Un giro rápido en la política sobre código público
NHS England está retirando del público el software que ha escrito y diciéndole al personal que los repositorios de código fuente deben ser privados por defecto, según una orientación descrita en el texto fuente proporcionado. La medida marca un cambio brusco para una institución cuyo software tradicionalmente se había hecho público con el argumento de que estaba financiado por los contribuyentes y podía ser reutilizado por otros.
El cambio está impulsado por la preocupación de que sistemas de inteligencia artificial cada vez más capaces puedan ingerir código público, inferir debilidades y ayudar a los atacantes a identificar vulnerabilidades. Según los informes, la nueva guía fija como fecha límite el 11 de mayo para hacer privados los repositorios, salvo que exista una razón explícitamente aprobada para mantenerlos públicos.
El detonante de IA: Mythos
El texto fuente dice que NHS England citó específicamente a un sistema de IA de Anthropic llamado Mythos como motivo de la nueva postura. La guía argumenta que los repositorios públicos aumentan el riesgo de revelar no solo el código fuente, sino también decisiones arquitectónicas, detalles de configuración e información contextual que podrían ser explotados a medida que los sistemas de IA mejoran en el análisis y razonamiento de código a gran escala.
Ese temor refleja un cambio más amplio en el pensamiento sobre ciberseguridad. Durante años, los defensores se han preocupado por atacantes humanos que rastrean sistemas y código expuestos. El nuevo temor es que la IA pueda automatizar parte de ese trabajo, procesando artefactos de software a una escala que comprime el tiempo entre exposición y explotación.
Por qué los críticos dicen que la medida puede salir mal
Expertos en seguridad citados en el reportaje proporcionado sostienen que la política es innecesaria y contraproducente. Una razón es que el software de código abierto se ha apoyado durante mucho tiempo en otra teoría de seguridad: la visibilidad pública puede mejorar la calidad porque más personas pueden inspeccionar, probar y corregir el código. Cerrar repositorios puede reducir la transparencia sin eliminar realmente las vulnerabilidades.
El texto fuente también señala que el Instituto de Seguridad de IA respaldado por el gobierno británico evaluó Mythos y concluyó que solo era capaz de atacar “sistemas empresariales pequeños, débilmente defendidos y vulnerables”, sin indicios de que un sistema o red realmente segura estuviera ampliamente en riesgo. Si esa evaluación es correcta, la respuesta de NHS England puede ser desproporcionada frente a la amenaza demostrada.
Gobierno abierto frente a secreto defensivo
Esta disputa se sitúa en la intersección de dos instintos de política pública que ahora chocan con más frecuencia. Uno sostiene que la infraestructura digital financiada con fondos públicos debería compartirse abiertamente para evitar duplicaciones, mejorar los servicios públicos y permitir que otros construyan sobre el trabajo financiado por el Estado. El otro dice que el secreto defensivo se vuelve más valioso a medida que la IA reduce el coste del reconocimiento para los atacantes.
La nueva norma de NHS England favorece claramente la segunda visión, al menos por ahora. Pero el intercambio es significativo. Una vez que el código se cierra por defecto, la colaboración se dificulta, la revisión externa se reduce y el público tiene menos visibilidad sobre un software que puede moldear operaciones sanitarias y sistemas de datos.
Un adelanto de un debate más amplio
La decisión del NHS importa más allá de Gran Bretaña porque muchas instituciones públicas se están haciendo versiones de la misma pregunta. ¿Deberían las amenazas de seguridad de la era de la IA cambiar las suposiciones predeterminadas detrás de la publicación de código abierto? ¿O retirarse de la apertura sacrifica resiliencia a largo plazo por una sensación de control a corto plazo?
La respuesta es poco probable que sea única para todos. Algunas bases de código pueden exponer detalles operativos sensibles que no deberían ser públicos. Otras pueden volverse menos seguras cuando desaparece el escrutinio externo. El desafío es distinguir entre esos casos con evidencia, no con miedo.
Lo que señala la decisión
La señal inmediata es que los modelos avanzados de IA ya están influyendo en políticas institucionales reales, incluso cuando la evidencia técnica sigue siendo discutida. NHS England no está esperando a que haya consenso para cambiar la forma en que se maneja su software. Está avanzando de forma preventiva hacia una postura de cierre por defecto.
Si ese enfoque mejora la seguridad sigue siendo incierto. Lo cierto es que el debate sobre seguridad en IA ha pasado de la teoría a la práctica. Ahora está remodelando reglas de contratación, estándares de publicación y los límites de la transparencia digital dentro de las organizaciones del sector público.
Si más gobiernos siguen el camino del NHS, uno de los mayores efectos indirectos de la IA podría ser una internet más silenciosa: menos código público, menos repositorios abiertos y una redefinición de cómo debería verse la infraestructura digital pública.
Este artículo se basa en reportes de New Scientist. Leer el artículo original.
Originally published on newscientist.com