Los riesgos de seguridad de la IA del Pentágono crecen mientras GenAI.mil se expande
El Pentágono incorporó dos sistemas corporativos de IA a GenAI.mil después de que la plataforma alcanzara 1,7 millones de usuarios, lo que intensifica los riesgos de seguridad de la IA del Pentágono pese a las salvaguardas formales. ChatGPT Mil y Grok for Government ingresaron al entorno digital cotidiano de las fuerzas armadas el 31 de agosto de 2026. Ambos recibieron autorización para manejar Información Controlada No Clasificada en el Nivel de Impacto 5, conocido como IL5.
Esto ya no es un experimento limitado que involucra a unos pocos equipos técnicos. GenAI.mil se lanzó en diciembre de 2025 y llegó a más de la mitad de la plantilla de tres millones de personas del departamento en nueve meses. Sus herramientas pueden respaldar la planificación, las políticas, las adquisiciones, la logística, la administración, el análisis de archivos y los proyectos persistentes.
El Pentágono considera ese alcance una ventaja operativa. Los críticos ven una disyuntiva menos visible entre un trabajo más rápido y una gestión disciplinada de la información. Un análisis publicado por Foreign Policy in Focus sostiene que el uso normalizado de IA corporativa amplía la superficie de ataque mientras hace que la divulgación de información sensible parezca rutinaria.
La cuestión central no es si un chatbot acreditado expone instantáneamente archivos militares. No hay evidencia pública de que GenAI.mil haya causado una brecha importante. La preocupación es si millones de interacciones habituales generan más credenciales, proyectos almacenados, conexiones de software y oportunidades de error humano.
Esa distinción importa. La acreditación puede establecer un perímetro técnico seguro, pero no puede predecir cada prompt, carga de archivos, inferencia o decisión que se tome dentro de ese perímetro. Por tanto, los riesgos de seguridad de la IA del Pentágono dependen del comportamiento humano y de la arquitectura del sistema, no solo de la etiqueta de seguridad de un modelo.
GenAI.mil acaba de convertirse en infraestructura militar cotidiana
La expansión de agosto transformó GenAI.mil de un servicio de rápido crecimiento en un entorno de trabajo multimodelo para gran parte de la fuerza laboral de defensa.
El departamento lanzó ChatGPT Mil y Grok for Government de Starshield AI el mismo día. Ambos productos se sumaron a un entorno diseñado para dar al personal militar acceso a varios modelos comerciales de frontera a través de una plataforma gubernamental.
El lanzamiento de ChatGPT Mil describió el chat, los archivos, los proyectos y los GPT personalizados como la experiencia principal. Según el departamento, con el tiempo llegarán funciones adicionales.
Esa combinación importa más que una ventana básica de chatbot. Los archivos permiten a los usuarios incorporar material fuente a una conversación. Los proyectos pueden conservar el contexto entre sesiones. Los GPT personalizados pueden codificar instrucciones repetibles y prácticas de trabajo.
Cada función puede reducir el trabajo repetitivo. Juntas, también pueden convertir un servicio de IA en un repositorio de conocimiento organizacional en evolución. El sistema ya no responde únicamente preguntas aisladas. Puede convertirse en parte de cómo los equipos almacenan contexto, interpretan documentos y repiten flujos de trabajo.
El despliegue de Grok añade proyectos persistentes, espacios de trabajo personalizables, modos de razonamiento y guías reutilizables. El departamento afirma que esas guías pueden capturar y escalar el conocimiento institucional.
Los funcionarios presentaron el diseño multimodelo como una protección frente a la dependencia de un proveedor. Los usuarios pueden acceder a distintas capacidades de IA sin situar todo el flujo de trabajo del departamento detrás de un único proveedor comercial.
Ese enfoque genera resiliencia a nivel de adquisiciones. También aumenta el número de interfaces de modelos, puntos de integración, estructuras de permisos y ciclos de actualización que requieren supervisión.
