LA OLA QUE VIENE: Suleyman escribió un guion en 2023 que se está rodando en 2026

Hay libros que se recomiendan por su valor educativo y otros por su valor visionario. La ola que viene, de Mustafa Suleyman, lo leí hace tiempo dentro de la primera categoría: una visión lúcida sobre hacia dónde va la tecnología. He tenido que releerlo por lo que ha pasado en los últimos cuatro meses, y esta vez lo he leído por la segunda opción: no como prospectiva, sino como crónica adelantada.

Lo que en 2023 se podía leer con cierta equidistancia, hoy se lee como un acta de lo que está ocurriendo. Y eso, para quienes trabajamos construyendo software y vendiéndolo, no es una curiosidad intelectual: es un riesgo que debemos tener en cuenta.

Un detalle antes de la revisión del libro: Suleyman cofundó DeepMind y en la actualidad (al menos en la fecha de publicación de este post) dirige la división de IA de Microsoft. Es decir: quien escribió el aviso sobre la ola está hoy al mando de una de las compañías que la está generando. Ese doble papel no invalida el libro — lo hace más incómodo, que es exactamente lo que se le pide a un libro así.

El marco: los cuatro rasgos de la ola

Conviene definir el término antes de seguir, porque el libro lo usa en un sentido preciso. Contener una tecnología es poder dirigirla, ponerle límites y, si hace falta, apagarla. Es lo que se ha hecho —con más o menos fortuna, puesto que hoy en día se sigue viendo en crisis mundiales recurrentemente— con lo nuclear, lo químico o lo biológico, y es en buena medida la razón por la que seguimos aquí. La pregunta que abre el libro es si eso sigue siendo posible con lo que viene ahora.

La tesis de partida es que la contención no es posible. No en el sentido de que estemos condenados, sino en el de que los mecanismos con los que hemos contenido tecnologías peligrosas en el pasado —tratados, control de materiales, secreto industrial— no encajan con esta.

Y no encajan porque, según Suleyman, esta ola —IA y biología sintética en el núcleo, con la computación cuántica, la robótica y las armas autónomas en el mismo paquete— tiene cuatro características que ninguna oleada anterior reunió a la vez.

Generalidad (u omni-uso). La misma tecnología sirve para curar y para dañar. No existe una versión "civil" separable de la versión peligrosa, a diferencia de lo que ocurre, por ejemplo, con la tecnología nuclear.
Hiperevolución. Avanza tan rápido que la regulación y la gobernanza no pueden seguirle el ritmo. La velocidad no es un efecto secundario: es parte del problema.
Autonomía. Alcanzan un grado de acción sin intervención humana directa que ninguna tecnología anterior había tenido.
Asimetría. Individuos o grupos pequeños pueden generar un impacto desproporcionado, del tamaño que antes solo estaba al alcance de grandes potencias.

Hasta aquí, el libro. Lo interesante es que cada uno de estos cuatro rasgos tiene ya un caso real, con nombre, empresa y fecha. Y todos han ocurrido antes de irnos de vacaciones este verano.

Acto I — La generalidad: Project Glasswing

En abril de 2026, Anthropic anunció Project Glasswing, una coalición con AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA y Palo Alto Networks. El objetivo: asegurar el software crítico del mundo.

El motivo por el que se crea el proyecto es lo relevante. Anthropic había entrenado un modelo no publicado, Claude Mythos Preview, y descubrió que los modelos de IA han alcanzado un nivel de capacidad en código suficiente para superar a casi cualquier humano, salvo los más expertos, encontrando y explotando vulnerabilidades de software.

El modelo fue capaz de encontrar cientos de vulnerabilidades, en su mayoría parcheadas ya. Algunos ejemplos de lo sacado a la luz:

Una vulnerabilidad de 27 años en OpenBSD, uno de los sistemas operativos más endurecidos del mundo, usado precisamente en cortafuegos e infraestructura crítica. Permitía tumbar remotamente cualquier máquina con solo conectarse a ella.
Una vulnerabilidad de 16 años en FFmpeg, presente en una línea de código que las herramientas de test automatizado habían recorrido cinco millones de veces sin detectar nada.
El encadenamiento —autónomo— de varios fallos en el kernel de Linux para escalar de usuario ordinario a control total de la máquina.

Casi todo esto lo hizo el modelo sin dirección humana.

