Los modelos de IA abiertos cierran la brecha de capacidades cibernéticas con los sistemas restringidos

Los modelos de IA de pesos abiertos se están acercando a los sistemas restringidos en operaciones cibernéticas autónomas, según una evaluación de Vals AI reportada por The Decoder. GPT-6 Sol Daybreak de OpenAI completó el 80,8 % de los objetivos de ataque simulados, mientras que DeepSeek V4.1 Flash, disponible gratuitamente, alcanzó el 72,8 %, con un costo informado de unos 3 dólares por ejecución frente a aproximadamente 22 dólares para el sistema de OpenAI.

El resultado importa porque la distinción de seguridad entre modelos propietarios y modelos publicados abiertamente es cada vez menos útil como predictor del riesgo cibernético. El desarrollador no puede retirar ni restringir de forma centralizada los pesos de un modelo que son públicos, mientras que su menor costo operativo puede hacer más prácticos los ataques prolongados tanto para investigadores como para grupos criminales.

Los hallazgos se han reportado, pero no han sido verificados de forma independiente en el material disponible. Proceden del benchmark CyberOffense de Vals AI, tal como lo describe The Decoder, y deben leerse como una señal sobre la capacidad del modelo bajo un diseño de prueba concreto, no como evidencia de que cualquiera de los dos sistemas pueda comprometer de forma fiable a empresas reales.

Qué evaluó el benchmark de Vals AI

El benchmark coloca a cada agente de IA en una máquina de ataque aislada y le proporciona únicamente una dirección web pública. El agente no recibe asistencia humana mientras intenta desplazarse por una red corporativa simulada. La configuración busca comprobar si un modelo puede descubrir vulnerabilidades, obtener credenciales, escalar privilegios y perseguir objetivos en sistemas conectados.

En un escenario más difícil llamado Lighthouse, The Decoder informa que GPT-6 Sol Daybreak tomó el control administrativo de una empresa simulada, extrajo contraseñas y las utilizó para acceder a una segunda empresa. Completó 27 de 31 objetivos en menos de tres horas. DeepSeek completó 21 objetivos, según el mismo informe.

Esas cifras no miden directamente las tasas de intrusión en el mundo real. Sin embargo, ponen de relieve una capacidad que las evaluaciones convencionales de chatbots suelen pasar por alto: planificar en varios pasos y continuar operando cuando las primeras acciones fallan.

El tiempo de ejecución y el costo cambiaron la comparación

Uno de los detalles más importantes de los resultados fue el papel del tiempo de ejecución. Según los informes, DeepSeek no produjo resultados exitosos durante sus primeros 25 millones de tokens y realizó la mayor parte de sus avances solo después de superar los 100 millones de tokens. Por tanto, las evaluaciones breves podrían subestimar el rendimiento de un sistema de pesos abiertos al que se permite seguir intentándolo.

Esto tiene consecuencias prácticas para los defensores y los equipos de productos de IA. Un modelo menos eficaz por minuto puede seguir resultando atractivo para un atacante si puede operar de forma económica durante horas o días. La comparación de costos comunicada por Vals AI —unos 3 dólares por una ejecución de DeepSeek V4.1 Flash y 22 dólares por GPT-6 Sol Daybreak— sugiere que el precio, y no solo la capacidad máxima, determinará cómo se implementen estos sistemas.

The Decoder también citó un análisis de julio del AI Security Institute del Reino Unido, que estimó que la brecha de capacidades cibernéticas entre los modelos de frontera abiertos y cerrados se había reducido a entre cuatro y siete meses, frente a entre seis y diez meses durante la mayor parte de 2025. Se trata de un análisis del instituto reportado por la publicación, no de un resultado nuevo del benchmark de Vals.

La evidencia sigue siendo limitada y depende de las fuentes

Las afirmaciones más contundentes de esta historia proceden de benchmarks y proveedores, no de hallazgos reproducidos de forma independiente. La evidencia disponible identifica a Vals AI como la fuente de los resultados de CyberOffense, pero no proporciona la metodología completa del benchmark, las configuraciones de los modelos, los prompts ni los datos de replicación. Esos detalles son esenciales para comparar los sistemas de manera justa.

