Manifiesto de Backdoor

Backdoor es una iniciativa de seguridad ofensiva para el software crítico de Latinoamérica: sistemas de pago, control de redes eléctricas y de agua, telecomunicaciones y registros clínicos.

Usamos agentes de IA para atacar estos sistemas como lo haría un atacante, con autorización de sus responsables, y especialistas que confirman cada resultado. El objetivo es que cada vulnerabilidad se encuentre y se corrija antes de que alguien la explote.

Los mismos modelos que escriben código también lo leen en busca de errores. Hoy, una persona con acceso a un modelo de IA puede revisar un sistema expuesto, encadenar fallas y armar un exploit funcional en horas; antes, ese trabajo exigía un equipo especializado y semanas.

Ese cambio golpea primero donde la defensa es más débil. En la región, buena parte del software crítico es antiguo, depende de proveedores que ya no lo mantienen y nunca ha sido auditado a fondo. Los equipos de seguridad son pequeños y las auditorías, caras y esporádicas.

Los incidentes ya ocurrieron sin IA: en 2018, el Banco de Chile registró transferencias fraudulentas al extranjero a través de la red SWIFT, y ese mismo año varios bancos mexicanos sufrieron desvíos de fondos por sus conexiones al sistema de pagos interbancario. Con atacantes asistidos por IA, la pregunta ya no es si algo así se repetirá, sino cuán pronto.

Cuando atacar se vuelve barato, defenderse una vez al año deja de alcanzar.

Un sistema crítico no es una sola pieza: es un conjunto de servicios, dependencias, configuraciones y proveedores que cambia cada semana. Las vulnerabilidades rara vez están donde alguien miró con cuidado; aparecen en los bordes, entre un componente y otro, entre una versión y la siguiente.

Por eso, corregir una falla no protege de la próxima. Cada despliegue, cada dependencia actualizada y cada servicio nuevo abren superficie que el último informe no cubre.

Una auditoría anual es una foto de un sistema que no deja de moverse. Hace falta mirarlo de forma continua.

Un sistema que nadie ha intentado romper no es seguro: simplemente no ha sido probado. Backdoor parte desde afuera, como un atacante, sin integraciones ni acceso a los sistemas, sobre la superficie pública de los dominios que la organización ha verificado como propios.

Un agente adaptativo recorre esa superficie, prueba cada ruta de entrada y encadena hallazgos hasta llevar el sistema a su punto de quiebre. Cuando la organización lo autoriza, el análisis se extiende a su código fuente, sus binarios y sus dependencias.

Ningún resultado se informa sin ser reproducido por un especialista. Cada vulnerabilidad confirmada llega a su responsable con la evidencia, su impacto en el negocio y una propuesta de corrección; un nuevo escaneo verifica el cierre una vez desplegada.

Las pruebas se realizan solo con autorización expresa de la organización responsable de cada sistema, y sus resultados son confidenciales.

Defenderse de atacantes que usan IA exige atacar primero con la misma herramienta. La capacidad que hoy abarata los ataques es la que permite adelantarse a ellos cuando la usa quien defiende.

Cada falla que encontramos antes que un atacante deja de ser un secreto a su favor y pasa a ser una corrección. Cada patrón nuevo se convierte en una prueba más del ciclo. Cuanto antes se encuentra una falla, más corta es la ventana para explotarla.

Durante los próximos meses, Backdoor trabajará con un grupo inicial de organizaciones que operan o mantienen software crítico en la región.

A partir de este trabajo se elaborarán recomendaciones en las siguientes materias:

• Gestión de vulnerabilidades

  Procesos internos de reporte, priorización y seguimiento de correcciones.

• Software heredado

  Corrección de sistemas antiguos sin interrupción de su operación.

• Dependencias

  Inventario y mantenimiento de componentes abiertos y de terceros.

• Proveedores

  Requisitos de corrección, soporte y transparencia para proveedores de software crítico.

Backdoor está abierto a la colaboración con equipos de seguridad, investigadores y organizaciones de la región.