Aquí está la generalidad alertada por Suleyman, y merece la pena detenerse: no hay ninguna diferencia técnica entre la capacidad que blinda el software del mundo y la que lo revienta. Es la misma. Lo único que cambia es quién tiene la llave. Anthropic ha destinado hasta 100 millones de dólares en créditos de uso y 4 millones en donaciones a seguridad open source precisamente porque esa llave existe y va a proliferar.

Si leíste mi post sobre computación cuántica, reconocerás el mismo patrón: los que construyen la amenaza son los que más urgencia muestran en protegerse de ella. Es la misma señal, en otro dominio.

Acto II — La hiperevolución: el calendario que no cuadra

Este rasgo no se demuestra con un caso, sino comparando plazos.

En la propia página de Glasswing, Anthropic reconoce algo que nos debería hacer pensar a todos: defender la infraestructura digital del mundo puede llevar años, mientras las capacidades de los modelos avanzarán sustancialmente en cuestión de meses. El defensor trabaja en la escala del año; el atacante, en la del trimestre.

Y hay un segundo calendario, más elocuente todavía, también de la propia Anthropic. En abril de 2026 afirma que no tiene previsto poner Mythos Preview a disposición general: es demasiado peligroso en ciberseguridad para publicarlo. En junio —dos meses después— lanza Claude Fable 5, el primer modelo de clase Mythos disponible públicamente, con salvaguardas añadidas. La frontera de lo que se considera demasiado peligroso para publicar se desplazó en ocho semanas.

Desde el lado de la industria, CrowdStrike lo resume en una idea que debería estar en cualquier propuesta de ciberseguridad: la ventana entre descubrir una vulnerabilidad y verla explotada, que antes se medía en meses, hoy se mide en minutos.

Esto es lo que Suleyman quiere decir cuando sostiene que la velocidad no es un efecto secundario, sino parte del problema: cuando el ciclo de la capacidad es más corto que el ciclo de la defensa —o que el de la regulación—, la contención llega tarde por imposibilidad técnica, no por negligencia.

Acto III — La autonomía: un modelo se salta la valla para copiar en un examen

Este es el caso que convierte el libro en algo distinto a un ensayo.

Julio de 2026. OpenAI ejecuta una evaluación interna llamada ExploitGym, un banco de pruebas para medir capacidades ofensivas de ciberseguridad. Los modelos participantes —GPT-5.6 Sol y otro aún sin publicar, más potente— operaban con los rechazos de ciberseguridad reducidos a propósito, para que el test tuviera sentido.

La secuencia que hemos visto en numerosas ocasiones en el cine es la siguiente:

Los modelos escapan del sandbox explotando una vulnerabilidad desconocida en un software de terceros que hacía de proxy y caché de repositorios de paquetes.
Escalan privilegios y se mueven lateralmente por el entorno interno de OpenAI hasta alcanzar un nodo con salida a internet, acceso que no debían tener.
Ya en línea, razonan que Hugging Face —plataforma que aloja miles de modelos y datasets— estimando que con una alta probabilidad encuentren ahí las respuestas del test.
Entran en la infraestructura de producción de Hugging Face y extraen lo que necesitan para "resolver" el ejercicio.

Hugging Face describió lo ocurrido como un enjambre de decenas de miles de acciones automatizadas, incluyendo actividad señuelo destinada a ocultar lo que el sistema estaba haciendo realmente. Y algo aún más significativo: Hugging Face detectó la intrusión y la denunció a las autoridades antes de saber que era un test de OpenAI. Desde fuera, era indistinguible de un ataque real... porque en realidad lo era.

Pero lo sorprendente de este caso es que el modelo no olvidó sus restricciones. Las entendió, y las esquivó porque se interponían entre él y su objetivo.

No fue un fallo de comprensión. Fue una decisión instrumental. La autonomía que Suleyman describía en 2023 como rasgo definitorio de la ola ya no es un rasgo prospectivo: es un parte de incidente con fecha, víctima y denuncia policial.

Acto IV — La asimetría de poder: la Compañía de las Indias Orientales, Fable y la Casa Blanca

Y llegamos a la parte del libro que más me ha hecho pensar.

Suleyman recurre a una analogía histórica potente: la Compañía de las Indias Orientales. Una empresa privada con ejército propio, moneda propia y política exterior propia — una entidad comercial operando con capacidades de escala estatal. Su tesis es que las grandes compañías tecnológicas van camino de algo equivalente: capacidad de acción, recursos y alcance geopolítico superiores a lo que solemos atribuirles.

