La orden de Trump sobre inteligencia artificial exige pruebas voluntarias de modelos fronterizos

Una nueva orden ejecutiva tiene como objetivo agregar combustible al tanque federal de ciberseguridad y preparar al gobierno para los modelos fronterizos de IA Claude Mythos de Antrópicopero la participación del sector privado es voluntaria y el impacto en la práctica aún está por verse.

La orden ejecutiva, que la Casa Blanca dio a conocer esta semana, tiene como objetivo priorizar la ciberseguridad en la administración Trump y alentar al sector privado a compartir modelos de frontera de IA con el gobierno federal para que puedan obtener una vista previa antes de que el modelo se publique públicamente.

El segundo mandato del presidente Donald Trump ha sido conflictivo en la comunidad de la ciberseguridad. A principios del año pasado, la administración ha cerrado efectivamente la Junta de Revisión de Seguridad Cibernéticay siguió con Despidos masivos en CISACentrado en la ciberseguridad Recortes presupuestariosy otras acciones como una retirada del evento de ciberseguridad RSAC Conference.

El nuevo reglamento de aplicación, “Fomentando la innovación avanzada y la seguridad en el campo de la inteligencia artificial” podría revertir este curso. Segundo. 2, Actualización de los sistemas estadounidenses para la IA avanzada, ordena al Comité de Sistemas de Seguridad Nacional y al Secretario de Defensa, Pete Hegseth, que tomen medidas en un plazo de 30 días para «priorizar la ciberdefensa de los sistemas de seguridad nacionales».

Relacionado:Zoom CISO: la IA como factor de seguridad, no como reemplazo de roles

Además, la mayoría de las demás partes interesadas en el ámbito cibernético, incluido el Departamento de Seguridad Nacional (DHS), el Director de la Oficina de Gestión y Presupuesto (OMB), el Asistente del Presidente para Asuntos de Seguridad Nacional y el Director Nacional Cibernético, deben acelerar y priorizar la ciberdefensa de los sistemas de información civil del gobierno federal y establecer o ampliar programas federales y servicios de ciberseguridad para mejorar el uso de las herramientas de defensa de la IA.

La EO también «facilitará el acceso a herramientas y servicios de ciberseguridad, incluidos modelos de límites cubiertos cuando corresponda, para agencias gubernamentales, gobiernos estatales y locales, y operadores de infraestructura crítica como hospitales rurales, bancos comunitarios y servicios públicos locales».

Rob T. Lee, director de IA del Instituto SANS, califica las inversiones prometidas por el gobierno en ciberseguridad, particularmente en infraestructura crítica y comunidades, como «un verdadero bien público».

“Que esa ventaja ayude”, dice Lee, “depende de la implementación, y la implementación significa colaboración entre agencias que construyen el trabajo con el sector privado en lugar de traspasarlo”.

La EO señala una aparente intención de invertir en ciberseguridad, lo que incluye mayores presupuestos y contrataciones. En este último punto, la OMB creará nuevas “vías de colocación” para especialistas en ciberseguridad en el gobierno federal dentro de 60 días.

Relacionado:El mercado asiático de ciberseguros está dando señales de vida

Devin Maguire, gerente senior de marketing de productos de la empresa de seguridad de desarrollo de IA Cycode, dice que la ciberseguridad es una preocupación clave cuando se trata de IA, y Cycode ve la orden ejecutiva «como una señal de que el gobierno reconoce las capacidades cibernéticas de los modelos de IA de vanguardia y los riesgos claros y presentes que plantean».

Un marco “voluntario” para el acceso temprano a la IA

Trump ordenó a las partes relevantes que crearan un nuevo marco voluntario para que los desarrolladores de IA proporcionen al gobierno federal un «acceso temprano seguro» a ciertos modelos fronterizos cubiertos por un conjunto de estándares que también se están desarrollando bajo la orden ejecutiva. Las empresas no están obligadas a participar ni a obtener aprobación previa del gobierno antes de lanzar modelos fronterizos.

