Lambert: prohibir los pesos abiertos obligaría a prohibir también las API de los modelos de frontera

Nathan Lambert, autor del boletín Interconnects, afirma que la discusión sobre prohibir los modelos de pesos abiertos parte de una premisa errónea. Según su estimación, la mayoría de los ataques documentados con participación de IA se ha llevado a cabo, por ahora, a través de modelos cerrados. El motivo del análisis es el informe de Anthropic sobre el modelo chino GLM-5.3. Lambert considera que ese informe esquiva la pregunta principal. Su conclusión es contundente: quien quiera prohibir los pesos abiertos por razones de seguridad debe estar dispuesto a prohibir también las API públicas de los modelos de frontera.

Dónde se rompe el argumento a favor de la prohibición

La lógica habitual de quienes defienden las restricciones es sencilla. Los pesos abiertos no se pueden retirar, se pueden ajustar con fine-tuning y despojar de sus mecanismos de protección, así que son más peligrosos. Lambert lo rebate: el cuadro empírico es distinto. Los incidentes reales que se han podido documentar están vinculados con más frecuencia a sistemas cerrados.

La razón, según todo indica, es prosaica. Un atacante no necesita un clúster propio si un modelo potente se vende por API a cambio de dinero. El acceso cerrado es más barato, más rápido y no exige conocimientos de ingeniería. Los filtros del proveedor se pueden sortear ajustando las consultas o con cuentas robadas, y esto ya ocurre.

De ahí la simetría sobre la que se apoya toda la postura del autor. Si el criterio de prohibición es que «el modelo puede ayudar en un ataque», afecta por igual a los pesos y a la API. Prohibir lo uno y dejar lo otro equivale a proteger un modelo de negocio concreto, no la seguridad.

Qué falla en el informe sobre GLM-5.3

Según la descripción de Lambert, el informe de Anthropic recoge las capacidades del modelo chino, pero no responde a la pregunta clave: cuánto riesgo añaden específicamente los pesos abiertos en comparación con lo que un atacante ya obtiene a través de las API cerradas. Sin esa línea base, ninguna cifra sobre capacidades «peligrosas» dice nada sobre la utilidad de una prohibición. Un modelo puede escribir exploits con soltura, pero si los sistemas de frontera de pago hacen lo mismo, prohibir los pesos no cambia nada.

También hay una cuestión de intereses. Anthropic lanza modelos cerrados, y el argumento contra los pesos abiertos coincide con su posición comercial. Eso no significa que las conclusiones sean erróneas. Pero precisamente por eso la metodología debe ser transparente y la comparación con los equivalentes cerrados, obligatoria.

El factor chino

La tercera parte del argumento se refiere a los laboratorios chinos. Evalúan los riesgos a su manera y deciden publicar los pesos según su propio marco. Una prohibición en Estados Unidos o en la UE no anulará los lanzamientos fuera de esas jurisdicciones. Los pesos que se publican una vez en la red siguen al alcance de todos, incluidos aquellos a quienes la prohibición pretendía frenar.

Tesis clave del análisis:

• la mayoría de los ataques documentados con IA ha pasado, por ahora, por modelos cerrados;
• el informe de Anthropic sobre GLM-5.3 no compara el riesgo de los pesos abiertos con el de las API cerradas;
• los laboratorios chinos usan su propio marco de evaluación de amenazas;
• una prohibición coherente de los pesos abiertos debería extenderse también a las API públicas de los modelos de frontera.

Qué deben comprobar los equipos y los reguladores

Para los reguladores, la conclusión es práctica: conviene leer cualquier informe sobre ciberriesgos de un modelo con una pregunta sobre la línea base. ¿Qué podía hacer un atacante sin este modelo y qué hace con él? Sin respuesta a esa pregunta, las conclusiones no sirven como fundamento de una ley.

A las empresas que construyen productos sobre pesos abiertos les conviene tener un plan alternativo. El riesgo de restricciones existe, y depender de un único modelo, sobre todo de origen chino, puede convertirse en un problema de compliance. Guardar copias de los pesos y probar un reemplazo con antelación sale más barato que migrar de urgencia.

Los equipos de seguridad se llevan una lección más importante: hay que monitorizar también las API cerradas. Si los ataques reales pasan por ellas, el control del abuso, la verificación de clientes y el análisis de consultas anómalas aportan más que la polémica sobre las licencias.