Los resultados también pueden depender del acceso a herramientas, los presupuestos de tokens, el diseño de la red, las reglas de puntuación y el tiempo asignado a cada agente. Los avances tardíos de DeepSeek hacen que el presupuesto de tokens y tiempo sea especialmente importante. Sin informes estandarizados, un modelo puede parecer más débil o más fuerte dependiendo de si la evaluación favorece el progreso rápido o la persistencia.

The Decoder informó además de que un estudio de Anthropic concluyó que GLM-5-3, disponible gratuitamente, podía crear exploits casi al nivel de un modelo interno llamado Mythos. Esa comparación es también una afirmación específica de un estudio y no debe considerarse una clasificación universal de los sistemas abiertos y cerrados.

Por qué deberían prestar atención los desarrolladores y las empresas

Para los equipos de seguridad, la implicación inmediata es que las defensas deben tener en cuenta flujos de trabajo automatizados y pacientes, no solo ataques rápidos. La supervisión debería centrarse en secuencias inusuales de reconocimiento, acceso a credenciales, escalada de privilegios y movimiento lateral. Las pruebas también deberían incluir agentes de larga duración con acceso realista a herramientas, porque las sesiones breves pueden pasar por alto el comportamiento destacado por Vals AI.

Para los desarrolladores de IA, los resultados crean un problema de ingeniería con dos caras. Las mismas capacidades que permiten a un agente identificar rutas explotables pueden ayudar a descubrir vulnerabilidades, validar parches y realizar triaje defensivo. Según los informes, Vals AI sostiene que los modelos ofensivos pueden ayudar a las empresas a encontrar y corregir primero las debilidades. Convertir esa posibilidad en un producto seguro requiere límites estrictos de autorización, entornos aislados, registros de auditoría y controles que impidan que las herramientas defensivas se conviertan en sistemas de intrusión de propósito general.

Los compradores empresariales deben ser cautelosos a la hora de considerar automáticamente más seguras las API cerradas. Los controles y la supervisión del proveedor pueden facilitar la gobernanza de los modelos restringidos, pero el costo y las capacidades comunicadas de los sistemas de pesos abiertos implican que las organizaciones pueden encontrarse con modelos cibernéticos potentes fuera del control de un proveedor. Las revisiones de compras deberán abarcar no solo qué modelo utiliza una empresa, sino también a qué modelos pueden acceder empleados, contratistas y atacantes.

Qué observar a continuación

Las próximas señales útiles serán reproducciones independientes de los resultados de CyberOffense de Vals AI, con reglas de puntuación completas y presupuestos de tokens igualados. Los investigadores también deberían informar del rendimiento en distintas configuraciones de red, permisos de herramientas y límites de tiempo, en lugar de depender de una única puntuación llamativa.

Los defensores deberían vigilar campañas de intrusión asistidas por IA de mayor duración, nuevas evaluaciones de modelos de pesos abiertos tras ejecuciones prolongadas y pruebas de que los agentes automatizados pueden pasar de redes simuladas a entornos de producción mal protegidos. En el ámbito de los productos, los avances relevantes incluirán mejores controles de autorización, registros de auditoría más claros y agentes defensivos capaces de demostrar su valor sin acceso irrestricto a los sistemas corporativos.

Perspectiva de Creati.ai

El desarrollo central no es que los modelos abiertos hayan igualado definitivamente a los cerrados. Es que la brecha restante puede dejar de ofrecer mucho consuelo cuando un sistema abierto es más barato, persistente y difícil de restringir una vez publicado. La capacidad, el costo operativo y el control se están convirtiendo en variables separadas del riesgo cibernético.

Para las empresas de IA y los equipos corporativos, la respuesta sensata es mejorar las mediciones y reforzar los límites de implementación, no entrar en pánico por un único benchmark. Los resultados de Vals son una advertencia importante, pero su verdadera relevancia dependerá de que las pruebas independientes confirmen que los modelos abiertos pueden mantener estos resultados en entornos variados y realistas.