Por qué las nuevas IAs me pueden dejar sin agua caliente

Imagínate despertarte un martes de enero, meterte en la ducha y que el agua salga helada. No se ha roto el termo. Alguien en la otra punta del mundo lo ha hackeado “por las risas” usando una Inteligencia Artificial.

Suena absurdo. Pero es técnicamente posible. Y cada vez lo es más.

Mi termo eléctrico tiene wifi. También mi lavavajillas. Y si me pongo a contar todos los dispositivos de mi casa que están conectados a internet (dos portátiles, webcam, hub, Hue Bridge, televisión, catorce bombillas inteligentes, el robot aspiradora, router, repetidor wifi…) la lista es larga. La pregunta incómoda es: ¿Cuántos de estos tienen su software interno actualizado? En mi caso, 3: Los 2 portátiles y el hub con el que los conecto. Y eso que me considero un “friki” que ejecuta proactivamente el buscador de actualizaciones de windows y del fabricante.

Qué ha pasado y por qué importa

La semana pasada, Anthropic anunció Claude Mythos, un modelo de inteligencia artificial que encuentra fallos de seguridad en software de forma autónoma. No fallos menores: vulnerabilidades desconocidas (lo que en ciberseguridad se llaman zero-days) en todos los sistemas operativos principales y en todos los navegadores principales. Fallos que llevaban años, en algunos casos décadas, sin ser detectados por ningún equipo humano.

Lo más inquietante no es que el modelo los encuentre. Es que los explota solo. Ingenieros de Anthropic sin formación en seguridad le pedían que buscase vulnerabilidades por la noche y a la mañana siguiente tenían un ataque funcional listo para usar.

Anthropic ha decidido no hacer público este modelo. En su lugar, ha lanzado Project Glasswing: acceso restringido a unas 40 empresas tecnológicas (Microsoft, Cisco, la Linux Foundation…) para que usen Mythos para revisar y parchear sus productos antes de que modelos con capacidades similares estén al alcance de cualquiera. Anthropic ha sido la primera en tener un modelo de IA con estas capacidades “hacker”, pero ir por delante en IA significa unos seis meses antes de que los modelos de código abierto alcancen estas capacidades.

Seis meses.

La guerra que no te afecta (y la que sí)

En la ciberseguridad profesional, esto supone un escalón más en una carrera armamentística que lleva décadas. Los atacantes tendrán IAs capaces de encontrar y explotar fallos. Los defensores tendrán las mismas IAs para encontrarlos y cerrarlos antes. Tu banco, Apple, Google… van a estar razonablemente bien. Las fuerzas se equilibran. Glasswing es exactamente lo que hay que hacer en el entorno corporativo.

Pero Glasswing tiene un punto ciego enorme: solo cubre la mitad del problema. Que Broadcom descubra un fallo en el chipset de tu router y publique un parche no significa nada si ese parche no llega a tu router. Entre la empresa que corrige el fallo y tu dispositivo hay un abismo que se llama “el usuario tiene que instalarlo”. Y el usuario no lo va a instalar. Porque no sabe que debe hacerlo, porque no sabe cómo, o porque ni siquiera sabe qué es un firmware. De hecho hay dos opciones: estás leyendo esto y no sabes lo que es un firmware, o si sabes lo que es y eres el único de tu familia y amigos que lo sabe.

Cuando Apple detecta un fallo de seguridad en el iPhone, lanza una actualización y tu teléfono la instala discretamente por la noche. Ni te enteras. Eso es un sistema diseñado para protegerte sin pedirte nada.

Ahora piensa en tu router. Ese aparato de Movistar o Vodafone que instaló un técnico hace tres años y que desde entonces acumula polvo encima del mueble del salón. Tiene un software interno (un firmware) que necesita actualizaciones exactamente igual que tu iPhone. Pero nadie te ha avisado nunca de que deberías actualizarlo.

¿Puede un ataque entrar en tu casa?

Esta es la pregunta que determina si lo que cuento aquí es una amenaza real o ciencia ficción.

La respuesta es que no solo puede: ocurre todos los días.

Desde 2016, cuando el botnet Mirai infectó millones de dispositivos IoT escaneando internet en busca de cámaras y routers con la contraseña de fábrica, los ataques automatizados contra dispositivos domésticos son una realidad rutinaria. En marzo de 2026, el Departamento de Justicia de EE.UU. desarticuló una red de tres millones de dispositivos IoT comprometidos. Tres millones. Y no hablamos de víctimas que hicieron clic en un enlace sospechoso. Hablamos de dispositivos que simplemente estaban conectados a internet con su configuración de fábrica.