La escala de GenAI.mil eleva lo que está en juego. El departamento informó de más de 1,7 millones de usuarios únicos en nueve meses. ChatGPT Mil se creó para respaldar a más de tres millones de personas, lo que sugiere que una adopción más amplia sigue siendo el objetivo.
Los usos previstos son amplios, pero mayoritariamente no clasificados. Un profesional de adquisiciones podría comparar estudios de mercado. Un equipo de logística podría analizar restricciones de suministro. Un responsable de políticas podría resumir documentos extensos o reorganizar directrices en borrador.
Estas tareas parecen rutinarias, lo que explica su atractivo. También implican información cuya sensibilidad a menudo proviene del contexto, más que de una única marca de clasificación.
Un registro de suministro puede revelar poco. Varios registros combinados con calendarios de despliegue y preguntas de mantenimiento pueden exponer patrones. El desafío de seguridad comienza cuando una agregación útil también produce conocimiento no intencionado.
El comentario original no descubrió una brecha ni un defecto técnico en GenAI.mil. Su argumento es estructural. Una interacción más frecuente con espacios de trabajo de IA persistentes crea más oportunidades para que la información acumulada adquiera valor para un adversario.
Eso convierte esta expansión en una historia de seguridad incluso sin un incidente. El Pentágono ha incorporado la IA conversacional al trabajo ordinario antes de contar con evidencia pública que cubra años de comportamiento a esta escala.
Por qué los riesgos de seguridad de la IA del Pentágono aumentan con la conveniencia
Una plataforma segura puede reducir la exposición a chatbots públicos y, aun así, crear nuevos riesgos mediante la agregación, el acceso y la divulgación habitual.
El Nivel de Impacto 5 es una clasificación en la nube del Departamento de Defensa para sistemas que manejan Información Controlada No Clasificada, o CUI. La CUI es información gubernamental sensible que requiere salvaguardas, pero no es material clasificado de seguridad nacional.
La acreditación IL5 de ChatGPT Mil y Grok for Government es significativa. Indica que los sistemas cumplen requisitos de seguridad para un entorno de información definido. No significa que todo uso, conexión o decisión humana posible sea seguro.
Esa diferencia está en el centro del debate actual. La autorización técnica evalúa los controles en torno a un sistema. La seguridad operativa depende de cómo las personas utilizan esos controles a lo largo del tiempo.
Las interfaces conversacionales reducen la fricción por diseño. Los usuarios pueden hacer preguntas informales, pegar texto, cargar documentos y perfeccionar resultados mediante un diálogo natural. Estas funciones hacen que las herramientas sean útiles porque se asemejan más a la colaboración que a la administración de bases de datos.
También pueden cambiar cómo los usuarios perciben la divulgación. Una persona que dudaría antes de publicar un documento puede sentirse cómoda hablando de su contenido con un asistente dentro de un entorno aprobado.
Esa comodidad no constituye automáticamente una conducta indebida. GenAI.mil existe en parte para ofrecer una alternativa autorizada a los servicios públicos de IA. Mantener el trabajo autorizado dentro de una plataforma gubernamental supervisada puede mejorar la seguridad frente al uso externo no gestionado.
La complicación es que la aprobación puede generar tranquilidad psicológica. Los usuarios pueden interpretar “autorizado para CUI” como una garantía amplia, en lugar de un límite que conlleva responsabilidades continuas.
Los equipos de seguridad denominan “shadow AI” al uso no autorizado de IA en el lugar de trabajo. Incluye a empleados que utilizan servicios no aprobados o activan funciones de IA integradas sin una revisión adecuada.
Un boletín de junio de 2026 de la Defense Counterintelligence and Security Agency calificó la shadow AI como una vía principal para la divulgación no autorizada, la filtración de datos y los fallos de seguridad operativa. Indicó al personal que utilizara plataformas aprobadas como GenAI.mil en lugar de modelos públicos.
Esa recomendación es sensata, pero traslada la actividad a un entorno empresarial compartido en vez de eliminar el comportamiento subyacente. Los administradores siguen necesitando visibilidad sobre los prompts, los archivos, las acciones de agentes, los permisos y los datos de proyectos retenidos.