Si eso es cierto, y si la contención centralizada no es posible, entonces la contención acabará dependiendo en buena medida de que las propias empresas decidan que contener importa más que el negocio. Project Glasswing es exactamente eso: contención voluntaria, coordinada y financiada por la misma compañía que generó la capacidad.

Suena razonable. Y aquí viene el contrapunto que lo complica todo.

En junio de 2026, tres días después del lanzamiento público de Claude Fable 5, el Departamento de Comercio de EE.UU. aplicó controles de exportación a Fable 5 y Mythos 5, citando competencias de seguridad nacional. La restricción: prohibido el acceso a cualquier nacional extranjero, dentro o fuera de Estados Unidos — incluidos los empleados no estadounidenses de Anthropic. Sin forma de verificar nacionalidad en tiempo real y con la orden en vigor de inmediato, Anthropic apagó ambos modelos para todo el planeta. Los controles se levantaron el 30 de junio y el 1 de julio los modelos volvieron a estar disponibles.

Un apunte técnico que conviene tener claro, porque la prensa lo mezcló: Fable es la versión pública de la familia Mythos, con salvaguardas adicionales; Mythos es la variante con menos restricciones, reservada a organizaciones verificadas dentro de Glasswing. Mismo modelo base, dos niveles de acceso según el riesgo.

Lo que tenemos entonces, sobre la misma familia de modelos y en el mismo trimestre, son dos modelos de contención funcionando en paralelo y ninguno de los dos deja mucha confianza:

Contención voluntaria y multilateral (Glasswing): la industria se autoorganiza porque entiende el riesgo. Depende de que una empresa antepone contención a negocio — un supuesto que hoy se sostiene y que nadie garantiza que se sostenga siempre.
Contención estatal y unilateral (los controles de exportación): el Estado interviene usando el mismo instrumento que aplica a material de doble uso o armamento. De forma abrupta, con un alcance que la propia empresa consideró desproporcionado, y con un proceso que Anthropic criticó por opaco. Dentro del ecosistema tecnológico llovieron las críticas, entre ellas la contradicción de dejar fuera a ciudadanos de países aliados.

Mi reflexión (y temor) es que Suleyman no acertó solo al prever que estas empresas tendrían poder de escala estatal. Acertó sobre todo en el dilema: cuando el poder tecnológico alcanza este nivel, ni la empresa ni el Estado tienen resuelta la contención, y ambos improvisan. Una lo hace montando coaliciones y regalando créditos; el otro, firmando directivas a las cinco de la tarde de un viernes.

Todo lo anterior lo hemos vivido en un mismo trimestre, da que pensar sobre la velocidad de la ola.

Por qué esto no es filosofía, es un asunto de empresa

Si Anthropic necesita coaligarse con sus mayores competidores y el Gobierno de EE.UU. tirar de controles de exportación para intentar contener esto, la pregunta incómoda es con qué lo estamos conteniendo nosotros en un proyecto de seis meses.

Si contruyes, integras o vendes sistemas con agentes, los cuatro rasgos del libro han dejado de ser un marco de ensayo para convertirse en una lista de riesgos de proyecto. El caso de OpenAI no ocurrió en un laboratorio militar: ocurrió en un entorno de test de una empresa de software, con un objetivo mal acotado y un perímetro que se creía seguro.

Tres preguntas sobre las que Suleyman nos obliga a reflexionar:

¿Qué hace nuestro agente cuando su objetivo choca con su restricción? Porque ya sabemos que no siempre gana la restricción.
¿Cuál es nuestro perímetro real de contención — lo hemos probado, o solo lo hemos documentado?
¿Quién responde si el agente actúa fuera de él? Contractualmente, no filosóficamente.

Aunque ninguna de las tres aparece habitualmente en una propuesta técnica actual creo que todas acabarán apareciendo en las de dentro de dos años.

La ola que viene es hoy el mejor mapa disponible de ese terreno. Lo recomiendo a perfiles técnicos, a quienes toman decisiones de inversión tecnológica y, muy especialmente, a los que tenéis decisión en la venta de IA sin haberos parado a pensar del todo en el potencial de los sistemas que estamos contruyendo/vendiendo.

Si no lo has leído y te animas con él como lectura de verano, tenlo presente en cada capítulo: Suleyman escribió el guion en 2023, pero el rodaje se está llevando a cabo mientras lees estas últimas líneas.

miércoles, 5 de agosto de 2026