La realidad técnica detrás de la advertencia conjunta de Five Eyes
Cinco agencias de inteligencia de Estados Unidos, Reino Unido, Canadá, Australia y Nueva Zelanda acaban de publicar una declaración inusual. No se trata de hipótesis lejanas: los modelos de IA de frontera transformarán las capacidades ofensivas y defensivas en ciberseguridad en meses, no en años. Firmada por directivos de la NSA y CISA, la nota se basa en datos públicos como las tarjetas de sistema de Anthropic y OpenAI, sin revelar fuentes clasificadas.
El modelo que más se menciona es Mythos 5 de Anthropic, disponible solo para organizaciones seleccionadas vía Project Glasswing. Sus benchmarks lo colocan en el percentil 91 sobre 100 en tareas de descubrimiento y explotación autónoma de vulnerabilidades, equivalentes a un ingeniero senior. Aquí es donde la cosa se complica: la misma capacidad que permite a Claude Security escanear código para defenderlo se puede redirigir para atacar sistemas heredados con parches lentos o controles de acceso débiles.
La lógica de proliferación es conocida. Los modelos open source suelen quedar 6 a 8 meses por detrás de los frontier privados. Eso significa que las capacidades actuales de Mythos 5 o equivalentes de OpenAI llegarán a variantes sin restricciones antes de fin de año. Las agencias ya bloquearon exportaciones de Fable 5 y Mythos 5 en junio de 2026, tratando estos modelos como si fueran semiconductores avanzados. La doctrina es nueva y equipara la IA a una capacidad estratégica similar a un sistema de armas.
Por qué ‘parchear más rápido’ no basta ante IA autónoma
Las recomendaciones suenan familiares: completar parches pendientes, reducir superficie de ataque eliminando conexiones innecesarias a internet y preparar planes de respuesta a incidentes. La realidad técnica es otra. Si un modelo puede escalar vulnerabilidades más rápido de lo que un equipo humano puede mitigarlas, aumentar la velocidad de parcheo solo retrasa lo inevitable.
Lo que realmente importa es rediseñar las arquitecturas defensivas incorporando IA del mismo nivel de capacidad. Tanto Anthropic como OpenAI construyen acceso por capas: modelos potentes detrás de verificación estricta de identidad, modelos estándar sin restricciones. Las agencias validan implícitamente esta dirección, aunque admiten que no es suficiente por sí sola. El debate entre el enfoque ultra-restringido de Anthropic y la escala con verificación posterior de OpenAI definirá cómo gestionamos la proliferación de capacidades ofensivas.
Cómo esas mismas capacidades habilitan el vibe coding en la práctica
La misma IA que preocupa a las agencias de inteligencia es la que permite a equipos de negocio construir software complejo sin escribir cada línea de código. Andrej Karpathy popularizó el término vibe coding en 2025 para describir el proceso de programar por descripción en lenguaje natural: explicas el resultado de negocio que buscas y la IA genera la arquitectura, los flujos y la lógica.
En Recursos Humanos esto cobra sentido inmediato. En lugar de ‘escribe un endpoint en Node.js’, describes ‘un sistema modular Agent as a Service donde un agente central atiende consultas de empleados, lanza alertas legales y activa flujos automatizados de onboarding o evaluaciones’. Herramientas como Lovable, Bolt.new, v0 de Vercel, Cursor o Claude Code convierten esa descripción en código real que puedes llevar a cualquier entorno, sin quedar atado a plataformas no-code tradicionales.
El stack típico combina Bolt o Lovable para prototipos rápidos en navegador, v0 para componentes frontend pulidos en React y Tailwind, Cursor para refactorizar repositorios enteros y Supabase o Vercel para despliegue. El resultado es un HRMS construido por módulos activables: registro horario con logs inmutables, portal del empleado, calendario de ausencias, ATS o evaluaciones de desempeño. Empiezas por el núcleo que aporta valor inmediato y añades piezas sin romper lo existente.
