La ventana de 4–7 meses del Instituto de Seguridad de la IA del Reino Unido

En julio de 2026, el Instituto de Seguridad de la IA del Reino Unido informó que los principales modelos de pesos abiertos iban detrás de los modelos de frontera cerrados en tareas cibernéticas por solo 4–7 meses, frente a 6–10 meses durante la mayor parte de 2025. En febrero de 2025, Gran Bretaña había eliminado “safety” del nombre del instituto, al tiempo que preservaba las pruebas que ahora definen esta ventana cada vez menor para intervenir.

El Estado acotó los fundamentos para intervenir

El cambio de nombre redujo el énfasis del instituto a la ciberseguridad y excluyó las preocupaciones sobre sesgo de su enfoque. Gran Bretaña eligió qué daños aún podían justificar la atención estatal: las amenazas graves a la seguridad siguieron siendo legítimas, mientras que los riesgos sociales más amplios quedaron fuera del mandato declarado de la institución.

Los gobiernos y los laboratorios de frontera están desplazando la gobernanza de la IA de frontera hacia permisos operativos: quién recibe un modelo, qué nivel de capacidad obtiene, a qué puede conectarlo y quién puede revocar el acceso. Gran Bretaña acotó los fundamentos aceptables para intervenir; los proveedores aportan la maquinaria que vuelve granular la intervención.

El renombrado Instituto de Seguridad de la IA siguió evaluando sistemas de frontera. Su mandato más acotado permitió que las pruebas de capacidades peligrosas sobrevivieran al giro político, generando evidencia para decisiones de despliegue.

Las credenciales determinan el poder efectivo de un despliegue

La plataforma Frontier de OpenAI ofrece un ejemplo operativo confirmado. OpenAI lanzó el sistema de gestión de agentes para un “conjunto limitado de clientes”, con contexto compartido, incorporación y límites de permisos. El producto comercial muestra cómo funciona un sistema de acceso: un proveedor admite a una organización, asigna credenciales, limita a qué puede acceder un sistema y conserva la capacidad de modificar o retirar esas credenciales.

Un proveedor puede dejar intacto el checkpoint de un modelo mientras altera el poder efectivo de un despliegue al conceder acceso a herramientas, conectar datos empresariales o permitir ejecución autónoma. Lo que un cliente puede hacer depende del modelo, las credenciales y el entorno que recibe.

Los proveedores preservan margen de maniobra mediante controles de acceso. Las reglas públicas generalmente definen categorías por adelantado y las aplican a todos los casos; los proveedores pueden decidir cuenta por cuenta, restringiendo un despliegue mientras dejan intacto otro. Una credencial puede editarse sin modificar una ley, y puede concederse una excepción sin definir una doctrina pública.

El riesgo cibernético se vincula con la conexión

Un agente de programación con herramientas, credenciales y un objetivo accesible genera mayor exposición que un modelo que responde una pregunta de seguridad en un chat. El agente puede pasar de describir una acción a intentar realizarla. Un análisis de marzo de 2026 sostuvo que los agentes de programación automatizarían el descubrimiento de vulnerabilidades zero-day y alterarían la economía del desarrollo de exploits, reduciendo el trabajo necesario para buscar debilidades.

Los objetivos son concretos. El FBI, la NSA y otras agencias de Estados Unidos advirtieron que hackers vinculados con Irán habían atacado dispositivos de control industrial utilizados en infraestructura estadounidense de agua y energía. El Reino Unido ya había designado los centros de datos como Infraestructura Nacional Crítica, lo que permitió una coordinación gubernamental más estrecha frente a incidentes cibernéticos. Los servidores, dispositivos de control, credenciales de red y sistemas eléctricos convierten la capacidad de un modelo en exposición para la seguridad nacional; las conexiones entre ellos determinan el radio de impacto.

