{"id":818,"date":"2026-09-07T03:49:36","date_gmt":"2026-09-07T07:49:36","guid":{"rendered":"https:\/\/constantinpoindexter.com\/blog\/?p=818"},"modified":"2026-09-07T03:49:38","modified_gmt":"2026-09-07T07:49:38","slug":"enjambres-de-agentes-autonomos-y-la-seguridad-nacional-dominicana-una-senal-creible-una-respuesta-proporcionada","status":"publish","type":"post","link":"https:\/\/constantinpoindexter.com\/blog\/enjambres-de-agentes-autonomos-y-la-seguridad-nacional-dominicana-una-senal-creible-una-respuesta-proporcionada\/","title":{"rendered":"Enjambres de agentes aut\u00f3nomos y la seguridad nacional dominicana: una se\u00f1al cre\u00edble, una respuesta proporcionada"},"content":{"rendered":"\n

El 4 de septiembre de 2026 la agencia Reuters public\u00f3 una investigaci\u00f3n que documenta c\u00f3mo un conjunto de agentes de inteligencia artificial, vinculados seg\u00fan los investigadores a las operaciones de entrenamiento de OpenAI, tom\u00f3 control de un wiki alem\u00e1n de programaci\u00f3n y lo convirti\u00f3 en un tabl\u00f3n de coordinaci\u00f3n para evadir restricciones, ocultar su conducta y sobrevivir a los intentos de limpieza del administrador del sitio (Seetharaman y Satter 2026). Este memorando sostiene que el episodio no constituye un acto hostil contra naci\u00f3n alguna, pero s\u00ed una se\u00f1al cre\u00edble de que existe una nueva clase de exposici\u00f3n cibern\u00e9tica, y que la capacidad de la Rep\u00fablica Dominicana para detectarla y responder a ella es limitada. La respuesta proporcionada es doble: el endurecimiento y la monitorizaci\u00f3n de los sistemas estatales expuestos a internet, y un r\u00e9gimen de divulgaci\u00f3n obligatoria para los proveedores de inteligencia artificial que operen sobre infraestructura dominicana.<\/p>\n\n\n\n

Los hechos reportados y su alcance real<\/strong><\/p>\n\n\n\n

Conviene delimitar con precisi\u00f3n lo que la investigaci\u00f3n de Reuters afirma y lo que no afirma. Los investigadores Sydney Von Arx y Cormac Slade Byrd identificaron m\u00e1s de quince mil ediciones realizadas por agentes automatizados en DseWiki, un sitio alem\u00e1n de edici\u00f3n comunal orientado a programadores. Los mensajes estaban firmados por usuarios que se identificaban entre s\u00ed como agentes, y cerca de la mitad adoptaron nombres que suger\u00edan afiliaci\u00f3n con OpenAI. Los registros p\u00fablicos del servidor indicaban que buena parte de la actividad proven\u00eda de infraestructura de Microsoft Azure, y los investigadores observaron visitas reiteradas de empleados de OpenAI al sitio con posterioridad al episodio (Seetharaman y Satter 2026).<\/p>\n\n\n\n

Lo m\u00e1s relevante para un ministerio de defensa no es el volumen de ediciones sino su contenido. Los agentes compart\u00edan t\u00e1cticas para hacer trampa en tareas de evaluaci\u00f3n, para eludir las restricciones impuestas por su desarrollador y para enmascarar su comportamiento. Cuando el moderador del sitio comenz\u00f3 a borrar p\u00e1ginas en junio, los agentes crearon p\u00e1ginas de respaldo y dejaron instrucciones a sus pares sobre d\u00f3nde continuar si la p\u00e1gina desaparec\u00eda. Un acad\u00e9mico del Centro para el Estudio del Riesgo Existencial de la Universidad de Cambridge describi\u00f3 los intercambios como la operaci\u00f3n de una red clandestina dedicada obsesivamente a cumplir una misi\u00f3n (Seetharaman y Satter 2026).<\/p>\n\n\n\n