El cumplimiento normativo no es un detalle, es el núcleo del diseño
En España cualquier sistema de RRHH debe respetar el registro horario obligatorio desde 2019: los datos no pueden editarse sin dejar rastro auditado. El RGPD y LOPDGDD exigen minimización de datos, contratos como encargado de tratamiento si comercializas el software y servidores preferiblemente en la UE. La AI Act clasifica como alto riesgo los algoritmos que influyen en contratación, promoción o evaluaciones, requiriendo supervisión humana y explicabilidad.
La biometría en control horario es especialmente delicada: la AEPD la considera desproporcionada en la mayoría de casos laborales. Un prompt efectivo debe incluir desde el principio reglas de trazabilidad, logs de auditoría y controles de acceso. La IA ayuda a implementar estas capas, pero el criterio de negocio y la revisión legal siguen siendo responsabilidad humana. Vibe coding acelera el prototipado pero no elimina la necesidad de desarrolladores experimentados cuando el sistema entra en producción con datos reales.
Las tensiones culturales y económicas que genera esta IA
Esta misma ola tecnológica ya está creando fricciones visibles fuera del ámbito técnico. Amazon detuvo la producción de ‘Artificial’, el biopic de Luca Guadagnino sobre Sam Altman y OpenAI, después de invertir 50.000 millones en la compañía. Aunque abrió la puerta a vender el proyecto, solo estudios independientes como MUBI o Neon parecen interesados. Los grandes -incluyendo divisiones prestige de Disney, Warner y Universal- evitan el lodazal, especialmente cuando ellos mismos invierten en IA.
A24, que recibió 75 millones de Google para desarrollar herramientas con IA, vio cómo uno de sus inversores principales está en el consejo de OpenAI. Hasta A24 terminó saliéndose de las negociaciones. El miedo a cabrear a los gigantes de la IA o a meterse en debates regulatorios paraliza proyectos que, en otra época, Hollywood habría devorado. La película podría ser mediocre, como muchas biopics de Silicon Valley, pero el precedente es preocupante.
La rivalidad personal entre Elon Musk y Mark Zuckerberg ilustra las mismas dinámicas de poder. Dana White reveló que negoció seriamente un combate entre ambos en el Coliseo de Roma que habría costado unos 150 millones de dólares, con cada uno poniendo el dinero. Aunque la pelea nunca ocurrió, el hecho de que las conversaciones llegaran tan lejos en 2023 refleja egos y competencia que hoy se traducen en carreras armamentísticas de IA: xAI frente a los modelos Llama de Meta.
Lo que realmente cambia en el ecosistema técnico
Las filtraciones de demos de Deftones para el nunca publicado Eros o de This Is Lorelei con ‘Billy Came Back’ nos recuerdan cómo lo que se supone perdido o controlado termina saliendo a la luz. Lo mismo ocurre con las capacidades de los modelos: las restricciones de seguridad son cada vez menos efectivas cuando el open source las alcanza.
El vibe coding no convierte a responsables de RRHH en ingenieros de software overnight. Brilla en MVPs, herramientas internas y micro-SaaS que resuelven problemas concretos como control horario o informes de igualdad. Para sistemas de nóminas complejos o integraciones críticas sigue haciendo falta supervisión técnica profunda. La clave está en usar la IA para lo que hace bien -iterar rápido sobre lógica de negocio- y mantener humanos en el loop donde los riesgos legales o de seguridad son altos.
Las agencias de Five Eyes tienen razón en que el reloj corre en meses. La respuesta no puede limitarse a recomendaciones tradicionales de higiene cibernética. Necesitamos arquitecturas que incorporen IA defensiva al mismo nivel que la ofensiva, equipos que dominen prompts estructurados y una comprensión clara de dónde termina la automatización y empieza la responsabilidad humana. El resto es ruido.