La búsqueda de fallos con IA podría reavivar el debate sobre las "puertas traseras" de cifrado

El profesor de criptografía Matthew Green generó debate en la comunidad de ciberseguridad este mes con un hilo viral y una publicación de blog que plantea una pregunta provocadora: ¿qué pasaría si la IA hace tan escasas las vulnerabilidades de software que las fuerzas del orden y las agencias de inteligencia ya no puedan hackear legalmente los dispositivos de los delincuentes? “Me preocupa que la IA vaya a hacer que el software sea demasiado seguro”, escribió Green, advirtiendo que el gobierno de Estados Unidos podría perder acceso a las fallas de seguridad que usa para vigilar objetivos, a medida que las empresas corrigen un volumen sin precedentes de errores.

La preocupación remite al debate sobre “going dark” (quedarse a oscuras) popularizado en 2014 por el entonces director del FBI, James Comey, después de que aplicaciones como Signal, WhatsApp y iMessage de Apple implementaran cifrado de extremo a extremo y los fabricantes de dispositivos comenzaran a cifrar los datos de forma predeterminada. Desde entonces, se ha mantenido una tregua incómoda: en lugar de incorporar puertas traseras en los dispositivos, los gobiernos han optado por comprar herramientas de hackeo y spyware para vulnerar directamente la seguridad de los dispositivos. Green sostiene que la IA está a punto de romper esa tregua, ya que los grandes modelos de lenguaje son cada vez más rápidos y eficaces para encontrar vulnerabilidades a gran escala, lo que podría hacer que el software sea mucho menos propenso a fallos y empujar a los gobiernos a exigir puertas traseras de nuevo.

Los investigadores de seguridad están divididos. Luna Tong, quien ha trabajado en dos firmas que desarrollan exploits para gobiernos, coincidió en que actualmente hay un repunte temporal de fallos descubiertos con IA que se desacelerará a medida que el software se endurezca. Paolo Stagno, director de tecnología del bróker de días cero Crowdfense, argumentó que ningún Estado renunciará a su capacidad de vigilancia, y describió el sistema actual de compra de exploits por parte de los gobiernos —en lugar de exigir puertas traseras— como la opción más democrática disponible, una que podría no sobrevivir si los fallos se vuelven demasiado escasos. Otros discreparon: Hamid Kashfi, fundador de la firma de seguridad ofensiva DarkCell, sostuvo que por cada fallo encontrado y reportado con IA hay aproximadamente 20 más que no se reportan, lo que indica que las vulnerabilidades complejas y valiosas no están desapareciendo. Eva Galperin, directora de ciberseguridad de la Electronic Frontier Foundation, una organización de derechos digitales, dijo que la ofensiva tiene actualmente la ventaja gracias a la búsqueda de fallos asistida por IA y a un aumento de vulnerabilidades provenientes de software generado con IA, pero advirtió que encontrar más fallos no garantiza que se corrijan más rápido —o en absoluto—, y pronosticó una renovada presión por puertas traseras de todos modos, ya que los gobiernos autoritarios siempre querrán acceso de vigilancia sin restricciones.

Katie Moussouris, fundadora y directora ejecutiva de Luta Security, dijo que los dispositivos totalmente libres de fallos siguen siendo una perspectiva lejana, y pronosticó que la comunidad de inteligencia probablemente tiene tiempo hasta después de las próximas elecciones presidenciales de EE. UU. antes de verse lo bastante limitada como para presionar en serio por puertas traseras.

Por qué importa

Si la IA realmente reduce el conjunto de fallos explotables del que dependen los gobiernos para el hackeo legal, la consiguiente pelea política por las puertas traseras podría redefinir los estándares de cifrado usados mucho más allá de los objetivos originales de las fuerzas del orden.