Plan de Acción Europeo sobre Ciberseguridad e Inteligencia Artificial

Después de que Estados Unidos publicase hace un mes La Orden Ejecutiva de la Casa Blanca para promover Innovación en IA Avanzada y Seguridad para protegerse de, y con, la IA la Unión Europea ha hecho un movimiento similar con el "EU Action Plan on Cybersecurity and Artificial Intelligence" que ha sido publicado esta misma semana, y que muestra, más o menos, las mismas preocupaciones y similares acciones, además de la preocupación por contar con las capacidades a nivel Europeo.

Figura 1: Plan de Acción Europeo sobre Ciberseguridad e Inteligencia Artificial 

El primero de los puntos que destaca es el relativo a las medidas de seguridad de los modelos de IA, para conocer los riesgos que implica su uso basados en el Modelo de Riesgos del AI ACT que publicó la Unión Europea hace tiempo.

Figura 2: Modelo de Riesgos del AI Act

Se trata de saber cuál puede ser el riesgo asociado a un modelo de IA que se utilice en caso de uso críticos, y conocer cómo puede impactar una vulnerabilidad del modelo de Jailbreak, Misalignment, Hallucination o BIAS al funcionamiento de cualquier servicio digital que lo use.

Figura 3:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

El objetivo es poder evaluar los modelos y generar durante Q4 una guía de qué modelos deben ser utilizados y para qué, con el objetivo de mejorar las capacidades de Europa en materia de Inteligencia Artificial de una manera segura. 

Figura 4: Factsheet - Action Plan on Cybersecurity and Artificial Intelligence

El siguiente de los puntos está dirigido a garantizar el Acceso a Modelos de IA para Ciberseguridad, con lo que la Agencia de la Unión Europea para la Ciberseguridad (ENISA) trabajará en definir un plan europeo para el acceso estructurado a capacidades avanzadas de IA para la ciberseguridad. Estas orientaciones servirán para que las organizaciones europeas pertinentes, tanto públicas como privadas, puedan acceder a modelos avanzados de IA.

Figura 5: Factsheet - Action Plan on Cybersecurity and Artificial Intelligence

Como se puede ver, no solo se trata de tener asegurado el acceso a Modelos de IA para Ciberseguridad, pensando en capacidades Red Team o Purple Team, que permitan descubrir y vulnerabilidaes y gestionar incidentes de seguridad, sino también pensando en arreglarlas con plataformas de Patching to match AI-Speed, o lo que es lo mismo, plataforma de Patching con IA - como la que ha desarrollado la empresa Plexicus, que fundó José Palanco,  de la que tanto os he hablado.

Figura 6: Plexicus parchea con IA los bugs descubiertos

Con estas dos visiones, el Plan de Acción de la UE sobre Ciberseguridad e Inteligencia Artificial propone probar la IA aplicada a la ciberseguridad, para lo que ENISA y el Centro Común de Investigación de la Comisión crearán una plataforma segura para probar la IA aplicada a la ciberseguridad, lo que incluirá el uso de entornos simulados. Esto proporcionará conocimientos técnicos sobre el uso seguro de la IA a los operadores de sectores críticos, como el financiero, el energético, el sanitario, el del transporte y la administración pública, así como benchmarks que permitan entender mejor las capacidades de cada uno de ellos.

Por supuesto, estas pruebas, evaluaciones, y decisiones sobre modelos de IA, tienen como objetivo que las empresas europeas y los gobiernos puedan reforzar la ciberseguridad de la UE y subsanar las vulnerabilidades, La UE debe proteger sus infraestructuras críticas frente a las vulnerabilidades derivadas del posible uso indebido de estas tecnologías, y recuerda que las organizaciones deben reforzar las prácticas de ciberhigiene, las medidas de gestión de riesgos y los principios de «seguridad desde el diseño». 

Figura 7: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso,

Para ello urge a las organizaciones a que empiecen a utilizar las capacidades de IA ya disponibles, para identificar y subsanar las vulnerabilidades con mayor rapidez, así como para prevenir y responder a los ciberataques. Es decir, acción ya, que ya tenemos muchas capacidades de hacking y pentesting con IA.

Figura 8: Estimular el mercado de soluciones de Ciberseguridad

basadas en IA y construir capacidades con modelos frontera de IA.

Para hacer esto, el plan quiere lograr estimular el crecimiento del mercado europeo, mediante lo que se ha llamado el «Gran reto de la UE sobre IA para la ciberseguridad». Este concurso quiere reunir a empresas, investigadores y organizaciones con el objetivo de desarrollar soluciones de inteligencia artificial para la ciberseguridad, ya que considera que la UE debe seguir invirtiendo en el desarrollo de sus propias capacidades soberanas avanzadas de IA, aprovechando la infraestructura proporcionada por las factorías de IA y las futuras gigafactorías. 

