Seamos honestos sobre qué se acelera y qué no. Para atacar a una organización hacen falta seis cosas: reconocer su superficie expuesta, descubrir un fallo, comprobar en laboratorio que se puede explotar de verdad, armar un exploit fiable en producción con un EDR delante, moverse por dentro sin que nadie lo note y escalar en una red bastionada. La IA ha abaratado las tres primeras: lo que era trabajo humano, caro y lento, hoy es rápido y barato. Las otras tres siguen siendo difíciles, y quien diga que la IA ya hace las seis nos vende humo. Pero con las tres primeras basta. Nuestra mejor defensa nunca fue el parche: era el tiempo que los malos necesitaban para encontrar el fallo y comprobar que servía. Ese tiempo se ha esfumado, y nosotros seguimos cerrando debilidades al ritmo de siempre. Esa distancia es la ventana de exposición. Y se ensancha aunque lo hagamos todo bien, porque ellos corren más.

El sector responde con más cuadros de mando y más copilotos, pero el problema no es ver. No faltan alertas: falta tiempo. Hay una asimetría de la que se habla poco: los malos aplican IA sin cumplimiento, gobierno, trazabilidad ni comité de aprobación. Nosotros pasamos por todo eso, y nada sobra: existen por buenas razones. La pregunta, lo digo de frente, ya no es si automatizar; es cómo hacerlo para que el comité pueda decir que sí. Y solo conozco una respuesta: meter el control EN la ejecución, no delante. Validación, rollback y auditoría dentro del flujo. Y el humano encima del bucle, no dentro: se preautoriza por clase de acción y se le pregunta solo por excepción, no a cada paso. La verdad, yo pensaba que al human-in-the-loop no lo sacaríamos nunca de ahí, y ya me he empezado a tragar mis palabras. Porque el perímetro, ahora, es la intención: lo que un agente cree que debe hacer frente a lo que se le autorizó.

Los malos aplican IA sin cumplimiento, gobierno, trazabilidad ni comité de aprobación. Nosotros pasamos por todo eso, y nada sobra: existen por buenas razones. Y el perímetro, ahora, es la intención: lo que un agente cree que debe hacer frente a lo que se le autorizó. La respuesta no es ver más, sino investigar más rápido que el atacante.

Razonar tampoco basta. Encontrar algo interesante no demuestra que sea explotable, ni prioritario, ni que importe. Para saberlo hace falta algo que ningún modelo tiene: contexto. Y el contexto que decide no se compra entero: lo de fuera (exposición, amenazas, credenciales filtradas) se compra; lo de dentro, qué activo importa y qué se puede tocar sin parar la fábrica, vive en casa. Un cerebro más listo no es una defensa mejor. Un cerebro con contexto, sí.

Por eso la vía viable es tener agentes especializados investigando en paralelo: uno entiende la superficie expuesta, otro las identidades, otro valida si es explotable aquí. Y lo que los une no es solo un orquestador: es un orquestador alimentado por contexto. La inteligencia que no cambia una decisión es un informe, y de informes vamos sobrados.

En definitiva, la pregunta es otra: no es cuánto tardamos en parchear, sino en dejar de ser explotables. A veces el parche no existe, o no se puede aplicar a tiempo sobre un activo crítico. Se puede dejar de ser explotable sin parchear nada: cerrando un puerto, segmentando el activo, deshabilitando el módulo vulnerable... Nada de eso arregla la vulnerabilidad. Pero todo la vuelve inútil para los malos.

No toda fase defensiva necesita IA. Donde basta un flujo determinista, un agente solo añade latencia, coste e incertidumbre. Forzarla porque suena avanzado empeora la defensa. ¿Y los equipos? Vamos a cambiar, no lo voy a edulcorar: va de una dualidad. Vamos a ser directores de orquesta, con un agente para cada cosa y agentes que se validan entre sí, y a la vez necesitamos más a los especialistas que llevan años y se han comido los golpes. Porque son ellos los que pueden entrenar a esos agentes y coordinarlos. Para el veterano esto no es una amenaza: es una segunda vida laboral. Y cuidado con la deuda cognitiva: un equipo que produce más pero entiende menos. Cuando me lo preguntan contesto lo mismo: la gente está asustada y yo estoy tranquilo. Tranquilo porque esta vez la ventaja es de quien domina el terreno.

Perder no será ver menos. Perder será seguir viendo mucho y actuando tarde. Investigar más rápido que el atacante, con contexto y de forma gobernada, es lo único que iguala esa física. Empecemos a medir esa ventana.