El ciberataque a los super franceses puede ser una advertencia general

En la noche del domingo 11 de octubre de 2026, mientras buena parte de Francia dormía, los sistemas de refrigeración de cientos de supermercados empezaron a fallar. Las temperaturas ascendieron hasta los 50 grados Celsius y se mantuvieron así durante seis horas. Hubo incendios. Hubo toneladas de alimentos desechadas. Y hubo una pregunta que, pocas horas después, ya circulaba entre especialistas: ¿se trató de un hecho aislado o de un anticipo de algo que vendrá?

Lo ocurrido en Francia:

Según datos de las agencias AFP y Reuters, el ataque afectó a entre 150 y 200 tiendas de Intermarché, del grupo Les Mousquetaires, y a al menos un centenar de supermercados de Coopérative U. Medios franceses indicaron que otras cadenas podrían haber resultado alcanzadas. El director general de Coopérative U calificó el hecho como de una gravedad extrema y sin precedentes. Les Mousquetaires informó que los equipos de sus tiendas llegaron a 50 grados durante seis horas y que descartó toda la mercadería para evitar riesgos sanitarios.

La fiscalía de París abrió una investigación por un ciberataque de gran escala contra refrigeradores conectados, a cargo de la Oficina Anticibercriminalidad. El primer ministro, Sébastien Lecornu, encomendó además a la agencia nacional de seguridad informática (ANSSI) que investigara, y el Gobierno informó que coordinaba con sus pares europeos porque otros países podrían estar afectados.

Dos datos técnicos ordenan el caso: El blanco habrían sido sistemas de regulación frigorífica del fabricante danés Danfoss y los atacantes habrían activado a distancia el ciclo de descongelamiento. La propia Danfoss declaró que las unidades afectadas utilizaban firmware obsoleto, y que desde hacía tiempo aconsejaba a sus clientes mantener actualizados los sistemas o migrar a soluciones más recientes.

Lo que sucedía en paralelo: las Empresas de IA y sus CEO’s ya estaban aventurando

“Gusanos digitales” Anthropic, 12 de octubre de 2026. El Frontier Red Team de la compañía publicó el informe “AI models may be capable of self-replicating without access to a datacenter”, firmado por William Zhou y Daniel Freeman. 

Su tesis plantea que los modelos de IA pequeños podrían estar a meses de poder replicarse por sí solos en dispositivos conectados de bajo costo, como cajas de Android TV u hornos inteligentes, sin necesidad de un centro de datos.

El documento distingue con rigor lo probado de lo hipotético. Los autores aclaran que no existe aún un replicador autónomo completo ni registro de gusanos de IA en el mundo real. Descomponen la replicación en cuatro etapas (encontrar objetivos, ganar acceso, instalar el modelo en el equipo y continuar la propagación) y se concentran en la tercera, la menos estudiada.

Los resultados de laboratorio son los siguientes:

Según una extrapolación de tendencia, los modelos pequeños alcanzarían ese nivel hacia fines de 2026. Los propios autores la describen como una estimación aproximada.

El informe estima una replicación lenta, con tiempos de duplicación de días, y difícil de detener porque no habría un punto central que apagar. 

La respuesta que propone el documento es concreta: detectar el tráfico anómalo, poner en cuarentena los equipos comprometidos avisando al usuario y eliminar las contraseñas por defecto.

“Ola de ciberataques” Sam Altman, octubre de 2026. En una entrevista con Vanity Fair difundida entre el 5 y el 6 de octubre, el CEO de OpenAI advirtió sobre una ola gigante de problemas de ciberseguridad provenientes de modelos de código abierto y afirmó que, como sociedad, habría que aceptar incidentes cibernéticos graves a cambio de las libertades que esos modelos traen. Rechazó, al mismo tiempo, concentrar los modelos potentes en pocas empresas. En Dreamforce 2026 fue más lejos en lo práctico: instó a prepararse para una ola inminente de ciberataques, sostuvo que no estamos lejos de modelos abiertos capaces de causar daño serio y planteó que lo que corresponde es construir resiliencia y no frenar el código abierto.

Las relaciones que se conectan:

1. La coincidencia de fechas. El ataque ocurrió el 11 de octubre y el informe de Anthropic se publicó el 12, el día en que se conocieron los daños. La coincidencia es temporal, no causal: no existe información oficial que atribuya el ataque a inteligencia artificial.

2. El punto de entrada compartido. Lo que se evidencia es que el eslabón débil de Francia, equipos conectados con firmware sin actualizar, es el mismo que el informe de Anthropic identifica como terreno fértil. 

3. La diferencia de clase entre dispositivos. Lo comparable es la vulnerabilidad, no la capacidad.

5. La convergencia con Altman. Su advertencia atribuye el riesgo a modelos de código abierto y, en el caso francés, no hay datos que los vinculen. Pero tanto su alerta como el informe de Anthropic describen un escenario en el que atacar equipos débiles deja de depender del tiempo y la dedicación de una persona.

6. Las respuestas institucionales. Las medidas que Francia debió improvisar (coordinación europea, investigación técnica, aislamiento de sistemas) coinciden con las que el informe propone: detección de tráfico anómalo, cuarentena de equipos comprometidos con aviso al usuario y eliminación de contraseñas por defecto

Lo que se viene

El ataque francés no demuestra que haya llegado la era de los gusanos de IA. Lo que demuestra es que la base sobre la que esa era se apoyaría ya está lista: infraestructura crítica conectada, mantenida de forma desigual y expuesta. La inteligencia artificial, según las propias firmas que la desarrollan, no inventa esa debilidad. Podría abaratar y automatizar su explotación.

¿Existen hoy protocolos de detección, cuarentena y notificación a escala, antes de que el fallo ocurra?

Si “aceptar incidentes graves” es el costo de la libertad tecnológica, ¿quién fija el umbral de lo aceptable y quién absorbe el daño?

Si quienes lideran el desarrollo de la IA anticipan una ola de ataques y proponen “construir resiliencia”, ¿quién define esa resiliencia, con qué estándares y con qué plazos?

¿Se esperará a un incidente mayor para exigir estándares mínimos, o se legislará antes?

Las heladeras de Francia no ofrecen respuestas. Dejan una evidencia: la conversación sobre seguridad llega, una vez más, después de la innovación y no junto a ella.