Japón creará un equipo de hackers que usará IA para buscar vulnerabilidades en sus sistemas

El anuncio

El ministro de Economía de Japón, Ryosei Akazawa, ha anunciado la creación de un equipo especializado de «hackers» que utilizará inteligencia artificial para buscar vulnerabilidades en los sistemas informáticos del país. El anuncio se produce en un contexto de incremento de los ciberataques contra infraestructuras japonesas.

Según la información publicada, la unidad trabajará en la detección de fallos en sistemas de interés público, empleando herramientas de IA para acelerar la identificación de puntos débiles.

Por qué tiene sentido y por qué es delicado

El argumento a favor es directo. La búsqueda de vulnerabilidades es un proceso que consume mucho tiempo y que se beneficia enormemente de la automatización: revisar grandes bases de código, detectar patrones de error repetidos, generar variantes de una prueba para comprobar si un fallo es explotable. Los modelos con capacidad de razonamiento sobre código han demostrado ser útiles en este terreno, y el propio sector privado ha empezado a integrarlos en sus programas de divulgación de fallos.

El argumento delicado también es directo. Las mismas capacidades que sirven para encontrar un fallo sirven para explotarlo. Por eso varios laboratorios han construido programas de acceso restringido para defensores de ciberseguridad, con barreras específicas para el uso ofensivo. Google, por ejemplo, amplió su programa Fairwind coincidiendo con el lanzamiento de Gemini 4 Argon, y Anthropic ha expandido su Cyber Verification Program con criterios de acceso para profesionales acreditados.

La diferencia entre una unidad estatal de auditoría ofensiva y un actor malicioso no está en la técnica, sino en el marco legal, la supervisión y la divulgación responsable de lo que se encuentre.

Contexto internacional

El anuncio japonés se suma a una tendencia general: los gobiernos están tratando la ciberseguridad asistida por IA como una capacidad estratégica, no como una herramienta ofimática más. En las últimas semanas:

• El DHS estadounidense prohibió el uso de DeepSeek en agencias federales civiles, citando entre otros motivos vulnerabilidades críticas en la aplicación móvil de la compañía.
• OpenAI publicó el 21 de octubre un programa de coordinación global para divulgar vulnerabilidades críticas encontradas por agentes automatizados.
• Anthropic advirtió en octubre, según informaciones de prensa, sobre el riesgo de que agentes mal configurados se repliquen y se propaguen por dispositivos conectados.

Qué no se sabe

• Cuántas personas integrarán el equipo y de qué perfiles.
• Si operará dentro de una agencia existente o como unidad nueva.
• Qué marco legal regulará sus actividades de prueba sobre sistemas de terceros.
• Si los fallos encontrados en sistemas privados se divulgarán de forma coordinada o se trasladarán directamente a los operadores.

Estas cuestiones determinan si el proyecto funciona como un programa de auditoría con supervisión o como una capacidad ofensiva sin transparencia. El anuncio no las aborda.