La inteligencia artificial aún no está lista para ciberseguridad de sistemas de control industrial

Cuando Google Duplex habló primero en una línea telefónica de restaurante, sonó casi humano. La demo mostró lo que la IA puede hacer hoy: ejecutar conversaciones estrechas y guionadas con fluidez inquietante. Sin embargo, la misma tecnología, ahora disponible en 43 estados de EE.UU. para usuarios de Google Pixel, destaca los límites de la IA actual —capaz de interacciones rutinarias pero aún lejos de abordar las complejidades de sistemas de control industrial (ICS).

Otros proyectos de IA de alto perfil subrayan esta división. Project Debater de IBM puede construir argumentos persuasivos, pero su voz sigue siendo robótica y su entendimiento abstracto. Ambos ejemplos ilustran que la IA más avanzada viene de compañías con bolsillos profundos y massive data sets —sin embargo incluso ellos advierten que algoritmos pueden fallar, datos pueden ser sesgados y prácticas impropias pueden erosionar confianza.

Narrativas de marketing a menudo pintan IA como cura para todos los desafíos de negocio, prometiendo dar sentido a vastas cantidades de datos industriales y fortificar la seguridad de sistemas de control. Analítica industrial, cuando se aplica a datos de máquina, impulsa la convergencia de OT e IT y alimenta la Cuarta Revolución Industrial, según el Industrial Internet of Things Analytics Framework del Industrial Internet Consortium.

El veterano de ciberseguridad Jason Haward-Grau, CISO de PAS Global, nota que "la automatización de procesos robóticos es probablemente mucho más interesante, desde una perspectiva de IA, que la IA en seguridad". Argumenta que vendedores pueden afirmar que ofrecen IA para cada problema, pero las empresas deberían primero preguntar, "¿Qué necesita mi organización?" y luego determinar si IA es la respuesta.

Los niveles de amenaza permanecen altos. Un estudio 2018 de Kaspersky encontró que el 49% de 321 encuestados industriales reportaron al menos un ataque por año —una subestimación probable subestimando la cifra real.

Definir IA es en sí un reto filosófico. El escritor tecnológico Jaron Lanier advirtió en 2016 que sin una baseline medible, "estás en tierra de fantasía". En práctica, esto significa que muchos sistemas etiquetados "smart" carecen de fundamento empírico.

Un caso de uso concreto es detección de malware o anomalías. Con una baseline de red confiable y algoritmos de machine learning robustos entrenados con datos suficientes, la IA puede señalar amenazas rápido y reducir falsos positivos. Esto es especialmente valioso dado el shortage de talento en ciberseguridad.

Sin embargo, el éxito depende de relevancia de datos. Si el sistema desconoce ciertos procesos de negocio, puede generar falsas alarmas. Además, entrenar con datos defectuosos puede causar que malware sea clasificado erróneamente como benigno. Adversarios pueden incluso reverse-engineer características de modelo para evadir detección.

Entornos industriales presentan obstáculos adicionales. Dispositivos OT a menudo no usan protocolos IT estándar, y buses de control legacy (ej., sistema de 25 años) son difíciles de interpretar para IA. Haward-Grau ilustró esto con ejemplo de refinería: mientras los 500 dispositivos IT pueden monitorizarse con tracking de red, los 28.500 endpoints OT de múltiples vendors (ABB, Schneider Electric, Siemens, Yokogawa, Philips, GE, Honeywell) presentan un panorama de datos fragmentado que complica traducción de IA y definición de comportamiento "bueno".

El cambio de "es solo cuestión de tiempo antes de que seamos breacheados" a "ya estamos comprometidos" amplifica la complejidad de establecer comportamiento normal de red. Un estudio respaldado por IBM 2018 mostró que toma promedio 197 días para empresas detectar una brecha —tiempo que puede erosionar la fiabilidad de modelos de machine learning entrenados en topologías de red en evolución.

La IA promete para ciberseguridad industrial, pero adopción debería empezar con casos de uso bien definidos que limiten complejidad de datos. Como dijo E. F. Schumacher, "Se necesita un toque de genio —y mucho coraje— para moverse en dirección opuesta". Para líderes industriales, eso significa empezar con proyectos pequeños y manejables antes de escalar IA across todo su panorama OT.