Hay riesgos que no salen en los titulares de los mercados y que, sin embargo, pueden tocar el bolsillo de cualquiera. Pablo Gil, economista con más de cuatro décadas dedicadas al análisis financiero, dedica su último vídeo a una amenaza que, a su juicio, seguimos midiendo mal: la combinación de inteligencia artificial y ciberseguridad. Su tesis es incómoda. La misma herramienta que nos permite defendernos está abaratando y acelerando la capacidad de atacarnos.
No habla de una recesión ni de una subida de tipos. Habla de dos incidentes conocidos el 21 de octubre que, leídos en conjunto, dibujan un cambio de etapa.
Dos grietas en los cimientos de internet
El primero tiene un nombre poco amable: PHP. Gil lo explica con una imagen sencilla. Es el lenguaje con el que se construyen y funcionan buena parte de las páginas web del mundo, en torno al 70%, incluidos millones de sitios levantados con WordPress y servicios tan visitados como Wikipedia. No es una tecnología marginal, insiste, sino parte de la infraestructura sobre la que se sostiene la red.
Lo que se anunció ese día fue el descubrimiento de varias vulnerabilidades extremadamente graves que habrían permanecido ocultas más de una década. Según relata, permitían a un atacante tomar el control del servidor donde se aloja una web, en determinadas circunstancias sin necesidad de contraseña ni autorización, y acceder a información almacenada temporalmente en memoria: credenciales, claves de acceso, datos confidenciales. La comparación que utiliza el presentador es la de una casa con puertas blindadas y cimientos defectuosos.
La reacción institucional que describe es amplia. Un aviso público del organismo estadounidense de ciberseguridad, desconexiones temporales de servicios oficiales en varios países europeos —Alemania, Francia, Bélgica, Países Bajos—, medidas preventivas de Wikipedia y pronunciamientos que llegaron hasta la primera ministra japonesa. La firma de seguridad propiedad de Google lo calificó, siempre según su relato, como uno de los hallazgos más importantes en la historia de ese software.
La IA que encontró el agujero y la que puede explotarlo
Pero el detalle que a Gil le parece más relevante no es la gravedad, sino el método. Los fallos se localizaron con modelos de inteligencia artificial de Google y de OpenAI. Una sola persona, apoyada en esas herramientas, hizo en torno a una semana de trabajo lo que antes habría exigido meses a un equipo de especialistas. Errores que miles de programadores habían tenido delante durante años sin llegar a verlos.
La inteligencia artificial no distingue por sí sola entre quién quiere proteger un sistema y quién quiere atacarlo: es una herramienta, y sus consecuencias dependen de quién la usa y para qué.
— Pablo Gil
Ese doble filo es el corazón del vídeo. Gil sostiene que la IA está ampliando la capacidad defensiva al mismo tiempo que rebaja las barreras que frenaban a los atacantes. El resultado es una asimetría de velocidad: las vulnerabilidades se descubren —y se explotan— mucho más rápido de lo que las empresas tardan en actualizar sus sistemas. En ese desfase se abre una ventana de oportunidad para el delito.
Certificados, 256 combinaciones y 17 meses
El segundo caso que analiza tiene que ver con algo que usamos a diario sin mirarlo: el candado que aparece junto a la dirección cuando entramos en la web de nuestro banco. Detrás hay un sistema de certificados digitales emitidos por compañías que actúan como notarios de la red.
Según cuenta el mismo 21 de octubre, un investigador descubrió que una de esas empresas, de origen indio, había generado ocho certificados con claves absurdamente débiles. En lugar de una combinación imposible de romper por fuerza bruta, el margen se reducía a 256 intentos: algo que un ordenador agota en una fracción de segundo. La compañía niega que sus sistemas fueran comprometidos y no constan pruebas de uso malicioso, subraya el presentador, pero el error estuvo ahí unos 17 meses. Los navegadores bloquearon los certificados con rapidez; la acción de la empresa llegó a caer cerca de un 20% en una sola sesión.
Para Gil, ahí hay una lección de mercado que conoce bien: la confianza tarda años en construirse y puede evaporarse en horas.
Cuando atacar cuesta cincuenta dólares por empresa
El vídeo conecta estos incidentes con una tendencia de fondo que, a su juicio, se discute mucho menos que los avances en productividad o automatización. A finales de septiembre se conoció un ataque con agentes de IA contra más de 1.200 páginas web, con un centenar de empresas comprometidas —entre ellas el fabricante de maquinaria John Deere— y un coste estimado de unos 5.000 dólares, es decir, unos 50 dólares por víctima. Añade ataques a entidades financieras de Corea del Sur que habrían afectado a datos de unas 68.000 personas, y un sistema automatizado que estuvo probando defensas durante 48 horas seguidas.
La lógica económica es la que el presentador subraya: cuando el coste de una actividad se desploma, aumenta el número de personas dispuestas a realizarla. Y al atacante le basta con acertar en un porcentaje pequeño de sus intentos.
El riesgo bursátil no es el ataque, es la expectativa
El tramo final del análisis se traslada a los mercados, donde Gil lleva tiempo señalando un punto débil: la concentración de mercado. Un grupo reducido de compañías vinculadas a la IA tiene un peso enorme en el S&P 500 y en el Nasdaq 100, y buena parte de las valoraciones descansa sobre la expectativa de que el desarrollo continuará a ritmo extraordinario.
Su escenario incómodo no exige un fracaso tecnológico. Bastaría con un incidente serio —sistemas de pago caídos durante días, infraestructuras críticas afectadas— que empujara a gobiernos y empresas a imponer controles, encarecer el desarrollo o retrasar los beneficios previstos. En un índice donde unas pocas cotizadas mandan, esa revisión de expectativas se contagiaría al conjunto. Gil apunta además al dilema geopolítico: ni Estados Unidos ni China parecen dispuestos a frenar mientras el otro avanza, y ninguna tecnológica quiere quedarse atrás. Su sospecha, que presenta como tal, es que la pausa solo llegará después de un susto lo bastante grave.
Qué puede hacer el ahorrador corriente
Frente a un problema de escala global, el vídeo baja al detalle doméstico. Gil recomienda mantener dispositivos y programas actualizados —buena parte de esas actualizaciones corrige fallos de seguridad—, no ignorar las advertencias de los navegadores, usar contraseñas distintas en cada servicio y activar la doble verificación, sobre todo en banca y correo electrónico. A quienes gestionan una web o una tienda online les pide comprobar que alguien aplica los parches. Y, por encima de todo, desconfiar de los mensajes que exigen reaccionar con urgencia: la IA hace que esas trampas resulten cada vez más creíbles. Son medidas modestas, pero reducir la exposición está al alcance de cualquiera.
El cierre no es una recomendación de compra ni de venta, y él lo recalca. Es una pregunta sobre el ritmo: si nuestra capacidad de protegernos avanza al mismo paso que nuestra capacidad de inventar herramientas. Su reflexión final —que el progreso no consiste solo en poder hacer más cosas, sino en mantener el control de las consecuencias— deja el debate abierto. ¿Vamos demasiado rápido o terminaremos construyendo, como en otras revoluciones tecnológicas, los mecanismos de protección que hoy echamos en falta
