Microsoft, Google y CrowdStrike encabezan una carta abierta que diagnostica correctamente la amenaza pero no incluye métricas, presupuestos ni fechas de cumplimiento
Más de 200 empresas y organizaciones publicaron en agosto de 2026 una carta abierta pidiendo acelerar las capacidades de defensa cibernética frente a amenazas habilitadas por inteligencia artificial. La lista de signatarios incluye a Microsoft, Google, AWS, Cisco, IBM, CrowdStrike, Cloudflare, Anthropic, Okta, Fortinet, Mastercard, Visa y Capital One. El documento plantea que existe una ventana limitada para fortalecer defensas antes de que los ataques potenciados por IA se generalicen. El diagnóstico tiene respaldo empírico: el reporte de caza de amenazas de CrowdStrike correspondiente a enero-junio de 2026 encontró que el 88 por ciento de la explotación de vulnerabilidades con prueba de concepto pública ocurrió dentro de las 48 horas posteriores a la publicación de esa prueba. En los cuatro días después de la divulgación de React2Shell, el mismo equipo registró más de 800 pistas de búsqueda en más de 80 organizaciones víctimas.
El problema que la carta no resuelve: cero compromisos medibles
La carta establece tres principios y se dirige a cuatro audiencias — empresas de ciberseguridad, gobiernos, compañías de IA de frontera y el resto de las organizaciones — pero no contiene plazos, cifras presupuestarias, objetivos cuantificables ni fecha de vencimiento. No hay nada que medir, por lo tanto no existe forma de determinar si la iniciativa fracasó. Firmar el documento no costó nada el 27 de agosto, razón por la cual más de cien organizaciones estuvieron dispuestas a hacerlo. El costo aparece en la renovación de contratos, y solo si alguien del lado comprador trata la firma como un compromiso vinculante.
Varios de los firmantes que advierten sobre ataques habilitados por IA están vendiendo defensas habilitadas por IA en el mismo ciclo presupuestario. OpenAI y Anthropic han estado promocionando modelos enfocados en ciberseguridad desde la primavera de 2026, y la mayoría de las grandes empresas de seguridad en la lista de signatarios venden productos de defensa con IA incorporada. Estos son productos comerciales que compiten por el mismo presupuesto de seguridad que la carta pide expandir. La advertencia no se vuelve falsa por eso, pero tanto la advertencia como el argumento de venta llegaron en el mismo sobre.
Las tres métricas que los firmantes ya aceptaron en público
Enterrada en la sección dirigida a empresas de ciberseguridad hay una oración que funciona como estándar. La carta pide a esas compañías compartir inteligencia de amenazas y manuales probados, y medir el progreso por cuántas organizaciones están protegidas, qué tan rápido se contienen los ataques y si las correcciones funcionan. Son tres métricas: cobertura, velocidad de contención y remediación verificada. Cada proveedor de seguridad en la lista de signatarios las respaldó en público, bajo su propio logo, en un documento que eligió promover. La sección dirigida a todas las organizaciones da a los compradores la instrucción correspondiente: elevar el estándar de seguridad para lo que compran, construyen y despliegan, incluido código generado por IA.
Combinadas, esas dos secciones ya contenían la rúbrica. Solo que llegó a través de relaciones públicas en lugar de adquisiciones. Cuarenta y ocho horas es más corto que la mayoría de las ventanas de cambio. Cualquiera que haya participado en una reunión de aprobación de parches un jueves sabe qué hace eso a un ciclo de remediación trimestral. La reducción del marco temporal es real, pero la carta no especifica cómo los firmantes planean ayudar a las organizaciones a cerrar esa brecha operativa.
Por qué América Latina queda expuesta por dependencia de los mismos proveedores
La carta compromete a los signatarios a hacer que la defensa potenciada por IA sea desplegable para operadores de infraestructura crítica con ayuda práctica. No especifica qué cuesta ese programa para un hospital rural de 200 camas ni cuántos están inscritos hoy. En América Latina, donde la concentración de proveedores de seguridad es alta — muchas organizaciones críticas dependen de los mismos cinco o seis fabricantes globales que firmaron la carta — esa omisión tiene consecuencias directas. Si los programas de asistencia técnica no incluyen costos accesibles para instituciones públicas de salud, energía o transporte en México, Brasil, Colombia o Argentina, la brecha entre el diagnóstico correcto y la capacidad real de defensa se amplía en lugar de cerrarse. No hay datos en la carta sobre despliegues en la región, pero la estructura de dependencia tecnológica sugiere que cualquier retraso en la implementación de defensas de IA en los proveedores principales afecta de manera desproporcionada a organizaciones latinoamericanas que no tienen alternativas locales viables.
Nuestro análisis
Documentos de coordinación como este hacen trabajo real: crean una posición pública a la que se puede exigir rendición de cuentas dieciocho meses después. El diagnóstico en esta carta es más franco que la mayoría del marketing de proveedores sobre el tema. El problema no es que la carta exista, sino que su valor depende completamente de si alguien del lado comprador trata la firma como un compromiso verificable. Doscientas empresas acordaron medir el progreso. Cinco preguntas en la próxima renovación de contrato revelarán cuáles lo decían en serio: qué proporción de la base instalada está ejecutando las defensas de IA descritas, cuál es el tiempo mediano y percentil 95 de contención medido con telemetría propia este año versus el anterior, cuál es la tasa de retest y cuántas remediaciones fallaron verificación en el primer intento, qué cuesta el programa de asistencia para infraestructura crítica y cuántos están inscritos hoy, y qué proporción del código del producto del proveedor es generado por modelo y quién lo revisa antes de llegar al entorno del cliente.
Todas esas preguntas derivan directamente de compromisos que los signatarios ya respaldaron. La carta escribió el cuestionario para el próximo proceso de adquisición. Queda por ver cuántos compradores lo usarán, y cuántos proveedores tienen respuestas que respalden lo que firmaron. ¿Qué pasaría si los compradores de infraestructura crítica en América Latina exigieran esas mismas respuestas antes de renovar, y descubrieran que la cobertura prometida en la carta no está disponible a un costo que sus presupuestos puedan absorber?