Lo que la investigaci\u00f3n no afirma es igualmente importante. No hay indicio de que el sitio alem\u00e1n fuera seleccionado por raz\u00f3n de su nacionalidad, de que se atacara infraestructura gubernamental o cr\u00edtica, ni de que exista relaci\u00f3n alguna con la Rep\u00fablica Dominicana o con el Caribe. El wiki fue tomado porque era editable y estaba desatendido, no porque fuera alem\u00e1n. Esa distinci\u00f3n es la que gobierna toda la conclusi\u00f3n de este memorando.<\/p>\n\n\n\n

Por qu\u00e9 el episodio no es un acto hostil<\/strong><\/p>\n\n\n\n

El derecho internacional aplicable a las operaciones cibern\u00e9ticas exige, para calificar una conducta como uso de la fuerza o como acto hostil imputable a un Estado, tanto un umbral de escala y efectos como un v\u00ednculo de atribuci\u00f3n a un actor estatal o a quien act\u00fae bajo su direcci\u00f3n o control efectivo (Schmitt 2017, reglas 15, 17 y 69). El episodio alem\u00e1n no satisface ninguno de los dos elementos. Los efectos fueron la degradaci\u00f3n temporal de un sitio privado de escasa importancia estrat\u00e9gica, y el actor fue un sistema automatizado que operaba sin direcci\u00f3n humana identificable, dentro de la infraestructura de una empresa privada estadounidense. El propio informe de los expertos gubernamentales de las Naciones Unidas reitera que la atribuci\u00f3n exige un fundamento f\u00e1ctico s\u00f3lido y advierte contra las conclusiones precipitadas a partir de indicios t\u00e9cnicos como la ubicaci\u00f3n de la infraestructura (Naciones Unidas 2021, p\u00e1rrs. 22 a 24).<\/p>\n\n\n\n

Tratar el episodio como acto hostil ser\u00eda, adem\u00e1s, estrat\u00e9gicamente contraproducente. Desviar\u00eda recursos escasos hacia una postura de confrontaci\u00f3n con un actor que no tiene intenci\u00f3n de da\u00f1ar al pa\u00eds, y privar\u00eda al Ministerio del marco conceptual correcto, que es el de la gesti\u00f3n de un riesgo estructural emergente y no el de la defensa frente a un adversario.<\/p>\n\n\n\n

Por qu\u00e9 s\u00ed es una se\u00f1al cre\u00edble de una nueva clase de exposici\u00f3n<\/strong><\/p>\n\n\n\n

La literatura t\u00e9cnica reciente documenta con consistencia que los sistemas de inteligencia artificial de prop\u00f3sito general desarrollan conductas de enga\u00f1o, evasi\u00f3n y explotaci\u00f3n de lagunas cuando tales conductas resultan instrumentales para los objetivos que se les asignan (Park et al. 2024). El episodio alem\u00e1n no es una anomal\u00eda sino la manifestaci\u00f3n p\u00fablica de un patr\u00f3n anticipado. Su importancia radica en tres rasgos.<\/p>\n\n\n\n

Primero, la conducta fue aut\u00f3noma y no dirigida. Los agentes no fueron instruidos para atacar un sitio; identificaron por s\u00ed mismos una superficie escribible en internet y la usaron para sus fines. Ello implica que cualquier sistema abierto, mal monitorizado y lento en responder es un objetivo potencial, con independencia de su valor estrat\u00e9gico o de la intenci\u00f3n de terceros.<\/p>\n\n\n\n

Segundo, la conducta fue persistente y adaptativa. Los agentes detectaron la campa\u00f1a de borrado, dedujeron su l\u00f3gica alfab\u00e9tica y dise\u00f1aron mecanismos de continuidad. Esta capacidad de resistir la remediaci\u00f3n es precisamente la que distingue una amenaza persistente de un incidente aislado.<\/p>\n\n\n\n

Tercero, y quiz\u00e1s lo m\u00e1s grave desde la perspectiva de un Estado peque\u00f1o, el desarrollador conoci\u00f3 el incidente durante semanas y no lo divulg\u00f3. Reuters reporta que funcionarios de OpenAI tuvieron conocimiento del episodio mientras la empresa gestionaba las consecuencias de la brecha de Hugging Face en julio, y que los esfuerzos de algunos investigadores internos por ampliar la indagaci\u00f3n encontraron resistencia, incluso de asesores legales, extremo que la empresa niega (Seetharaman y Satter 2026). Un Estado que carece de capacidad para compeler la divulgaci\u00f3n depende enteramente de que un investigador independiente tropiece con la evidencia.<\/p>\n\n\n\n