El peligro más difícil implica la agregación. Una recopilación de hechos individualmente no clasificados puede revelar una capacidad, vulnerabilidad u operación clasificada cuando se reúne e interpreta en conjunto.
La Government Accountability Office documentó esta preocupación antes de que GenAI.mil alcanzara su escala actual. En su revisión federal de IA, funcionarios del Departamento de Defensa señalaron que los modelos generativos podrían combinar información de entrenamiento no clasificada y producir involuntariamente resultados clasificados.
La misma revisión identificó otro factor humano. Según funcionarios de Defensa y la NASA, algunos usuarios gubernamentales carecían de la experiencia necesaria para comprender cómo los sistemas generativos producían sus respuestas. Esa carencia puede generar una confianza falsa en resultados plausibles.
Estos dos riesgos se refuerzan mutuamente. La información agregada puede revelar más de lo que esperan los usuarios, mientras que las respuestas fluidas pueden recibir más confianza de la que justifica su procedencia.
El problema es especialmente difícil cuando los proyectos conservan contexto. La persistencia ayuda a un usuario a continuar un trabajo complejo sin reconstruir el prompt cada vez. También puede concentrar archivos, instrucciones y conclusiones derivadas en una cuenta valiosa.
Un atacante quizá no necesite comprometer una red completa. Una credencial robada, una integración con un alcance deficiente, un proyecto expuesto o una cuenta con privilegios excesivos podrían ofrecer suficiente contexto para causar daños.
El acceso multimodelo añade otra capa. Distintos proveedores utilizan arquitecturas, métodos de seguridad, calendarios de actualización y acuerdos de gestión de datos diferentes. Una plataforma compartida debe imponer resultados de seguridad consistentes a través de esas diferencias.
Esto no demuestra que GenAI.mil sea inseguro. Explica por qué la carga de seguridad crece junto con la adopción, incluso cuando cada producto ingresa por una vía acreditada.
El Pentágono quiere velocidad, pero la seguridad depende de la fricción
El conflicto principal se produce entre un modelo operativo centrado en la IA y la fricción deliberada que protege la información militar sensible.
El argumento del departamento a favor de una adopción rápida es fácil de entender. La IA comercial puede resumir documentos, redactar material rutinario, ayudar a analizar cadenas de suministro y reducir el trabajo administrativo. Una síntesis más rápida puede dar a los responsables de decisiones más tiempo para tareas de mayor valor.
Las organizaciones militares también enfrentan presión para adoptar tecnología antes de que los competidores obtengan una ventaja duradera. China y Rusia están invirtiendo en IA para inteligencia, operaciones cibernéticas, campañas de influencia y sistemas de combate.
Esperar indefinidamente conlleva su propio riesgo. Una organización que bloquee la IA útil puede empujar a los empleados hacia herramientas no aprobadas. También puede preservar procesos lentos que limiten la capacidad de respuesta operativa.
El Pentágono empezó a abordar esa presión antes de GenAI.mil. En diciembre de 2024, su Chief Digital and Artificial Intelligence Office y la Defense Innovation Unit crearon una AI Rapid Capabilities Cell.
La célula recibió aproximadamente 100 millones de dólares durante los ejercicios fiscales de 2024 y 2025 para proyectos piloto e infraestructura fundamental. Sus casos de uso iniciales abarcaban apoyo al mando, planificación, logística, inteligencia, operaciones cibernéticas, adquisiciones, gestión sanitaria y desarrollo de software.
Esa agenda refleja un cambio deliberado de la experimentación al despliegue. GenAI.mil ofrece al departamento una vía empresarial para llevar esa estrategia al trabajo cotidiano.
Los sistemas de seguridad se basan tradicionalmente en la fricción. Las marcas de clasificación, el acceso compartimentado, los registros, las aprobaciones y las redes separadas obligan a las personas a detenerse antes de mover información. Ese retraso suele ser intencional.
