino cuándo estarán suficientemente optimizados para operar en entornos reales sin detección.

En América Latina, donde la adopción de dispositivos conectados crece a tasas superiores al promedio global y los marcos regulatorios en materia de IA aún están en construcción, la ventana para establecer controles preventivos es estrecha. La regulación reactiva —que espera a que el incidente ocurra para legislar— ha demostrado ser insuficiente en ciclos tecnológicos anteriores. Este parece ser uno de esos momentos en que anticiparse tiene un valor estratégico concreto.