Los proveedores pueden usar restricciones de acceso donde una declaración general de seguridad del modelo no basta. Pueden confinar un agente a un entorno aislado, limitar sus herramientas o probarlo en tareas de horizonte largo antes de ampliar su alcance. OpenAI ya agregó aislamiento nativo y un arnés de pruebas de despliegue a su Agents SDK. Para los agentes que pueden actuar sobre datos empresariales y sistemas externos, esos límites son infraestructura de seguridad.

Los proveedores también pueden actuar más rápido que los legisladores. Cuando una evaluación revela una interacción peligrosa entre un modelo y una herramienta, un proveedor puede deshabilitar la herramienta, reducir el grupo de clientes o revocar una credencial. Durante un episodio cibernético agudo, esa velocidad ayuda; también deja al operador de la cuenta decidir qué cliente pierde acceso.

Los pesos abiertos ponen fecha de vencimiento a la barrera

Los proveedores de modelos cerrados pueden usar el intervalo de 4–7 meses de AISI para escalonar el acceso, monitorear los despliegues y dar a los defensores un uso controlado de capacidades más potentes. Una vez que circulan pesos comparables, el proveedor original deja de controlar cada credencial, conexión o copia.

Google DeepMind afirma que Gemma ha superado 1 mil millones de descargas y que los desarrolladores han publicado más de 100,000 variantes en dos años. Mil millones de descargas no representan mil millones de despliegues operativos distintos, pero los desarrolladores que copian y modifican pesos crean ramificaciones de gobernanza que Google no puede cerrar revocando una clave de API. La escala convierte la difusión de pesos abiertos en un límite estructural para los controles administrados por proveedores.

Por ello, los responsables de políticas enfrentan dos sistemas. Los proveedores de frontera pueden controlar las API alojadas y los despliegues empresariales mediante contratos, credenciales y límites técnicos. Los gobiernos deben decidir por separado qué obligaciones siguen a los pesos abiertos después de que la revocación a nivel de proveedor deja de funcionar.

Un operador de infraestructura que elige un agente debe preguntar tanto si el modelo rebasa un umbral de capacidad como qué herramientas, credenciales y objetivos expone su despliegue. Los gobiernos pueden establecer reglas en ambas capas; proveedores y clientes implementan la segunda en cada cuenta.

Un botón de revocación necesita una vía de apelación

OpenAI y Anthropic han respaldado ambas las revisiones públicas de las decisiones de los proveedores. OpenAI pidió a California fortalecer la SB 53, incluidos requisitos de monitoreo durante el entrenamiento motivados por ataques de agentes de IA. El CEO de Anthropic, Dario Amodei, pidió pruebas obligatorias de terceros sobre riesgos cibernéticos, biológicos y de autonomía, con autoridad para bloquear o revocar despliegues que presenten peligro catastrófico. Ambas posiciones reservan un papel para la autoridad pública en los casos de mayor riesgo.

La supervisión pública importa porque el mismo sistema de acceso puede proteger una red vulnerable, excluir a un cliente desfavorecido u ocultar una excepción inconsistente. El límite de permisos por sí mismo no determina qué uso es legítimo. Criterios de elegibilidad publicados, registros de auditoría, revisión independiente y una vía de apelación permiten a terceros distinguir la gestión de riesgos de una restricción arbitraria.

La rendición de cuentas requiere una institución pública capaz de corregir las fallas de los proveedores. Eso sitúa la rendición de cuentas del despliegue dentro del sistema de acceso. Los revisores necesitan saber quién aprobó un nivel de capacidad, qué evidencia respaldó la decisión, qué detonó la revocación y cómo puede revertirse una denegación errónea. Un aprobador humano no crea rendición de cuentas solo por aparecer en el circuito; necesita un mandato, un registro y otra institución capaz de decir no.

En la placa de AISI, Safety se convirtió en Security. Su brecha de 4–7 meses ahora mide la ventana en la que la fila de clientes, el nivel de capacidad, el interruptor de herramientas y el botón de revocación de un proveedor aún pueden contener la capacidad líder.