Desafío al modelo “humano en el circuito” en IA: debate abierto en el RSAC 2026

Introducción

El concepto de “humano en el circuito” (“human in the loop”, HITL) en la implementación de Inteligencia Artificial ha sido uno de los pilares de los modelos de seguridad y gobernanza en IA durante la última década. Sin embargo, en el marco de la RSA Conference 2026 (RSAC), un panel de ejecutivos de seguridad ha puesto en entredicho la viabilidad y eficacia de este enfoque en la protección frente a amenazas cibernéticas avanzadas. El debate surge en un contexto de acelerada adopción de sistemas de IA generativa y autónoma en entornos críticos, donde la escalabilidad y la velocidad de respuesta se convierten en factores determinantes.

Contexto del Incidente o Vulnerabilidad

La discusión se enmarca en el creciente uso de IA en operaciones de ciberseguridad, especialmente para la detección, respuesta y mitigación automática de incidentes. En la actualidad, la mayoría de frameworks de IA implementan un modelo HITL: algoritmos y modelos proponen acciones, pero la validación y decisión final recae en un operador humano. Esta práctica, ampliamente recomendada por los estándares de la industria y regulaciones como el GDPR y la próxima directiva NIS2, pretende garantizar la supervisión, auditabilidad y control frente a sesgos algorítmicos.

Sin embargo, con la sofisticación de los ataques (APT, ransomware polimórfico, zero-days) y el incremento del volumen de alertas (más de un 30% de incremento anual según Gartner), el modelo HITL se enfrenta a limitaciones operativas: lentitud de respuesta, fatiga de alertas y falta de escalabilidad. Los panelistas del RSAC 2026 han puesto sobre la mesa si el “humano en el circuito” es todavía una garantía de seguridad o, por el contrario, un cuello de botella que puede ser explotado por los atacantes.

Detalles Técnicos

Durante el panel se analizaron casos recientes en los que la dependencia de la aprobación humana ha supuesto una ventana de oportunidad para los adversarios. Entre los TTPs (Tácticas, Técnicas y Procedimientos) destacados, se señaló cómo los grupos de amenazas persistentes avanzadas (APT) aprovechan los retardos en la toma de decisiones humanas para pivotar lateralmente y escalar privilegios antes de la contención. Frameworks como MITRE ATT&CK han categorizado técnicas como T1078 (Valid Accounts) y T1566 (Phishing) que, combinadas con automatismos ofensivos (uso de herramientas como Cobalt Strike, Metasploit o incluso LLMs ofensivos), desbordan la capacidad de los analistas SOC.

En cuanto a vulnerabilidades específicas, se citaron incidentes recientes relacionados con la explotación de modelos de IA para la generación de alertas falsas (alert flooding) y evasión de sistemas EDR/XDR, en plataformas como Microsoft Defender for Endpoint y CrowdStrike Falcon (versiones hasta Q1 2026). Los indicadores de compromiso (IoCs) identificados incluían patrones de tráfico de red anómalo, uso de cuentas de servicio automatizadas y scripts PowerShell generados mediante IA.

Impacto y Riesgos

El impacto de mantener un modelo HITL rígido se traduce en tiempos medios de respuesta (MTTR) superiores a las 6 horas, según datos presentados en el RSAC. Para ataques automatizados, especialmente los que emplean IA generativa para la creación de malware o spear phishing personalizado, este retraso resulta crítico: el 68% de las brechas en 2025 involucraron explotación de ventanas de decisión humana, con pérdidas económicas globales superiores a 12.000 millones de dólares.

Además, la falta de escalabilidad afecta directamente a la eficacia de los SOC híbridos y los MSSP, incapaces de gestionar picos de incidentes sin incrementar plantilla, lo que supone un sobrecoste y mayor riesgo de error humano. Desde la perspectiva de cumplimiento, la trazabilidad de las decisiones automatizadas se convierte en un reto, especialmente bajo marcos regulatorios como NIS2, que exigen justificación documental de los procesos de respuesta.

Medidas de Mitigación y Recomendaciones

Los expertos del panel recomendaron la transición hacia modelos de “human on the loop” o incluso “human out of the loop” en determinados contextos de alta criticidad y velocidad, siempre que se implementen medidas robustas de auditoría y reversibilidad de acciones. Se enfatizó la necesidad de:

– Desplegar sistemas de IA con capacidades de explainability (XAI) para justificar cada decisión automatizada.
– Integrar motores de orquestación y respuesta (SOAR) que permitan el rollback inmediato ante acciones erróneas.
– Definir políticas de segmentación de decisiones: automatización total en incidentes de baja criticidad y supervisión humana en casos de impacto elevado o indefinición contextual.
– Establecer playbooks actualizados y entrenar al personal en la supervisión de sistemas autónomos.

Opinión de Expertos

CISOs de empresas Fortune 500 y responsables de equipos Blue Team presentes en el panel coincidieron en que la automatización avanzada es inevitable, pero recalcaron la importancia de un enfoque “risk-based”. Como señaló Marta González, CISO de una multinacional europea de telecomunicaciones: “La clave no es eliminar el factor humano, sino redefinir su rol: de operador a supervisor estratégico, con foco en la gestión de excepciones y validación de la IA”.

Implicaciones para Empresas y Usuarios

Para empresas, la transición implica inversiones en plataformas de IA explicables, formación de equipos multidisciplinares y revisión de políticas de gobierno de datos. Los usuarios finales, por su parte, deben ser informados de los cambios en los procesos de toma de decisiones automatizadas y sus derechos en materia de explicación y reclamación, especialmente bajo el GDPR y la inminente regulación AI Act europea.

Conclusiones

El debate en el RSAC 2026 marca un punto de inflexión en la estrategia de ciberseguridad basada en IA. El modelo “humano en el circuito” ya no es una garantía absoluta de seguridad, y su rigidez puede ser una debilidad ante ataques automatizados. El futuro pasa por la automatización responsable, la transparencia algorítmica y la redefinición del papel humano en la defensa digital.

(Fuente: www.darkreading.com)