Octubre de 2026. En el mundo de la tecnología lo llamamos Black October, el octubre negro.
Por primera vez en la historia de los ordenadores y de Internet, en menos de un mes hemos tenido alrededor de una docena de grandes ciberincidentes, filtraciones y vulnerabilidades graves, varias de ellas atribuidas a la IA. Me he pasado buena parte del mes parcheando mis propios servidores.
Los fallos de este calibre —del tipo de Heartbleed o Log4Shell, los que tumban medio Internet— solían aparecer una o dos veces al año. No una docena en un solo mes.
Para mí, esto revela tres hechos interesantes:
- Algunos LLM han llegado a programar mejor que la inmensa mayoría de los programadores humanos en muchas tareas. Quizá incluso estemos ante la singularidad.
- La mayoría de los programadores más avanzados están en el hemisferio norte, en sitios como EE. UU., China, Rusia y Europa (y se cogen largas vacaciones de verano 😉).
- El ciberespacio —Internet— tal y como lo conocemos está cambiando de formas difíciles de prever ahora mismo.
I am not Wintermute now. So what are you? I’m the matrix, Case.
Es curioso, desde luego, que el panorama de la IA no diera ningún salto real durante el verano —solo avances constantes e incrementales— y luego explotara en otoño. Los modelos siguieron mejorando, en silencio y sin parar, durante todos esos meses; y cuando programadores y hackers volvieron de su descanso, se encontraron con que sus herramientas habían subido a un nivel completamente nuevo.
Yo no presté mucha atención a la IA hasta octubre de 2025, hace un año. Antes de eso, poco más que alguna charla divertida de vez en cuando con ChatGPT, que tomaba por una curiosidad. Me parecía una versión moderna de mi querido Wolfram Alpha con esteroides.
Pero a la vuelta de las vacaciones de 2025 (¿ves la conexión?) decidí que, como ingeniero de sistemas, debía prestarle atención de verdad y averiguar de qué iba todo aquello. Así que se puede decir que llegué tarde. Nunca he sido partidario de subcontratar mi forma de razonar.
La realidad, para quien se haya sumado hace poco a esta revolución, es que aunque herramientas avanzadas como Claude Code estaban disponibles desde mayo de 2025, los modelos que había debajo no fueron realmente útiles hasta, más o menos, enero de 2026. Hasta entonces, solo un grupo muy pequeño de programadores hacía con la IA algo más que programar a través de las aplicaciones de chat web: copiando, pegando y depurando el código a mano.
Y entonces, en febrero, llegó OpenClaw.
De repente, lo que había sido una simple ayuda se convirtió de la noche a la mañana en un auténtico ayudante. ¿Un ser? Los que lo instalábamos y lo usábamos a duras penas descubrimos que nuestro ritmo de programación y nuestra productividad se habían multiplicado por mil. Los modelos ya no se limitaban a responder preguntas y peticiones: actuaban por su cuenta, como agentes. Eso ampliaba nuestro alcance mucho más allá del tiempo que pasamos delante de la pantalla; era algo más parecido a lo ubicuo, 24/7.
Y luego, todo explotó. Los modelos se volvieron realmente listos y útiles. Planificaban, desarrollaban, programaban, depuraban y lo terminaban todo ellos solos, en minutos, bajo tu supervisión. Una aplicación a medida completa, que a un equipo de siete programadores sénior le habría llevado entre seis y doce meses y habría costado 200.000 dólares, podía terminarla ahora un solo programador competente en cuestión de días.
¡Dios mío, está lleno de estrellas!
Tardamos un tiempo en asimilar cuánto poder teníamos ahora en las manos.
Construí un proveedor de nube de IA completo y autoalojado, Uttera, en menos de dos semanas, solo en mis ratos libres. La idea llevaba tiempo en mi cabeza, pero me parecía muy por encima de mis capacidades y del compromiso que estaba dispuesto a asumir. Sin embargo, en cuanto empecé a trastear con modelos locales y hardware de IA —soy defensor de los servicios autoalojados y de la independencia de la nube—, conseguí montar la primera versión en días, y me di cuenta de que el trabajo que había hecho en interfaces de voz para modelos locales podía tener un valor real para otros desarrolladores.
Pero esta velocidad de desarrollo tiene sus inconvenientes. Con las prisas por ganar la carrera y no quedarse atrás en la ola, se introducen fallos y se abren agujeros para los exploits.
Algunos usaron ese poder para encontrar problemas y parchearlos para la comunidad; otros, en su propio beneficio.
Y, si somos sinceros, la mayoría tenemos un pie en cada bando. El problema —y la tentación— es la aritmética: parchear requiere un comité y una ventana de mantenimiento; explotar requiere un buen prompt y una oportunidad.
De ahí la situación actual, y el octubre negro. Se encuentran agujeros, se crean exploits, se amplían botnets y se asaltan sistemas a un ritmo nunca visto. Y la gente tiene miedo. Y se están proponiendo límites al desarrollo de la IA.
Los luditas ya lo intentaron con la máquina de vapor y la Revolución Industrial, y más recientemente el gobierno de EE. UU. con la prohibición de exportar PGP. No funciona.
No seamos tontos esta vez.
La nueva realidad ha llegado para quedarse, porque se alimenta de la pereza natural de la humanidad. Pero para quien reconozca el cambio de paradigma y lo abrace, abre un universo de nuevas oportunidades.
¡Es un mundo feliz!
Nota del autor. Este post se escribió originalmente en inglés. Un Mundo Feliz es el título con el que se publicó en español la novela de Aldous Huxley Brave New World (1932). La traducción literal, algo como «valiente nuevo mundo», no funciona en castellano: Huxley tomó la expresión de La tempestad de Shakespeare, donde Miranda exclama «O brave new world», y ahí brave no significa «valiente», sino «espléndido, admirable». El título en español optó por subrayar otra cosa: la felicidad inducida con la que se mantiene la paz social en una sociedad dividida en castas. El original, en cambio, habla de un mundo nuevo que rompe con todo lo anterior, y ese es el sentido que me interesa en este post.
Actualización — 30 de octubre de 2026. Al día siguiente de escribir esto, la realidad me dio la razón. Salió a la luz un use-after-free crítico en el handshake TCP del kernel de Linux —CVE-2026-98432, con una puntuación de 9,8, explotable en remoto y sin autenticación, y presente en el código desde 2016—. Lo llamativo no fue el fallo, sino quién lo encontró: Anthropic informó de que uno de sus propios modelos aún no publicados había escrito un exploit funcional sin interacción del usuario y había obtenido root en remoto. Mis propios servidores ejecutan un kernel afectado, y todavía no ha salido uno corregido. ¡Un mundo feliz, desde luego!