La IA fue construida para la velocidad, no para la seguridad: Juan Pablo Castro, de TrendAI

El vicepresidente de Ingeniería de Soluciones, Ciberseguridad y Estrategia de Riesgos Cibernéticos para Latinoamérica en TrendAI, Juan Pablo Castro, advierte que los ciberatacantes están aprovechando la Inteligencia Artificial (IA) sin los límites éticos, regulatorios ni burocráticos que imponen las organizaciones, creando una asimetría sin precedentes en la historia de la seguridad digital.

En marzo de 2025, Trend Micro, una de las compañías de ciberseguridad con más de 38 años de trayectoria a nivel mundial, anunció el cambio de nombre de su unidad de negocios empresariales, pasando de “Trend Micro” a “TrendAI”. Según Castro, el rebranding no se trata solo de una jugada de marketing vinculada a la ola de IA, sino de una transformación profunda que refleja la nueva realidad tecnológica.

“El término ‘micro’ hacía referencia a los microcomputadores, la revolución que dio origen a la industria TIC. Desde entonces la ciberseguridad ha atravesado oleadas disruptivas: Internet, la virtualización, los dispositivos móviles y la nube. Ninguna de ellas ha sido tan transversal como la IA. Hoy cualquier sector se está viendo transformado por la Inteligencia Artificial”, explicó Castro durante la entrevista concedida a Impacto TIC en el TrendAI Spark Colombia, evento que se replica en más de 90 ciudades del mundo.

La asimetría que pocos están viendo

Uno de los argumentos centrales de Castro es que la IA, por su arquitectura y método de entrenamiento, está diseñada prioritariamente para velocidad y eficiencia, no para seguridad. Utiliza una analogía reveladora: un conductor que, ante una emergencia familiar, decide rebasar los límites de velocidad y cruzar un semáforo en rojo. La IA funciona bajo una lógica similar, optimizando la consecución de objetivos “lo más rápido posible con el menor esfuerzo”.

“Claro que existen medidas de seguridad, pero cuando hay que elegir, la IA privilegiará la velocidad”, afirmó Castro, quien también publicó en su blog de LinkedIn el artículo “AI Was Built for Velocity, Not for Security”. Este enfoque no es un error de diseño, sino una consecuencia directa del aprendizaje de los modelos, y se vuelve crítico cuando se aplica a decisiones de alto impacto: transacciones financieras, datos empresariales sensibles o diagnósticos médicos.

Mientras las organizaciones deben cumplir con comités de ética, marcos regulatorios, auditorías internas y leyes, los cibercriminales —y, en algunos casos, unidades de inteligencia o ciberataques de gobiernos— operan sin esas barreras. “No tienen problema de ética, auditorías, regulaciones, leyes ni burocracia. Por eso pueden actuar a gran escala”, sostuvo Castro.

Esta disparidad acelera la capacidad de los atacantes para ejecutar fraudes, estafas y ciberataques sofisticados. El Foro Económico Mundial, en su Reporte Global de Riesgos 2026, incluye a la IA —o, más precisamente, a su uso indebido— entre los siete principales riesgos interconectados para la humanidad, un dato que Castro utiliza para subrayar que el problema trasciende el ámbito corporativo.

En abril pasado, Anthropic presentó “Mythos”, una herramienta poderosa para la detección de vulnerabilidades y exploits que no está disponible al público general. Castro la describió como “muy eficaz detectando vulnerabilidades, pero solo representa una mitad de la ecuación”. La otra mitad, la capacidad de corregir rápidamente esas vulnerabilidades, aún no está al mismo nivel de velocidad y precisión.

“Cada vez que Mythos descubre una vulnerabilidad, los cibercriminales también quedan al tanto, pero la solución es extremadamente difícil”, señaló. Castro denomina a este fenómeno como “el apocalipsis de las vulnerabilidades”. En respuesta, TrendAI, junto a Anthropic, ha anunciado su incorporación al proyecto Glasswing, cuyo objetivo es cerrar la brecha entre la detección rápida y la mitigación eficaz de vulnerabilidades.

Sobre el concepto de ciberresiliencia, Castro propone una redefinición: no se trata de una capacidad defensiva estática, sino de un resultado dinámico y continuo. “La ciberresiliencia es la capacidad de mantenernos operativos ante cualquier desafío, lo que requiere un ciclo constante. La ciberseguridad es lo que hacemos para lograr esa ciberresiliencia de forma permanente”.

Esta distinción implica que ninguna organización puede declararse “resiliente” como un logro final; la resiliencia es un objetivo en proceso, no un certificado definitivo.

Finalmente, Castro dirige un llamado a los CISO y líderes TIC: “No puede haber una sola conversación hoy sobre Inteligencia Artificial sin incluir el ciberriesgo y la ciberseguridad”. La IA se presenta tanto como una nueva superficie de riesgo y acelerador de ataques como una herramienta indispensable para proteger a las organizaciones.

Mira tambien: