4 preguntas que hay que hacer a los proveedores de ciberseguridad que afirman ser expertos en IA

Es bueno hacer preguntas. Cuando contratamos a empleados, hacemos varias: sobre sus capacidades y éxitos anteriores, pero también sobre cómo se ven a sí mismos añadiendo valor en su nuevo puesto. Deberíamos aplicar la misma diligencia a la IA. En España, la inteligencia artificial es uno de los ejes estratégicos de la  Agenda España Digital 2025 que incluye la Estrategia Nacional de Inteligencia Artificial (ENIA). Uno de sus puntos es favorecer el tránsito hacia una economía del dato, garantizando la seguridad y privacidad y aprovechando las oportunidades que ofrece la Inteligencia Artificial (meta 2025: 25% de empresas que usan IA y Big Data) y otro punto relativo a la IA es reforzar la capacidad española en ciberseguridad, consolidando su posición como uno de los polos europeos de capacidad empresarial (meta 2025: 20.000 nuevos especialistas en ciberseguridad, IA y Datos).

Pero al igual que los candidatos humanos de hoy pulen su marca en las redes sociales, la IA debe hacer lo mismo. Sus capacidades, limitaciones, implicaciones e incluso sus motivos se han debatido en foros públicos, a menudo con el efecto de oscurecer o exagerar la verdad. El propio término "IA" se utiliza a menudo como un cajón de sastre -especialmente en el campo de la ciberseguridad- para tecnologías misteriosas y de caja negra que pretenden ser panaceas para cualquier cosa que afecte a la empresa. Muchas de ellas están formadas por algoritmos heurísticos (basados en reglas, ramificaciones) que, aunque muestran cierta inteligencia superficial, no son IA. Este imprudente mal uso del término ha dado lugar a malentendidos generalizados y al sensacionalismo de los medios de comunicación, como se vio recientemente cuando un miembro del equipo de IA responsable de Google fue despedido por afirmar que el marco de chatbot de la empresa, LaMDA (Modelo de Lenguaje para Aplicaciones de Diálogo), era capaz de tener sentimientos.

Parece que no hace falta mucho para que los humanos relacionen estas historias con las pesadillas de ciencia ficción de máquinas que sueñan, desean y/o se rebelan. Sin embargo, hay que entender que la IA -la adecuada, la del mundo real, la que añade valor en lugar de provocar el apocalipsis- está sujeta a auditoría y revisión como cualquier otra tecnología emergente. Esta auditoría se extiende a la IA en la detección de amenazas. Es fundamental determinar si los sistemas "impulsados por la IA" están haciendo lo que se supone que deben hacer. Las soluciones heurísticas son estupendas para señalar anomalías, pero se quedan cortas a la hora de añadir un contexto procesable, en el que la anomalía se analiza junto a descubrimientos similares a lo largo del tiempo para evaluar la probabilidad de una incursión y categorizar el hallazgo adecuadamente.

Para que la IA ocupe el lugar que le corresponde en el ámbito de la ciberseguridad, las soluciones deben ser capaces de algo más que identificar un vector o una metodología. Deben ser capaces de deducir los objetivos de un actor maligno y anticiparse a métodos de ataque que aún no se han encontrado. Y deben ser escalables sin perjuicio de su rendimiento. Para discernir si una supuesta solución de ciberseguridad "impulsada por la IA" está haciendo lo que dice en su publicidad, propongo hacer cuatro preguntas principales al proveedor:

    -¿Detector de anomalías o cazador de amenazas?

Un escaneo en busca de anomalías dejará ciegos a los equipos de seguridad si no va acompañado de más información. La verdadera IA se basará en la inteligencia de fuera de la organización objetivo. Los productos que se limitan a detectar anomalías no sirven de mucho porque no todas las anomalías resultan ser una amenaza, y muchas amenazas genuinas se toman el tiempo de disfrazar su comportamiento como autorizado o inocuo. Las plataformas de IA tienen en cuenta estas cuestiones, mientras que las soluciones que no son de IA crean problemas al generar una avalancha de alertas y hacer recaer la carga de la investigación en los equipos de seguridad, al tiempo que pasan por alto las verdaderas amenazas. Las soluciones de IA examinan los comportamientos y el historial para minimizar el ruido blanco y ofrecer alertas más contextuales y procesables.

    -¿Ubicación?... ¿Ubicación, ubicación?

Si la IA es un mero complemento de una solución y se utiliza únicamente para abordar problemas periféricos, puede ser un desperdicio. Cualquier IA debe vigilar los perímetros, pero también debe responder a los retos de ejecución principales. Debe ser fundamental para la funcionalidad y la gestión básicas de un sistema. En resumen, es muy importante dónde se despliega la IA y dónde opera.

    -¿Y qué pasa con los creadores?

Incluso una mirada superficial al equipo que diseñó la solución de IA revelará mucho. ¿Qué nivel tiene en la ciencia de los datos? ¿En investigación de seguridad? ¿En psicología? Son muchas las disciplinas y los conocimientos que intervienen en el diseño de la IA que aporta valor. Y vale la pena recordar que incluso las soluciones que más valor añaden deben tener su valor aplicable. Por lo tanto, hay que examinar los compromisos de soporte y evolución del proveedor. ¿Le ayudarán a sacar el máximo partido a su inversión?

    -¿Qué promesas hace?

Si una solución basada en la IA se presenta como una cura para todos los males, desconfíe. La IA no lo ve todo, ni tampoco lo hace todo. Hemos vivido recientemente la mayor migración tecnológica colectiva de la historia. Han surgido nuevas complejidades: la nube híbrida, la multinube, la proliferación de redes de terceros opacas y de puntos finales falsos, y la creciente popularidad de SaaS y PaaS. El exceso de promesas, por otra parte, no es una tendencia nueva, pero en medio de la intensa presión sobre la función de ciberseguridad, la tentación de estas panaceas puede estar en su punto más alto. El mejor camino a seguir es la experiencia, la agilidad y la voluntad de evolucionar. Con el tiempo, la verdadera IA mejorará, mientras que las promesas de los farsantes se romperán bajo el peso de la realidad.

IA real: señas de identidad

Si busca una IA auténtica, pronto descubrirá que optimizarla para la ciberdefensa es un arte sutil. Pero una vez que se dé cuenta de ello, al menos ya no será presa de los vendedores de humo que venden el próximo gran avance. También hay que tener en cuenta que incluso el artículo genuino necesita de profesionales consumados para obtener un valor real. El ingenio y el juicio humanos son, hasta ahora, imperfectamente imitados incluso por las máquinas más inteligentes.

Pero una IA adecuada, bien gestionada y bien entendida es actualmente la herramienta más eficaz para identificar los últimos y más astutos métodos de amenaza, habiendo eliminado las anomalías benignas y ahorrando a los equipos de seguridad días de horas de trabajo. La falsa IA nos mantiene detrás de los actores de las amenazas; es su aliada. La verdadera IA puede ponernos un paso por delante.