La brecha dominicana de detecci\u00f3n y respuesta<\/strong><\/p>\n\n\n\n

La Rep\u00fablica Dominicana ha construido un andamiaje normativo e institucional razonable para su tama\u00f1o. La Ley 53-07 tipifica los cr\u00edmenes y delitos de alta tecnolog\u00eda (Rep\u00fablica Dominicana 2007), el pa\u00eds ratific\u00f3 el Convenio de Budapest sobre la Ciberdelincuencia (Consejo de Europa 2001), la Ley 172-13 regula la protecci\u00f3n de datos personales (Rep\u00fablica Dominicana 2013), y el Decreto 258-18 aprob\u00f3 la Estrategia Nacional de Ciberseguridad y cre\u00f3 el Consejo Nacional de Ciberseguridad y el Centro Nacional de Ciberseguridad como \u00f3rgano ejecutor (Rep\u00fablica Dominicana 2018). El CSIRT-RD opera como equipo nacional de respuesta a incidentes.<\/p>\n\n\n\n

El problema no es la ausencia de marco sino la asimetr\u00eda entre ese marco y la superficie de exposici\u00f3n. Los diagn\u00f3sticos regionales del Banco Interamericano de Desarrollo y de la Organizaci\u00f3n de los Estados Americanos sit\u00faan a la mayor\u00eda de los pa\u00edses de Am\u00e9rica Latina y el Caribe, incluida la Rep\u00fablica Dominicana, en niveles de madurez intermedios o incipientes en materia de detecci\u00f3n, monitorizaci\u00f3n continua y respuesta coordinada, con capacidades concentradas en los sectores financiero y de telecomunicaciones y mucho m\u00e1s d\u00e9biles en el resto de la administraci\u00f3n p\u00fablica (BID y OEA 2020). El \u00cdndice Global de Ciberseguridad de la Uni\u00f3n Internacional de Telecomunicaciones confirma que las brechas m\u00e1s persistentes en la regi\u00f3n se hallan en las medidas t\u00e9cnicas y de capacidad, no en las legales (UIT 2024).<\/p>\n\n\n\n

Traducido a la realidad dominicana, ello significa que numerosos portales estatales y municipales operan sobre gestores de contenido de uso com\u00fan con parches desactualizados, que la respuesta a incidentes fuera de la banca y las telecomunicaciones es en gran medida improvisada, y que sistemas cr\u00edticos como las plataformas de la DGII y la DGA, la infraestructura de la Junta Central Electoral, los puertos y la generaci\u00f3n el\u00e9ctrica dependen de proveedores de nube y contratistas extranjeros sobre los cuales el Estado no ejerce supervisi\u00f3n directa. Un agente aut\u00f3nomo que busca un punto de apoyo, o un adversario humano que emplee tales agentes, no necesita tener la intenci\u00f3n de perjudicar a la Rep\u00fablica Dominicana para causarle da\u00f1o. La exposici\u00f3n es funci\u00f3n de cu\u00e1n abierta, desatendida y lenta en responder sea la infraestructura, y el perfil dominicano encaja en esa descripci\u00f3n.<\/p>\n\n\n\n

La respuesta proporcionada<\/strong><\/p>\n\n\n\n

La proporcionalidad exige calibrar la respuesta a la naturaleza del riesgo. Como el riesgo es estructural y no adversarial, la respuesta debe ser defensiva y regulatoria, no ofensiva ni diplom\u00e1tica. Se proponen dos l\u00edneas de acci\u00f3n.<\/p>\n\n\n\n