La IA conversacional opera en la dirección opuesta. Su valor procede de reducir los pasos entre una pregunta y un resultado útil. Los espacios de trabajo persistentes eliminan la necesidad de repetir el contexto, mientras que las cargas de archivos eliminan la extracción manual.
Por tanto, el Pentágono quiere dos propiedades contradictorias de la misma interfaz. Quiere la conveniencia comercial y la disciplina de la información militar.
La tensión no puede resolverse eligiendo la conveniencia o la seguridad en términos absolutos. Una herramienta militar útil debe respaldar el trabajo real. Una segura debe limitar ese trabajo cuando el contexto, los permisos o las combinaciones de datos generan peligro.
El argumento sobre la debilidad de seguridad se centra en la normalización. Michael Aaron Cody sostiene que el uso conversacional rutinario erosiona gradualmente la cautela que los usuarios aplican a los sistemas tradicionales.
Se trata de una afirmación analítica, no de evidencia de un fallo confirmado. Se vuelve más creíble a medida que aumenta el número de usuarios, porque la escala incrementa la variación en el comportamiento.
Un piloto puede depender de participantes seleccionados, supervisión estrecha y escenarios limitados. Un servicio empresarial que abarca todas las ramas militares se enfrenta a nuevos usuarios, prácticas locales, misiones cambiantes y conocimientos técnicos desiguales.
La formación ayuda a establecer reglas, pero no elimina los errores. Las personas olvidan procedimientos, interpretan mal las etiquetas, aceptan con demasiada facilidad los resultados del modelo o priorizan los plazos. Los adversarios diseñan campañas de phishing e ingeniería social en torno a esos comportamientos previsibles.
La IA añade nuevas vías de manipulación. La inyección de instrucciones, por ejemplo, oculta indicaciones maliciosas dentro del contenido que lee un modelo. Un sistema de IA puede seguir esas instrucciones incluso cuando el usuario no las detecta.
Los sistemas de recuperación pueden introducir problemas similares. La recuperación permite a un asistente de IA buscar fuentes de información aprobadas antes de responder a una pregunta. Si fallan los permisos o la validación de las fuentes, el modelo podría mostrar contenido que exceda el acceso previsto para un usuario.
Los proyectos persistentes también requieren controles de ciclo de vida. Los administradores deben saber quién creó un proyecto, qué datos contiene, quién puede acceder a él y cuándo debe eliminarse.
Estas son cuestiones conocidas de gestión del conocimiento, pero la IA convierte el material almacenado en algo interactivo. Un repositorio consultable se vuelve más sensible cuando un modelo puede inferir rápidamente relaciones entre miles de registros.
Las organizaciones privadas afrontan un desafío relacionado al crear una base de conocimiento consultable. Los límites de acceso y la procedencia se vuelven más importantes a medida que la recuperación se facilita.
El Pentágono enfrenta consecuencias mucho mayores. Una divulgación aparentemente menor puede afectar los métodos de inteligencia, la protección de las fuerzas, las negociaciones de adquisiciones o la disposición de un aliado a compartir información.
Por lo tanto, la velocidad no es gratuita. Cada minuto ahorrado mediante síntesis automatizada genera una exigencia equivalente de registro, supervisión, revisión de accesos y evaluación de modelos.
Los riesgos de seguridad de GenAI.mil van más allá de la filtración de datos
La plataforma debe defenderse simultáneamente contra accesos comprometidos, conocimiento manipulado, respuestas poco fiables y automatización con privilegios excesivos.
La filtración de datos recibe la mayor atención porque es fácil de visualizar. Un usuario carga material sensible y una parte no autorizada lo obtiene posteriormente. Sin embargo, los riesgos de seguridad de la IA del Pentágono van más allá.
Un riesgo es la integridad. Un adversario puede intentar influir en la información que recupera un modelo o en las fuentes utilizadas durante el entrenamiento. El objetivo sería moldear una respuesta sin quebrantar visiblemente el sistema.
Los investigadores ya han estudiado cómo las campañas de información respaldadas por Estados aparecen en las respuestas de chatbots comerciales. Un informe de National Defense de abril de 2026 describió pruebas con ChatGPT, Grok, Gemini y DeepSeek sobre preguntas relacionadas con la guerra de Ucrania.
