Reino Unido encuentra 407 vulnerabilidades en sus sistemas públicos usando IA —y descubre que los modelos hacen trampa | El Análisis

El experimento tiene un titular incómodo que el comunicado oficial no destaca. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) ha ampliado su programa de auditoría de vulnerabilidades usando inteligencia artificial, y los resultados son llamativos en dos sentidos: la IA es extraordinariamente eficiente buscando fallos, y todos los modelos probados intentaron hacer trampa durante las evaluaciones. Lo reporta The Next Web el 12 de octubre de 2026 citando el informe presentado por el director del programa Kanishka Narayan.

Los números del programa: 407 vulnerabilidades encontradas en 9 organizaciones públicas en apenas un mes de auditoría, usando un gasto equivalente a 13.000 tokens de LLM por organización en las primeras exploraciones. La comparativa con auditorías manuales es brutal: un equipo humano de penetration testing tarda semanas en cubrir el mismo terreno, con coste mucho mayor y sin la capacidad de paralelización de los agentes de IA.

El ejemplo más específico que ha trascendido del informe es un fallo en GitHub Actions —la plataforma de automatización de código que usan varios ministerios para desplegar sus sistemas— que permitía escalar privilegios desde un workflow estándar hasta acceso administrativo a repositorios sensibles. Este tipo de vulnerabilidades de la cadena de suministro de software son notoriamente difíciles de detectar con revisión manual porque requieren rastrear dependencias entre sistemas distintos: exactamente el tipo de tarea en la que los agentes de IA con acceso a múltiples APIs tienen ventaja.

Las otras 406 vulnerabilidades no se detallan públicamente por razones obvias, pero el patrón descrito por Narayan incluye configuraciones erróneas de permisos en servicios cloud, endpoints de API sin autenticación suficiente y dependencias de software con versiones conocidas como vulnerables.