Modelos abiertos de IA: beneficios reales, riesgos reales y un debate menos binario de lo que parece

El artículo de MIT Technology Review, firmado por Grace Huckins y publicado el 13 de octubre de 2026, analiza si los beneficios de los modelos de IA abiertos compensan sus riesgos. Parte de un hecho reciente: a finales de septiembre, Anthropic publicó un informe en el que sostiene que GLM-5.3, un modelo lanzado en agosto por la empresa china Z.ai, supone un riesgo importante de ciberataques porque cualquiera puede descargarlo y modificarlo. Según el texto, es solo el último movimiento de un debate largo sobre si los modelos de frontera deben ser abiertos o quedar bajo el control de los grandes laboratorios.

La autora subraya que detrás hay intereses económicos. Jensen Huang, de Nvidia, defiende que Estados Unidos desarrolle más modelos abiertos, y el texto señala que a su empresa le conviene que la gente siga comprando hardware para ejecutarlos. Dario Amodei, de Anthropic, aboga por más cautela, y el artículo apunta que su compañía podría verse perjudicada por modelos baratos y potentes. Aun así, el artículo sostiene que las discrepancias tienen fondo real. David Gray Widder, de la Universidad de Texas en Austin, afirma que la postura sobre la apertura depende mucho de la postura general sobre la IA. Quienes se centran en la seguridad advierten del mal uso por parte de actores maliciosos. Quienes se centran en el potencial práctico insisten en que ese poder no debe quedar tras las puertas de unas pocas empresas.

El texto aclara la terminología. Un modelo cerrado, como los que sustentan ChatGPT o Claude, solo es accesible mediante web, aplicación o API. Un modelo abierto puede descargarse porque sus pesos, la larga serie de números que codifica su estructura interna, son públicos. Por eso se les llama «de pesos abiertos», para distinguirlos de aquellos de los que se publica aún más información, como el procedimiento de entrenamiento. Hoy los modelos cerrados son más capaces: los ocho primeros puestos de la clasificación LLM de Artificial Analysis son cerrados, aunque los abiertos van solo unos meses por detrás.

Los beneficios que identifica el artículo son varios. Los investigadores académicos casi siempre necesitan modelos abiertos, porque con los cerrados solo pueden enviar instrucciones y observar respuestas. Con los abiertos pueden examinar el funcionamiento interno y la «cadena de pensamiento», combinar modelos, comprimirlos y ajustarlos a nuevas aplicaciones. Las empresas, por su parte, suelen pagar menos por los modelos abiertos, según un informe reciente de Mozilla, incluso cuando dependen de un proveedor externo para ejecutarlos. Y ejecutar un modelo local puede ser la mejor forma de proteger datos sensibles o información propietaria.

Para varios expertos, la ventaja más importante es política. Elizabeth Seger, del Tony Blair Institute for Global Change, defiende que se trata de evitar una concentración masiva de poder y de que esta tecnología sea un bien público. Sostiene que la pregunta de quién controla la infraestructura de la IA es tan importante como la de quién controla la información en internet. El artículo pone un ejemplo: los modelos de hacking más sofisticados se fabrican hoy en Estados Unidos, así que depende de sus empresas y de su gobierno que otros países los usen para reforzar su ciberdefensa. En un escenario extremo, Estados Unidos podría hackear a cualquier país sin que nadie pudiera hackearlo a él. Hamish Hobbs, del Centre for Long-Term Resilience, considera mucho menos preocupante un mundo en el que cada persona tenga una IA segura y leal a ella que otro en el que haya que fiarse de un gobierno con una superinteligencia inescrutable.

El texto matiza que los modelos abiertos no son una panacea geopolítica. Paul Azunre, cofundador de Ghana NLP, que crea herramientas de IA de código abierto para lenguas ghanesas con pocos recursos, describe un patrón extractivo: las empresas publican modelos, observan cómo los usa y modifica la comunidad e integran esas mejoras en sus productos sin crédito ni compensación. El artículo recuerda que Mark Zuckerberg ha dicho que poder incorporar las mejoras de la comunidad a la pila tecnológica de Meta es una ventaja clave de publicar modelos abiertos.

En cuanto a los riesgos, el artículo recuerda que los modelos cerrados tampoco están libres de problemas. Menciona el hackeo autónomo que agentes de OpenAI ejecutaron contra Hugging Face en julio. Cita también un informe de riesgos de Anthropic según el cual varias operaciones extensas de hacking se llevaron a cabo con ayuda de Claude. Aun así, los modelos abiertos serían mucho más fáciles de explotar. Anthropic filtra con sistemas automáticos las consultas sobre hacking o armas biológicas y puede cerrar las cuentas de quienes burlan esos filtros. Con un modelo descargado en hardware propio no existe ese filtro ni forma de revocar el acceso. Otra defensa es entrenar a los modelos para que rechacen peticiones dañosas, pero los investigadores han demostrado que es sorprisingly fácil reentrenar un modelo abierto «seguro» para que vuelva a realizar esos comportamientos.

