Nexa realizará por primera vez en Chile su Cyber Café, un encuentro orientado a líderes, clientes, partners y especialistas del ecosistema de ciberseguridad que buscará poner a prueba, en un formato práctico, algunos de los nuevos riesgos asociados con la inteligencia artificial.
La cita será el 18 de noviembre en Club 50, Santiago, y tendrá como eje “Hackeando la IA: un nuevo paradigma”. La propuesta consiste en que los propios asistentes intenten vulnerar un modelo de lenguaje utilizando únicamente lenguaje natural, sin atacar directamente la infraestructura tecnológica.
“El mensaje que queremos que se lleven es directo: cuando implementás sistemas basados en IA, así es como te van a atacar”, explicó Marcos Quezada, Chief Growth Officer de Nexa.
El Cyber Café nació en Montevideo en 2024 y, según explicó el ejecutivo, busca diferenciarse de los encuentros tradicionales basados exclusivamente en presentaciones. El objetivo es generar instancias donde los participantes deban tomar decisiones o enfrentarse a escenarios reales de riesgo.
En ediciones anteriores, por ejemplo, Nexa organizó simulacros de crisis en los que los asistentes debían decidir bajo presión si contener sistemas comprometidos o mantenerlos operativos. Para esta edición, el foco estará puesto en mostrar de manera concreta cómo una interacción aparentemente legítima con un modelo de IA puede convertirse en un vector de ataque.
De la ciberseguridad a la ciberresiliencia
El evento se desarrolla en un escenario en el que las organizaciones chilenas enfrentan simultáneamente nuevas amenazas tecnológicas y mayores exigencias regulatorias.
Nexa plantea que el enfoque tradicional de ciberseguridad, basado principalmente en impedir los ataques, ya no alcanza. La compañía propone avanzar hacia un modelo de ciberresiliencia, donde las organizaciones también se preparen para detectar incidentes, reaccionar y mantener la continuidad operativa.
“Lo único seguro en ciberseguridad es que nada es 100% seguro”, sostuvo Quezada.
Desde esa perspectiva, la pregunta deja de ser únicamente cómo evitar una intrusión y pasa a ser qué sucede si finalmente ocurre: cuánto demora la empresa en identificarla, quién toma las decisiones durante la crisis y cuánto tiempo puede sostener o recuperar sus operaciones.
La Ley de Protección de Datos cambia el escenario
Este enfoque adquiere mayor peso frente al nuevo marco regulatorio chileno y, particularmente, la Ley 21.719 de protección de datos personales.
Quezada considera que uno de los principales desafíos será evitar que las compañías traten la adaptación únicamente como un ejercicio de cumplimiento normativo. A su juicio, el verdadero cambio pasa por demostrar que existen controles y que la organización puede reconstruir qué ocurrió ante una vulneración.
“El desafío principal no es técnico. Es que el directorio entienda que una brecha es un problema legal y reputacional, y no una ‘falla técnica temporal’ que se minimiza para evadir sanciones”, afirmó.
El ejecutivo también remarcó que no deben confundirse las obligaciones de la Ley 21.719 con las de la Ley Marco de Ciberseguridad 21.663, que establece otros mecanismos y plazos de reporte para las organizaciones alcanzadas.
El riesgo de tener “todo en verde”
Uno de los problemas que Nexa observa en las empresas es lo que denomina “espejismo operativo”: organizaciones cuyos indicadores tecnológicos aparecen en condiciones normales y que, a partir de esa información, interpretan que están preparadas para afrontar una crisis.
Sin embargo, Quezada señala que la disponibilidad de los sistemas no garantiza necesariamente la resiliencia del negocio ni la trazabilidad sobre los datos.
“Se puede tener un manual impecable y no poder demostrar qué dato estaba dónde, en manos de quién y bajo qué control el día del incidente”, explicó.
Por eso, considera que la definición del riesgo no puede recaer exclusivamente en las áreas técnicas. El directorio debe establecer cuánto tiempo puede permanecer la compañía sin operar y cuánta información estaría dispuesta a perder en una contingencia. Esos parámetros, posteriormente, determinan las inversiones y la arquitectura necesaria para responder.
Ataques que ya no buscan solamente apagar sistemas
La evolución de las amenazas agrega complejidad. Según Quezada, los atacantes están desplazando parte de sus esfuerzos desde la interrupción de servicios hacia la manipulación de la información.
“Un sistema que responde con datos falsos es peor que un sistema caído, porque el caído se ve”, advirtió.
A esto se suma el robo o compromiso de identidades. Los atacantes pueden operar utilizando credenciales válidas y permanecer durante meses dentro de un entorno sin llamar la atención, reduciendo la efectividad de una estrategia basada únicamente en defensas perimetrales.
La inteligencia artificial generativa, además, aceleró capacidades que ya existían. Nexa observa su utilización para crear exploits, desarrollar deepfakes destinados al fraude corporativo o potenciar malware.
Probar la IA antes de que lo haga un atacante
Para Quezada, uno de los próximos pasos para las organizaciones será incorporar prácticas de AI Red Teaming, sometiendo a sus propios sistemas de inteligencia artificial a escenarios adversariales antes de ponerlos en producción.
“Cuando implementás un sistema basado en IA te lo van a atacar, y por vías que no se parecen a nada de lo que tu equipo viene defendiendo hace veinte años”, sostuvo.
La superficie de ataque ya no se limita a redes, endpoints o aplicaciones tradicionales. También alcanza modelos, pipelines y sistemas de orquestación de IA que, en muchos casos, fueron desplegados rápidamente.
Al mismo tiempo, la inteligencia artificial puede funcionar como herramienta defensiva para auditar configuraciones, automatizar tareas y reducir errores humanos.
Para Nexa, estos cambios obligarán a profundizar el diálogo entre los equipos tecnológicos y la alta dirección. Quezada considera que durante los próximos meses dos temas tendrán un peso particular en Chile: cómo convertir el riesgo técnico en información comprensible para los directorios y cómo responder ante una filtración de datos personales bajo el nuevo marco legal.
Su recomendación para las compañías es empezar por probar la capacidad real de respuesta.
“Que se sienten a hacer un simulacro de crisis junto a su equipo técnico. Una vez, completo, con el teléfono apagado”, concluyó.
Preguntas frecuentes
¿Cuándo se realizará el Nexa Cyber Café en Chile?
La primera edición chilena se realizará el 18 de noviembre en Club 50, Santiago.
¿Cuál será el eje del encuentro?
El evento se desarrollará bajo el concepto “Hackeando la IA: un nuevo paradigma” e incluirá un ejercicio práctico en el que los asistentes intentarán atacar un modelo de lenguaje utilizando lenguaje natural.
¿Qué es la ciberresiliencia?
Es un enfoque que, además de prevenir ataques, busca preparar a las organizaciones para detectarlos, responder ante una crisis y recuperar o mantener sus operaciones después de un incidente.
