Anthropic y Accenture, Deloitte y PwC para redes OT

Anthropic lanzó el jueves (8) la iniciativa Anthropic Cyber Mission, un proyecto a largo plazo que comienza con dos programas: uno dirigido a la tecnología operativa (OT) que controla redes eléctricas, agua y transporte, y un servicio gratuito de escaneo de vulnerabilidades en software de código abierto. El primero, denominado Critical Infrastructure Defense Program (CIDP), debuta con 11 socios fundadores: Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC y Rockwell Automation.

El paquete incluye acceso a los modelos de vanguardia de Claude, ingenieros de Anthropic desplegados en el campo y la investigación de amenazas de la empresa. El objetivo declarado son los proveedores que defienden OT, no las empresas de servicios públicos directamente.

Por qué OT se convirtió en prioridad

La justificación está en el mismo texto del anuncio: los controladores y redes industriales están diseñados para durar décadas y a menudo no pueden ser apagados para recibir correcciones. Las vulnerabilidades conocidas permanecen abiertas durante años, y un parche mal aplicado puede detener una planta.

Los socios enfatizaron el mensaje. "La tecnología operativa es la próxima frontera para ataques autónomos habilitados por IA", dijo Andrew Turner, de Booz Allen. Daniel Bernard, de CrowdStrike, resumió la tesis comercial: la infraestructura crítica que enfrenta amenazas a velocidad de máquina exige defensa a velocidad de máquina. Dan Gunter, CEO de Insane Cyber, señaló el cuello de botella operativo, el volumen de datos dispersos por subestaciones remotas, plataformas offshore y plantas aisladas de la red, y dijo que "Claude cierra esa brecha".

El anuncio presenta una admisión rara para un lanzamiento. Sobre el Project Glasswing, programa anterior de detección de fallos con socios, Anthropic escribe que "aún no hemos logrado una reducción suficiente del riesgo cibernético". Glasswing fue incorporado al Cyber Verification Program, que amplía el acceso de defensores a los modelos más capaces de la empresa. Anthropic también afirma haber ofrecido modelos y soporte técnico a más de la mitad de los estados americanos, en un programa para gobiernos locales lanzado en junio.

Números del escáner abierto

El segundo componente, el OSS Scanner, ofrece escaneos periódicos y gratuitos a proyectos de código abierto que se inscriban. Según Anthropic, sus modelos encontraron más de 29 mil vulnerabilidades candidatas en grandes proyectos en los últimos seis meses. Aproximadamente 6 mil fueron revisadas manualmente y casi 5 mil informes fueron enviados a los mantenedores.

La diferencia ahora es que los informes llegan sin revisión humana. La empresa estima que la tasa de verdaderos positivos está por encima del 90% y cita una muestra: expertos verificaron 97 hallazgos críticos y de alta severidad en 48 proyectos, y 85 de ellos (88%) alcanzaron el estándar de divulgación coordinada. De los 12 restantes, 11 eran reales pero duplicados o ya conocidos, y uno era un falso positivo. Todd Ouska, de wolfSSL, informó que de 74 informes recibidos, todos menos dos eran válidos y cinco se convirtieron en CVEs.

La propia Anthropic reconoce que los informes generados por modelos pueden traer errores, como severidad mal calibrada, y restringe el servicio a proyectos con estructura para absorber el volumen. Los demás siguen recibiendo divulgaciones verificadas por humanos.

Qué cambia para consultorías y operadores

La lista de socios dice más que el programa. Accenture, Deloitte y PwC entran como integradoras: son ellas las que venden proyectos de OT en energía, agua y manufactura, y pasan a tener en su catálogo un modelo de vanguardia con ingenieros del fabricante en el campo. Harpreet Sidhu, de Accenture, defendió llevar defensa basada en IA a las organizaciones que mantienen funcionando energía, medicamentos, alimentos y comunicaciones. Para un CISO de una empresa de servicios públicos, la consecuencia práctica es que la próxima propuesta de seguridad de OT tenderá a incluir IA en el alcance y en el precio.

En Estados Unidos, donde están Booz Allen, Dragos y Rockwell, el programa encaja en un mercado en el que gobierno y operadores privados ya compran juntos. En Japón, la entrada de Hitachi pesa por otro motivo. Hiroaki Koiwa, de la empresa, dijo que la resiliencia cibernética de la OT que sostiene la infraestructura social es máxima prioridad. La declaración llega en la misma semana en que un ataque de ransomware a la nube de IDC Frontier, subsidiaria de SoftBank, afectó a 495 empresas y gobiernos locales japoneses, según la operadora, entre ellos la provincia de Ibaraki, cuyo sitio salió del aire.

El incidente japonés ocurrió en una nube corporativa, no en OT, pero expone el mismo punto débil que Anthropic dice querer atacar: infraestructura compartida de la cual cientos de organizaciones dependen sin un plan propio de recuperación. Anthropic no informó valores del programa ni el plazo para ampliar la lista de socios, y la eficacia del CIDP solo se hará evidente cuando el primer operador publique cuánto tiempo llevó cerrar una vulnerabilidad que antes permanecía abierta durante años.