Fable, de Anthropic, es demasiado estricta para la ciberseguridad

Investigadores y especialistas en seguridad de la información expresan un serio malestar con Fable, el nuevo modelo de Anthropic, lanzado de forma pública. El problema no es el modelo en sí, que es realmente potente y capaz, sino sus mecanismos de protección. Los guardrails son tan estrictos que ni siquiera los profesionales pueden usar Fable para tareas totalmente legales de defensa y análisis de sistemas.

Demasiadas prohibiciones para un trabajo necesario

Fable es una nueva generación de modelo de lenguaje potente, creada a partir de investigación avanzada de Anthropic. La compañía incorporó deliberadamente numerosas restricciones para evitar posibles abusos y usos con fines maliciosos. Sin embargo, los guardrails resultaron tan rígidos y conservadores que bloquean no solo las peticiones peligrosas, sino también investigaciones totalmente legítimas.

Especialistas de universidades, grandes empresas de seguridad de la información y departamentos corporativos cuentan que no pueden pedirle al modelo ayuda ni siquiera con tareas básicas: analizar vulnerabilidades en código, diseñar estrategias de defensa de infraestructuras o debatir métodos de ciberdefensa. Prácticamente cualquier petición que contenga palabras clave como "exploit", "vulnerability", "attack", "breach" o "malware" se rechaza automáticamente.

La lista de operaciones bloqueadas que los profesionales necesitan para trabajar incluye:

• Investigación de vulnerabilidades en sistemas y aplicaciones
• Pruebas de resistencia de las defensas de redes corporativas
• Análisis de métodos de ciberataques conocidos para desarrollar defensas
• Creación de herramientas defensivas y scripts de seguridad
• Consultoría profesional en seguridad de la información

Un dilema clásico: protección frente a utilidad

El problema al que se enfrenta Anthropic es real y complejo. Por un lado, es de vital importancia que las empresas que desarrollan modelos de lenguaje protejan sus sistemas de quienes los usan con fines maliciosos: desarrollo de malware, organización de ataques a infraestructuras, descifrado de contraseñas e ingeniería social. Por otro, los profesionales de la ciberseguridad (defensores de sistemas, investigadores de seguridad, pentesters) necesitan acceso a herramientas modernas y potentes. Usan la IA para analizar grandes volúmenes de código, buscar patrones de ataque y desarrollar estrategias de defensa.

"No se pueden defender sistemas si no tienes acceso a herramientas para analizar amenazas reales y actuales", dicen los investigadores en debates en

Twitter y en foros especializados de la comunidad de ciberseguridad.

Anthropic se topó con el dilema clásico de los modelos abiertos: ¿cómo abrir un sistema potente a investigadores legítimos sin ponerlo en manos de personas con intenciones criminales? La compañía eligió un enfoque conservador: bloquear por defecto casi todo lo relacionado con la seguridad. En teoría es lo más seguro posible; en la práctica, es de una utilidad mínima.

Qué soluciones ven los expertos

Algunos especialistas conocidos proponen enfoques más flexibles. El modelo podría exigir una verificación adicional para tareas de seguridad: comprobación de credenciales profesionales, documentación de la pertenencia a una organización acreditada y un proceso de revisión antes del uso. Otros sugieren crear una versión de Fable específica para especialistas en ciberseguridad, con guardrails más laxos, pero con condiciones de uso adecuadas y monitorización constante.

Qué significa para la industria

La polémica sobre los guardrails de Fable refleja un problema más amplio de toda la industria de la IA. Las empresas deben encontrar un equilibrio entre la protección frente al abuso y la utilidad de los modelos para usos legítimos. Unas restricciones demasiado estrictas alejan a los expertos que podrían ayudar a detectar problemas y mejorar la seguridad. Esto puede llevar a que los profesionales simplemente usen otras herramientas, fragmentando el ecosistema de seguridad en lugar de fortalecerlo.