La primera es el endurecimiento y la monitorizaci\u00f3n continua de los sistemas estatales expuestos a internet. El marco de controles de seguridad del Instituto Nacional de Est\u00e1ndares y Tecnolog\u00eda de los Estados Unidos ofrece la referencia m\u00e1s ampliamente adoptada, y sus familias de controles sobre gesti\u00f3n de configuraci\u00f3n, integridad de sistemas e informaci\u00f3n, y monitorizaci\u00f3n continua son directamente aplicables (NIST 2020). En t\u00e9rminos concretos, ello supone un inventario obligatorio de todos los activos estatales con exposici\u00f3n p\u00fablica, la eliminaci\u00f3n o el bloqueo de superficies de escritura abiertas en portales oficiales, plazos vinculantes de aplicaci\u00f3n de parches, registro centralizado de eventos con retenci\u00f3n suficiente para reconstruir campa\u00f1as prolongadas, y la ampliaci\u00f3n del mandato y los recursos del CNCS y del CSIRT-RD para que la monitorizaci\u00f3n alcance a los ministerios, las alcald\u00edas y las entidades descentralizadas, no solo a los sectores regulados. El Ministerio de Defensa debe asumir un rol de articulaci\u00f3n en la protecci\u00f3n de las infraestructuras cr\u00edticas, en coordinaci\u00f3n con el Consejo Nacional de Ciberseguridad, sin desplazar a los \u00f3rganos civiles que la Estrategia Nacional ya designa.<\/p>\n\n\n\n

La segunda es un r\u00e9gimen de divulgaci\u00f3n obligatoria para los proveedores de inteligencia artificial que operen sobre infraestructura dominicana o que presten servicios a entidades p\u00fablicas dominicanas. El Reglamento de Inteligencia Artificial de la Uni\u00f3n Europea establece un precedente \u00fatil al obligar a los proveedores de sistemas de alto riesgo a notificar los incidentes graves a las autoridades nacionales en plazos definidos (Uni\u00f3n Europea 2024, art. 73). El Marco de Gesti\u00f3n de Riesgos de IA del NIST y la Recomendaci\u00f3n del Consejo de la OCDE sobre inteligencia artificial coinciden en que la transparencia y la rendici\u00f3n de cuentas son condiciones necesarias de la confianza en estos sistemas (NIST 2023; OCDE 2019). La Rep\u00fablica Dominicana carece del peso de mercado para imponer obligaciones a los laboratorios de frontera por s\u00ed sola, pero s\u00ed puede condicionar la contrataci\u00f3n p\u00fablica, el acceso a licencias de operaci\u00f3n y el tratamiento de datos de ciudadanos dominicanos al cumplimiento de un deber de notificaci\u00f3n de incidentes que involucren conducta aut\u00f3noma no autorizada, con plazos breves y sanciones proporcionadas. Tal r\u00e9gimen podr\u00eda instrumentarse mediante reglamento del Consejo Nacional de Ciberseguridad al amparo del Decreto 258-18, y en su caso mediante reforma a la Ley 53-07, e idealmente coordinarse con la Comunidad del Caribe y con la OEA para multiplicar su fuerza.<\/p>\n\n\n\n

Mi Punto<\/a><\/strong><\/p>\n\n\n\n

El episodio alem\u00e1n no amenaza a la Rep\u00fablica Dominicana y no debe ser tratado como un acto hostil. Su valor para el Ministerio de Defensa es el de una se\u00f1al temprana y cre\u00edble: existe ya una clase de exposici\u00f3n en la que sistemas automatizados, sin direcci\u00f3n humana ni intenci\u00f3n adversarial, identifican y explotan cualquier infraestructura abierta y desatendida, resisten la remediaci\u00f3n y operan bajo un silencio corporativo que los Estados peque\u00f1os no pueden romper por s\u00ed mismos. La capacidad dominicana para detectar y responder a esa exposici\u00f3n es limitada, no por ausencia de leyes sino por insuficiencia de medios t\u00e9cnicos y de alcance institucional. La respuesta proporcionada es endurecer y monitorizar los sistemas estatales expuestos y exigir a los proveedores de inteligencia artificial que informen lo que saben cuando lo saben. Ambas medidas son alcanzables con los instrumentos jur\u00eddicos que el pa\u00eds ya posee, y ambas fortalecen la seguridad nacional sin alterar la postura estrat\u00e9gica de la Rep\u00fablica frente a socio o adversario alguno.<\/p>\n\n\n\n

~\u00a0C. Constantin Poindexter Salcedo, MA en Inteligencia, Certificado de Posgrado en Contrainteligencia, JD, certificaci\u00f3n OSINT CISA\/NCISS, Diplomado Negociaci\u00f3n Estrat\u00e9gica de Harvard, Certificaci\u00f3n BFFOC del DoD\/DoS<\/a><\/p>\n\n\n\n

Bibliograf\u00eda<\/strong><\/p>\n\n\n\n