Tonya Ugoretz, directora del Instituto de Innovación Cibernética y Privacidad de PwC, le dice a Dark Reading que el proceso de revisión voluntaria brinda la oportunidad de identificar posibles problemas de seguridad antes de la publicación, demostrar un comportamiento responsable y ayudar a dar forma a los estándares para futuras implementaciones de IA.

«También hay una consideración práctica: las empresas quieren relaciones predecibles con los formuladores de políticas y los reguladores, especialmente en un campo en rápida evolución como Frontier AI», dice Ugoretz, quien anteriormente trabajó en el FBI durante más de 20 años. «Aunque el marco es voluntario, espero que haya fuertes incentivos para que participen las empresas que están a la vanguardia del desarrollo de modelos. De lo contrario, los llamados a una regulación obligatoria podrían hacerse más fuertes».

Relacionado:Evolución de la ciberseguridad: cómo pasamos de la defensa perimetral a la seguridad nativa de la IA

Peter Girnus, investigador principal de amenazas de la Iniciativa Día Cero de Trend Micro, observado en un hilo publicado en X que aunque la fase de acceso temprano es técnicamente opcional, las empresas que deciden participar también están pujando por contratos gubernamentales y tratando de evitar la ira de sofisticadas agencias de inteligencia.

El gobierno también establecerá un nuevo Centro de intercambio de información sobre ciberseguridad de IA para actuar como un centro para compartir información relacionada con la remediación de vulnerabilidades relacionadas con la IA y ayudar a identificar y remediar vulnerabilidades de software a escala.

El pedido llega semanas después de la presentación de Anthropic. Claude Mitoun modelo de lenguaje grande (LLM) que supuestamente es capaz de descubrir vulnerabilidades críticas y exploits con poca intervención por parte del apuntador. Esto también lo sigue el Ministerio de Defensa. indicativo aparentemente antrópico un riesgo de la cadena de suministro para la seguridad nacional de Estados Unidos en marzo.

El último componente clave incluye una directiva al Fiscal General para priorizar la aplicación de la ley a «cualquier persona que use IA para acceder ilegalmente o dañar una computadora sin autorización, o que use IA mientras realiza dicho acceso ilegal para promover otro delito».

Daniel Kroese, vicepresidente de políticas públicas y asuntos gubernamentales de Palo Alto Networks, dice a Dark Reading que la regulación en su conjunto «proporcionará un refuerzo muy necesario del sistema contra la amenaza del uso hostil de la IA avanzada».

Cómo afectará la Orden Ejecutiva de IA a los profesionales de la seguridad

Por el lado de los profesionales, Ugoretz dice que si bien la mayoría de las empresas no estarán en el grupo selecto que obtendrá acceso temprano a habilidades de vanguardia, “se beneficiarán de ello”.

«El desafío será garantizar que los equipos de seguridad sean capaces de absorber y responder al flujo esperado de información sobre vulnerabilidades y parches que se espera que distribuya la nueva cámara de compensación del gobierno», explica. «Estos equipos no deberían esperar a que se abra el grifo. Deben actuar ahora para fortalecer las bases de la ciberseguridad, integrar los riesgos de la IA en los procesos de gobernanza existentes, implementar herramientas de IA para el escaneo defensivo y desarrollar la capacidad para responder rápidamente a las vulnerabilidades descubiertas».

Lee, del Instituto SANS, dice que la orden ejecutiva es un viento de cola para el trabajo de la comunidad de seguridad desde abril y no reemplaza el programa que un equipo de seguridad debe ejecutar solo. El impacto depende de dónde se encuentran las organizaciones en el nivel de acceso del modelo de IA.

«Si te conviertes en un socio confiable, obtienes parches coordinados temprano. Si no lo haces, planificas el ritmo de lanzamiento, lo que en la práctica significa que los parches llegan en grupos de múltiples proveedores al mismo tiempo. La limitación ahora es la verificación y la capacidad de entregar correcciones, no principalmente encontrar los errores», afirma. “El trabajo básico es el mismo que durante la semana. el papel mito salió: Apunte a los agentes de IA a su propio código, integre herramientas de IA en sus operaciones de defensa, fortalezca las bases, acelere la adquisición de tecnología de defensa y reescriba los manuales de respuesta a incidentes para el día en que lleguen múltiples parches críticos en la misma mañana”.