Por último, este plan recuerda todas las demás iniciativas regulatorias y demandas de aplicación de medias que la UE está haciendo para impulsar la transformación digital con inteligencia artificial y la seguridad de toda la unión. para ello, recuerda que el Reglamento de IA exige evaluar y mitigar los riesgos derivados de los modelos de IA, mientras que el Código de buenas prácticas para la IA de uso general especifica con mayor detalle estos requisitos. 

Figura 9: Gestión de riesgos sistémicos de seguridad

en el Código de buenas prácticas para la IA.

Todo este plan dará comienzo a partir del próximo 2 de Agosto de este año, y además recuerda que el Reglamento de Ciberresiliencia, que será de obligada aplicación a finales de 2027, exige que los productos de hardware y software incorporen la seguridad desde el diseño, junto con el resto de directivas de seguridad que la UE ha aprobado para los diferentes sectores industriales. 

En definitiva, todo el mundo está preocupado por el impacto directo que la Inteligencia Artificial tiene en la Ciberseguridad, y el impacto que la Ciberseguridad tiene en el despliegue seguro de la Inteligencia Artificial. Dos areas de tecnología que se han visto transformadas y unidas de manera muy especial.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

El Plan del Verano: Agentic Only & Sport

No soy de los que desconectan en verano tanto como que se me lleguen a olvidar las contraseñas. Primero porque como os he dicho muchas veces, pagaría por trabajar en lo que trabajo, y segundo porque siempre tengo un plan de cosas que quiero estudiar, probar o hacer. De hecho, los días de verano son días que recuerdo con mucha ilusión porque son días donde tengo más tiempo para jugar con la tecnología, no solo pensando en el trabajo, sino en lo que me apetece descubrir, muchas veces inútil más que para satisfacer mi curiosidad personal.

Figura 1: El Plan del Verano "Agentic Only & Sport"

También es periodo de subir un poco más la intensidad de la lectura para actualizar el cerebro. Y sí, disfrutar de ese poco más de tiempo para aprovechar y hacer más deporte. Si lo miro con calma, al final, nada de lo que planifico - excepto piscina y  hamaca si lo hay suerte - no es nada que no haga todos los días del año habitualmente, solo que con un poco más tiempo, lo que me deja muy contento.

Por supuesto, todos los días, absolutamente todos los días, me gusta conectarme con los asuntos del trabajo, por si hubiera algo urgente o que demandara mi implicación, así que, dentro de mis rutinas mañaneras está revisar todo lo que tengo, igual que hago con mis asuntos personales de facturas, bancos, mensajes, etcétera. Soy un tipo que hace cambios en su vida para meterlos en las rutinas.

Dicho esto, este verano lo siento diferente.

Por supuesto tengo la lista de todas las cosas anteriores que os he dicho que me gustaría hacer, libros, proyectos en los que enredar, y deporte que me gustaría practicar, pero este año, tengo la sensación de que es el año en el que menos debo despegarme de la actualidad tecnológica. No lo hago nunca, pero la velocidad a la que va todo el mundo de la tecnología, especialmente en nuestra profesión, donde la ciberseguridad, el hacking, el pentesting y la inteligencia artificial están cambiando el panorama cada día, me genera esa pequeña ansiedad de que si me parpadeo largo, me pierdo algo importante que debo conocer.

Ya os conté en otro artículo que siento que la velocidad mató al impostor, y esta es una sensación personal que me tiene con esa excitación de que sabes que no puedes llegar a todo, pero aún así no piensas dejar un ápice de energía sin gastar en aprender todo lo nuevo. Así que para este verano tengo mi propio "hackathon" personal en la construcción de cosas solo en base a Agentes IA. Mis proyectos personales Agentic Only. No puedo dejar de pensar en cosas que se hagan solo con Agentes IA. 

Tengo anotadas muchas ideas en mi To-do List centradas en Agentic Only, con la cabeza explotándome. Sueño hasta con esos proyectos. Y no, no tienen que ver todos con Ciberseguridad y Hacking. La disrupción social y laboral es tan grande, que se me ocurren estas cosas para todo, así que veremos que filtra mi cabeza durante este verano. 

Lo maravilloso del mundo de la tecnología es que puedes cambiar de tercio, de proyecto, de área de interés intelectual y desconectar de una cosa para liberar la mente, pero al mismo tiempo seguir aprendiendo cosas de tecnología con otros proyectos de interés personal. Es un mundo en sí, en el que entré de pequeño y del que no he salido ni creo que salga, durante toda mi vida. 

Sí, ha habido periodos en los que conecté más con el deporte en el mundo abierto y menos con la tecnología, pero hace años que aprendí a balancear las dos cosas, y eso me ayuda a tener una vida mejor.  Sigo sin cambiar una cerveza con un amigo por un gadget, pero porque sé balancear las cosas en mi vida. Y mi plan para este verano tiene de todo, pero aprender cosas nuevas, y hacer cosas nuevas con la tecnología, por supuesto.

 ¿Y tú, qué has metido tú en tu plan?

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)