El mecanismo es más sencillo de lo que parece. Tu router hace de barrera entre internet y tu red doméstica: los dispositivos internos (bombillas, termo, el robot aspiradora…) no son directamente visibles desde fuera. Pero el router sí lo es. Y si el router tiene una vulnerabilidad conocida (o peor, una que acaba de descubrir una IA), el atacante entra en tu red local. A partir de ahí, moverse lateralmente hacia los demás dispositivos conectados es trivial: la mayoría no tienen ninguna autenticación interna.

Hay un agravante que casi nadie conoce: UPnP. Es un protocolo que muchos routers traen activado de fábrica y que permite a tus dispositivos abrir puertos al exterior sin tu permiso. Tu termo con wifi podría estar, ahora mismo, exponiendo servicios directamente a internet sin que lo sepas.

Lo que cambia con la IA no es el tipo de ataque. Es la escala. Lo que antes requería un hacker cualificado dedicando semanas a un objetivo concreto, ahora lo hace un agente de IA en horas, contra miles de objetivos simultáneos, identificando automáticamente cada dispositivo de la red y seleccionando el ataque óptimo para cada uno. Y con modelos como Claude Mythos, el agente ya no necesita que la vulnerabilidad sea conocida: puede descubrirla él mismo.

¿Por qué van querer hackear mi termo eléctrico?

• Para saber más de ti de lo que crees. Tu termo no guarda contraseñas, pero sabe cuándo te duchas, cuándo te vas de vacaciones y cuántas personas viven en tu casa.
• Para extorsionarte a escala. 200.000 termos desactivados en enero, 5€ por recuperar el tuyo. Un millón de euros.
• Como arma en un conflicto. Dejar sin agua caliente a un país entero sin lanzar un solo misil.
• Porque puede. Y ahora es gratis. El equivalente a pinchar ruedas, pero a escala global y desde el sofá.
• Daño colateral. Nadie ataca tu termo. Atacan el chip que lleva dentro, el mismo que llevan otros cien mil dispositivos.
• …

Hasta ahora, a nadie le compensaba buscar un exploit para un modelo concreto de termo eléctrico con wifi. Son 50.000 unidades en el mundo, no hay dato bancario que robar, no hay rescate que cobrar. El coste de investigar esa vulnerabilidad era absurdamente mayor que cualquier beneficio.

Pero cuando el coste de buscar un exploit baja a prácticamente cero (porque se lo pides a una IA y ella lo encuentra sola), la ecuación cambia. Un atacante puede generar exploits para cientos de dispositivos distintos, empaquetarlos en un bot automatizado, y lanzarlo a escanear internet. Tu termo deja de ser un objetivo ridículo cuando atacarlo no cuesta nada.

Y no olvidemos además que muchos dispositivos IoT comparten los mismos chipsets y SDKs de un puñado de fabricantes: una sola vulnerabilidad en un componente de Realtek o MediaTek puede afectar a cientos de productos de marcas distintas simultáneamente.

Qué puedes hacer

No existe una solución definitiva, pero hay cosas concretas que reducen drásticamente tu exposición:

• Actualiza el firmware de tu router. Entra en la interfaz de administración (normalmente 192.168.1.1), busca la sección de actualización y aplica lo que haya pendiente. Si no sabes cómo, busca el modelo exacto de tu router en YouTube. Hay vídeos para casi todos.
• Desactiva UPnP. En esa misma interfaz de administración, busca UPnP y desactívalo. El 99% de los usuarios domésticos no lo necesita para nada.
• Cambia las contraseñas de fábrica. Del router y de cualquier dispositivo que lo permita. Si sigue con admin/admin o 1234, es como dejar la puerta de casa abierta.
• Activa las actualizaciones automáticas en todo lo que te lo permita: sistema operativo, navegador, aplicaciones y, cuando exista la opción, firmware de dispositivos.

Pero sobre todo: dale importancia a la “cultura general” en tecnología. Hoy la lección nos llega a través de la ciberseguridad doméstica, pero en general, delegar en algoritmos nos obliga a entender mejor que nunca las herramientas que usamos.

La IA no nos va a librar de entender la tecnología. Nos va a obligar a entenderla más. Es cierto que baja la barrera para hacer cosas. Pero sube la barrera para entender qué te están haciendo.

Y si estás pensando en comprar un lavavajillas nuevo: cómpralo tonto. Sin wifi. Sin app. Sin conexión a nada. Lo que no está conectado no se puede hackear.