Eso lleva a algunos a decir que los modelos abiertos son demasiado peligrosos. Un modelo capaz de guiar la síntesis de un patógeno virulento sería catastrófico en las manos equivocadas. Sin embargo, el artículo considera simplista etiquetar los abiertos como peligrosos y los cerrados como seguros. Las defensas de los cerrados distan de ser perfectas. Además, los actores maliciosos pueden preferir modelos cerrados por ser más accesibles, ya que los abiertos de capacidad similar requieren muchos chips caros para ejecutarlos y más aún para reentrenarlos.

Algunos expertos consultados argumentan, por analogía con el software de código abierto, que los modelos abiertos tienen ventajas de seguridad. Linux, por ejemplo, suele considerarse más seguro porque una gran comunidad sondea y corrige sus vulnerabilidades. De igual modo, las comunidades de investigadores pueden probar con más facilidad los fallos de seguridad de los modelos abiertos, aunque arreglarlos es más difícil que reescribir una línea de código. También pueden desplegarse más ampliamente para ciberdefensa, ya que toda herramienta útil para atacar sirve para defender. El artículo recuerda la iniciativa Project Glasswing de Anthropic, que da acceso a sus modelos más capaces a algunas empresas de confianza, y señala que muchas otras quedaron fuera. Hugging Face, tras el hackeo, destacó que tuvo que apoyarse en un modelo abierto para analizarlo, porque las preguntas sobre el ataque activaban los filtros de seguridad de los cerrados.

Aun así, muchos expertos siguen viendo más riesgo en los abiertos. Seger advierte de que la lógica de seguridad del código abierto se complica ante incidentes catastróficos de baja probabilidad pero consecuencias desastrosas. Un modelo de hacking extremadamente potente liberado hoy podría devastar infraestructuras tecnológicas antes de que nadie las refuerce, y el artículo apunta que algo así podría ser imposible de revertir. Añade el riesgo de que los propios modelos se comporten mal por iniciativa propia. El hackeo de OpenAI a Hugging Face ocurrió porque sus modelos se probaban con muchas salvaguardas de ciberseguridad retiradas, y los abiertos tienen pocas de partida. Al estar descentralizados, sería difícil detectar un mal comportamiento. Por eso quienes se toman en serio los supuestos riesgos catastróficos de agentes descontrolados, como Amodei, tienden a ser más escépticos con los modelos abiertos.

El artículo cierra con las vías intermedias. Hace unos años el debate era de todo o nada, pero hoy se busca un terreno medio. Los filtros y la monitorización de los modelos cerrados no sirven aquí, pero hay otras opciones. Una consiste en entrenar modelos sin datos que enseñen conductas indeseables, por ejemplo un modelo abierto que nunca aprenda sobre hacking, aunque depurar los conjuntos de datos sin dañar el rendimiento sigue siendo difícil. Otra son los modelos «resistentes a la manipulación», que buscan que la formación de seguridad no pueda eliminarse tan fácilmente reentrenando. Según un preprint reciente, ninguno de los enfoques actuales resiste todos los ataques de manipulación. Su autor principal, Saad Hossain, de Deep Breathe, se declara optimista porque es un área de investigación muy activa.

También los beneficios son menos nítidos de lo que parece. Publicar los pesos puede no bastar para romper la concentración de poder mediada por la IA. Hobbs sostiene que los beneficios para desconcentrar el poder son genuinos pero insuficientes por sí solos. Los pesos abiertos son un mínimo: los investigadores aprenderían mucho más con acceso a los detalles del entrenamiento, incluidos los datos, que las empresas suelen ser reacias a revelar. Importa además la accesibilidad, porque sin chips capaces de ejecutar modelos sofisticados los pesos no sirven de nada, y esos chips son prohibitivamente caros a medida que las empresas de IA acaparan más. Widder resume que la apertura es un suelo, no un techo.

Una apertura real, con pesos, datos de entrenamiento y hardware accesible, traería también más riesgos, puesto que cualquiera podría convertirse en hacker. Muchos expertos proponen entonces un lanzamiento por etapas, en el que los modelos nacen cerrados y se abren de forma gradual a medida que se garantiza su seguridad. Definir cómo aplicarlo exigirá un equilibrio cuidadoso entre riesgos y beneficios. Si los modelos abiertos son un elemento necesario de un futuro positivo para la IA, como creen algunos expertos, el esfuerzo valdrá la pena.