A principios de agosto de 2026, el profesor de criptografía Matthew Green de la Universidad Johns Hopkins publicó un hilo en X y un artículo largo que se volvió viral en la comunidad de seguridad. Su argumento: la IA puede encontrar y parchear vulnerabilidades tan rápido que llegará un punto en que los gobiernos no tendrán acceso a suficientes fallos para poder hackear los dispositivos que necesitan para vigilar a criminales o terroristas. Y entonces volverán a pedir puertas traseras para todos.
El texto de TechCrunch del 31 de agosto recoge las reacciones de una docena de expertos del sector. La conclusión que emerge no es consenso: es un debate real, con argumentos sólidos en ambas direcciones, y con consecuencias que van mucho más allá de la ciberseguridad técnica.
¿Cuál es el argumento de Green y por qué es provocador?
El razonamiento tiene cuatro pasos. Primero: las LLMs son ya muy buenas encontrando vulnerabilidades a escala, y Google acaba de reportar que corrigió más fallos en Chrome en junio de 2026 que en los dos años anteriores combinados, gracias a IA. Segundo: si ese ritmo de detección y parcheo se mantiene, el software se vuelve progresivamente menos vulnerable. Tercero: los gobiernos dependen de vulnerabilidades no parcheadas (zero-days) para hackear dispositivos de sus objetivos, porque el cifrado de extremo a extremo —WhatsApp, Signal, iMessage— ya hace imposible el espionaje clásico de comunicaciones. Cuarto: si los zero-days se vuelven escasos, los gobiernos volverán al argumento del «oscurecimiento» y pedirán puertas traseras obligatorias, haciendo los dispositivos de todos menos seguros.
El trasfondo histórico es real. En 2014, el entonces director del FBI James Comey popularizó el concepto de «going dark» —el riesgo de que el cifrado masivo dejara a las fuerzas de seguridad sin acceso a las comunicaciones de criminales. En lugar de puertas traseras, los gobiernos optaron por comprar spyware y herramientas de hacking que aprovechan vulnerabilidades de los dispositivos. Esa es la situación actual: un equilibrio frágil que Green cree que la IA puede romper.
¿Quiénes están de acuerdo y quiénes no?
El debate en TechCrunch incluye voces de investigadores activos en el sector de la ciberseguridad ofensiva y defensiva.
A favor del argumento de Green: Luna Tong, investigadora con experiencia en dos de las principales empresas de búsqueda de exploits, dice que hay una «fiebre del oro de bugs ahora mismo, pero es un fenómeno temporal y los bugs volverán a escasear.» Paolo Stagno (CTO de Crowdfense, empresa que compra y vende zero-days a gobiernos) reconoce que el proceso actual de explotar vulnerabilidades para hackear dispositivos es «el sistema más democrático que tenemos», y que podría no sobrevivir si los bugs se vuelven demasiado difíciles de encontrar.
En contra o con matices: Hamid Kashfi (fundador de DarkCell, trabaja en Xbow) señala que «por cada bug encontrado y reportado por IA, probablemente hay 20 que no lo son», porque los investigadores que no quieren reportar vulnerabilidades a los fabricantes todavía pueden encontrar bugs complejos y valiosos. Eva Galperin (directora de ciberseguridad de EFF) tiene una perspectiva doble: dice que la ofensiva tiene ventaja ahora, en parte porque el propio «vibe coding» con IA introduce más vulnerabilidades de las que se encuentran, y que encontrar más bugs no significa necesariamente que se parcheen a tiempo —el proceso de parcheo sigue siendo lento y complejo. Pero añade que los regímenes autoritarios siempre quieren acceso excepcional, así que la presión por puertas traseras volverá independientemente de la escasez de zero-days.
Llevamos cubriendo el debate sobre cifrado y puertas traseras desde las primeras propuestas de Clipper Chip en los años 90, y el ciclo siempre sigue el mismo patrón: las fuerzas de seguridad dicen que se quedarán oscuras, la industria responde que las puertas traseras debilitan a todos, y se alcanza un equilibrio provisional hasta que cambia la tecnología. La IA cambia la variable de cuántos bugs hay disponibles, que es la base del equilibrio actual.
La perspectiva de más largo plazo la da Katie Moussouris (CEO de Luta Security, décadas de experiencia en gestión de vulnerabilidades): «tenemos algo de camino antes de que los últimos teléfonos y portátiles sean completamente libres de bugs. Habrá algún momento en que encontrar bugs sea mucho más difícil y eso puede desencadenar estas presiones para introducir puertas traseras. Creo que tenemos al menos hasta después de las próximas elecciones presidenciales antes de que la comunidad de inteligencia se vea materialmente obstaculizada.»
Hemos comprobado en coberturas del ecosistema de ciberseguridad que el debate sobre puertas traseras y cifrado sigue siendo uno de los más difíciles de resolver porque ninguna de las partes tiene un argumento técnico que aplaste al otro. El Model Context Protocol de Anthropic establece cómo los modelos de IA acceden a herramientas y sistemas externos con permisos explícitos — es la versión técnica del mismo debate: cuánto control tiene el sistema sobre qué puede hacer la IA en entornos externos. Los agentes de IA como Openclaw ya están siendo usados en contextos de seguridad y automatización técnica donde la frontera entre lo defensivo y lo ofensivo es igualmente ambigua. Y los modelos open source chinos como Kimi K3 son parte del mismo argumento en clave geopolítica: si la IA para encontrar vulnerabilidades es accesible globalmente, la ventaja que da a los estados con más recursos de offensive security se redistribuye. El escenario que dibuja Green —de un software tan seguro que los gobiernos pierdan acceso técnico a los dispositivos— es posible. El calendario que lo hace urgente sigue siendo incierto. Lo que no es incierto es que el debate va a intensificarse en los próximos años a medida que la IA encuentre y parchee más vulnerabilidades. El caso de Google Chrome es el más documentado en 2026 —más bugs encontrados en un mes que en dos años anteriores— pero no es el único: proyectos de código abierto, sistemas operativos y aplicaciones empresariales están reportando aumentos similares en el volumen de vulnerabilidades descubiertas gracias a herramientas de análisis estático asistido por IA. Si Moussouris tiene razón y hay al menos un ciclo electoral antes de que la presión sea insostenible, eso da tiempo para intentar resolver el problema de la gobernanza antes de que llegue la crisis.
El argumento de Green tiene una dimensión internacional que el artículo de TechCrunch no desarrolla en detalle: si la IA defensiva solo está disponible para empresas con recursos de Google o Microsoft, el gap entre la seguridad del software de las grandes empresas y el del resto aumenta. Un gobierno que no puede parchear sus propios sistemas con la velocidad que la IA permite puede verse en la paradoja de tener software menos seguro mientras que sus objetivos de vigilancia tienen software más seguro.
