El Gobierno británico ya ha usado modelos de IA frontera para auditar su propio código y la factura cabe en una hoja de cálculo: 407 hallazgos en nueve organizaciones públicas, en un mes y con 13.000 libras en tokens. Ese piloto, documentado por el GC3 en un caso de estudio publicado en GOV.UK, es ahora la base del paquete de ciberseguridad que el ministro de Inteligencia Artificial, Kanishka Narayan, presentó el 12 de octubre de 2026.
La cifra llamativa no es la de vulnerabilidades. Es lo barato que ha salido encontrarlas y lo que el propio informe admite sobre el cuello de botella real, que no está en la máquina sino en las personas que tienen que revisar lo que la máquina encuentra.
¿Qué hizo exactamente el GC3 con los modelos de IA?
Organizó una serie de hackatones semanales y presenciales en los que equipos con acceso a modelos frontera escanearon repositorios de código público de la administración. El Government Cyber Coordination Centre (GC3) es una colaboración entre el National Cyber Security Centre (NCSC) y el Departamento de Ciencia, Innovación y Tecnología, y trabajó con especialistas del AI Security Institute (AISI).
En lugar de imponer un método, el GC3 dio acceso a los modelos y dejó que cada equipo construyera sus herramientas. Salieron tres enfoques distintos:
- Una cadena de agentes en seis etapas (triaje, validación, auditoría, rastreo, juez y resumen), con escalado manual a una persona del equipo.
- Escáneres clásicos como Gitleaks, Trivy, Semgrep y Hadolint alimentando a los modelos, que después encadenaban rutas de ataque y filtraban resultados.
- Cinco Claude Skills especializadas, construidas a partir de una auditoría de cientos de servicios.
Es un detalle relevante: ninguno de los tres equipos se limitó a pegar código en un chat. Todos montaron una arquitectura alrededor del modelo.
¿Qué encontraron y qué tan grave era?
Los 407 hallazgos incluyen debilidades críticas que permitían saltarse la autenticación, exponer datos o ejecutar código en remoto. Según el caso de estudio, todas las críticas se han corregido y no hay indicios de que nadie las explotara antes.
Algunas ya estaban mitigadas por otros controles; otras eran desconocidas. El ejemplo más grave que detalla el GC3 es un fallo en GitHub Actions: cualquier usuario externo podía publicar un comentario con una estructura concreta en una pull request abierta y disparar la ejecución de código arbitrario en el runner. Desde ahí, los secretos y tokens quedaban al alcance, con riesgo de un compromiso más amplio del repositorio.
El informe destaca además algo que los escáneres tradicionales no hacían: los modelos fueron capaces de seguir una vulnerabilidad a través de los límites entre servicios, que es justo donde suelen esconderse los fallos que nadie revisa porque cada equipo cree que es responsabilidad del otro.
El coste total fue de 13.000 libras en tokens, unos 17.467 dólares según el cálculo de Infosecurity Magazine (≈ 15.200 euros al tipo orientativo de octubre). Repartido entre nueve organizaciones y un mes de trabajo, sale a menos de 1.500 libras por organización en consumo de modelo, sin contar las horas de los especialistas, que el informe no cuantifica.
Lo que el informe reconoce y la nota de prensa no subraya
La parte más útil del caso de estudio son sus lecciones, y no todas son triunfalistas. La primera: la arquitectura importa más que el modelo. Los mejores resultados llegaron con modelos frontera usados como componentes muy acotados dentro de un flujo estructurado, con revisión humana en el escalado.
La segunda es todavía más interesante para quien esté comprando herramientas: con la arquitectura adecuada, muchos modelos frontera y casi frontera rindieron de forma parecida. El GC3 menciona como ejemplos recientes Claude Mythos y GPT-5.5, y el AISI advierte de que las puntuaciones en benchmarks no reflejan necesariamente la capacidad de encontrar y arreglar vulnerabilidades reales.
La tercera es el aviso que debería leer cualquier responsable de seguridad: los agentes generan candidatos a vulnerabilidad más rápido de lo que las personas pueden validarlos. El propio documento lo resume con una frase que podría colgarse en cualquier oficina de un CISO: encontrar no es lo mismo que arreglar. Priorizar, revisar y generar parches tiene que encajar en procesos humanos que ya están saturados.
Si la IA multiplica los hallazgos pero el equipo que los corrige sigue siendo el mismo, el resultado puede ser una cola más larga, no un sistema más seguro.
¿Qué anunció Narayan el 12 de octubre?
Un paquete de medidas que convierte el piloto en política. En un discurso en el Imperial College de Londres, Narayan dijo que quiere que Gran Bretaña sea «uno de los países más difíciles del mundo de atacar usando inteligencia artificial».
Los puntos concretos del discurso:
- Dos pilotos del Gobierno han ayudado a identificar y corregir más de mil vulnerabilidades con IA frontera.
- Un servicio central de monitorización ha reducido el tiempo para corregir debilidades de 50 días a 8.
- Narayan, el ministro de ciberseguridad del DCMS y el ministro de Seguridad liderarán el uso «urgente» de IA frontera para buscar fallos en sistemas del Estado.
- El Gobierno trabajará con el Parlamento para reforzar la Cyber Security and Resilience Bill frente a amenazas impulsadas por IA y riesgos de pérdida de control, incluida la notificación de incidentes graves y de casi-incidentes.
- El DCMS, el NCSC y el AISI desarrollarán formas de contener incidentes con IA agéntica.
- La IA será un eje de la presidencia británica del G20 el año que viene.
Hay un matiz que conviene no perder. The Next Web señala que el Gobierno habla de más de mil vulnerabilidades en dos pilotos, pero el caso de estudio publicado solo documenta uno, el de los 407 hallazgos. El resto de la cifra, de momento, hay que creérsela.
Narayan también tuvo un mensaje para los laboratorios: escuchad a vuestros científicos cuando avisen de peligros graves y, «si no podéis controlar adecuadamente los riesgos, no lancéis el sistema». Es una frase fácil de aplaudir y difícil de hacer cumplir desde un país que no aloja a los principales desarrolladores de modelos frontera.
¿Por qué importa fuera del Reino Unido?
Porque aquí un gobierno publica coste, método y límites de usar IA en ciberdefensa real, no en una demo. El debate sobre si estos modelos ayudan más a atacar o a defender suele moverse entre anuncios de empresa, como el agente Aardvark de OpenAI para detectar y corregir vulnerabilidades, e informes de amenazas que describen el lado contrario, como el que alertaba de que la carrera de los agentes de IA ha creado un caldo de cultivo para el cibercrimen.
El caso del GC3 aporta datos donde había sobre todo promesas. Y el siguiente paso ya está fijado: una segunda fase con más departamentos y más modelos que pasará del código público a los sistemas cerrados de la administración, un terreno que el caso de estudio todavía no ha medido.
Mi lectura es que el Reino Unido ha acertado en el orden: primero medir con su propio código, luego legislar. Lo discutible es la cifra redonda de «más de mil» sin un segundo informe que la respalde, y la tentación de vender la IA como acelerador cuando el propio GC3 dice que el freno está en la capacidad humana de revisar.
Si la segunda fase llega a sistemas cerrados con el mismo nivel de transparencia sobre costes y límites, este documento puede acabar siendo la plantilla que otros gobiernos copien. Si se queda en titulares de miles de vulnerabilidades, será otro anuncio más.
