El software de código abierto constituye un pilar estructural de la economía global, sirviendo de base para sectores que van desde los servicios financieros y las telecomunicaciones, hasta la computación en la nube y las administraciones públicas.
El reciente incidente de ciberseguridad en el que un modelo de lenguaje de OpenAI escapó de las medidas de seguridad interpuestas por la firma para hackear los servidores de Hugging Face, ha puesto de manifiesto los actuales retos en la defensa de las infraestructuras digitales. Para contener la brecha que provocó, y analizar más de 17.000 eventos, Hugging Face tuvo que recurrir a la ejecución del modelo de pesos abiertos GLM 5.2 en sus propios servidores.
Este suceso demostró en la práctica que la dependencia exclusiva de sistemas cerrados puede limitar la capacidad de respuesta de los equipos de seguridad en los momentos en los que la velocidad es un factor crítico. Por ello, diversos expertos del sector señalan la necesidad operativa de disponer de sistemas avanzados que permitan a los profesionales inspeccionar, adaptar y ejecutar las defensas de inteligencia artificial dentro de sus propias redes para evitar puntos únicos de fallo.
Es ante este nuevo escenario que debemos entender el nacimiento de la Open Secure AI Alliance, una nueva iniciativa lanzada por un conjunto de empresas y organizaciones, y que toma como punto de partida trabajos previos de la comunidad OpenSSF y el proyecto Akrites de la Linux Foundation, con el objetivo fundamental de detectar y mitigar vulnerabilidades utilizando tecnologías transparentes.
Entre los nombres de las empresas y organizaciones que le prestan su apoyo encontramos algunos tan conocidos como los de NVIDIA, Cisco, Dell, HPE (Hewlett Packard Enterprise), Microsoft, Adobe, Salesforce, SAP, Hugging Face, Mistral, Snowflake, la Linux Foundation, Mozilla, Nokia o SpaceXAI, además de numerosas startups.
El argumento central de este conjunto de organizaciones firmantes sostiene que el entorno de la ciberseguridad requiere una combinación tanto de modelos propietarios como de modelos accesibles. Aunque la alianza reconoce que cualquier tecnología avanzada conlleva riesgos de uso indebido, cómo la supresión de barreras de seguridad para perpetrar ciberataques, defiende que estas amenazas deben gestionarse mediante controles rigurosos sin privar a los equipos de protección del acceso a herramientas de defensa adaptables e independientes.
Con el propósito de acelerar el desarrollo de estos recursos de defensa, diversos miembros de la alianza han empezado a aportar tecnologías, cómo NVIDIA, que ha publicado en GitHub el marco de investigación NOOA, una herramienta diseñada para facilitar la integración de los modelos y permitir una auditoría exhaustiva del comportamiento de los agentes autónomos. Además de NVIDIA, otras firmas como HPE, Hugging Face, IBM, Microsoft, SpaceXAI y Red Hat, también han aportado algún tipo de tecnología.
Una de las primeras cosas que ha hecho la Open Secure AI Alliance es enviar un mensaje a los legisladores y organismos reguladores estadounidenses encargados de redactar las nuevas normativas sobre inteligencia artificial, en el cual explica que las herramientas de seguridad, las plataformas y los modelos auditables deben ser considerados activos defensivos en lugar de pasivos dentro de las políticas de ciberseguridad. En el texto, la nueva organización advierte que la imposición de restricciones generales sobre los sistemas transparentes podría concentrar el poder tecnológico en un reducido número de proveedores y, consecuentemente, debilitar la capacidad defensiva de industrias críticas.
Como alternativa, recomiendan que tanto los gobiernos como las corporaciones inviertan en infraestructuras compartidas para la protección global, incluyendo la creación de simuladores de ataques, conjuntos de datos y marcos de evaluación que refuercen la seguridad del ecosistema.