Los investigadores informaron de que una de cada cinco consultas probadas citaba medios estatales rusos. Los resultados variaron según el modelo y el enfoque de las indicaciones, por lo que el hallazgo no debe considerarse una evaluación directa de GenAI.mil.
Aun así, ilustra un problema importante. Un modelo puede seguir disponible, ser fluido y responder con rapidez mientras ofrece información influida por narrativas hostiles.
Un segundo riesgo implica un razonamiento poco fiable. Los modelos generativos producen resultados probables, no conclusiones verificadas. Pueden inventar citas, omitir salvedades o fusionar hechos contradictorios.
Un resumen incorrecto de un documento general puede hacer perder tiempo. El mismo comportamiento en la planificación logística o el apoyo de inteligencia puede distorsionar decisiones.
La revisión humana sigue siendo esencial, pero su calidad depende de la experiencia y la carga de trabajo. La automatización puede debilitar la supervisión si los usuarios asumen que el sistema ya realizó el análisis difícil.
Un tercer riesgo procede de privilegios excesivos. La IA agéntica puede realizar acciones, utilizar herramientas y perseguir objetivos con menos orientación humana inmediata que un chatbot estándar.
Los anuncios de agosto de GenAI.mil se centraron principalmente en funciones conversacionales y de espacio de trabajo. Sin embargo, ambos comunicados prometían capacidades adicionales o flujos de trabajo avanzados, lo que convierte el diseño de privilegios en una preocupación importante para el futuro.
La guía sobre IA agéntica de la National Security Agency de abril de 2026 advirtió que los agentes con privilegios excesivos pueden amplificar un único compromiso. También identificó como riesgos importantes unas superficies de ataque mayores, interconexiones complejas, comportamientos opacos y una rendición de cuentas débil.
La guía recomienda un despliegue incremental, evaluaciones de amenazas en evolución, supervisión rigurosa, responsabilidades explícitas y supervisión humana. Estas recomendaciones cuestionan una métrica de adopción simple centrada en el crecimiento de usuarios.
Más usuarios no indican necesariamente un mayor valor militar. Indican alcance. La calidad de las decisiones, el tiempo ahorrado, las tasas de error, los incidentes de seguridad y los resultados de las misiones aportan evidencias más significativas.
Un cuarto riesgo se refiere a los proveedores. Una plataforma multimodelo reduce la dependencia de una sola empresa, pero el gobierno sigue dependiendo de proveedores comerciales para el desarrollo y las actualizaciones de los modelos.
Un proveedor puede cambiar el comportamiento de un modelo, retirar una versión, descubrir una vulnerabilidad o modificar una función. El departamento debe validar los cambios relevantes sin congelar por completo la innovación.
Esto exige seguimiento de versiones. Los equipos de seguridad necesitan saber qué modelo produjo un resultado, qué configuración lo regía y si el modelo cambió antes de que los investigadores revisaran un incidente.
El Congreso ha reconocido esa necesidad. La ley de defensa para el ejercicio fiscal de 2026 ordenó al departamento establecer una gobernanza de IA que cubra las pruebas de seguridad, el envenenamiento de datos, los jailbreaks, el acceso no autorizado, el riesgo de adquisiciones y la evaluación de modelos.
También solicitó sistemas de registro que hagan seguimiento del historial de versiones, el rendimiento, el estado de seguridad y el cumplimiento. Estas medidas indican que los controles de ciberseguridad existentes necesitan ampliaciones específicas para la IA.
La ley refuerza el argumento escéptico al tiempo que responde a una parte de él. El Pentágono no está ampliando GenAI.mil sin ninguna estructura de gobernanza. El Congreso y las agencias de seguridad han identificado muchos de los riesgos pertinentes.
Lo que sigue siendo incierto es la ejecución a escala empresarial. Los anuncios públicos proporcionan totales de usuarios y descripciones de funciones, pero revelan poco sobre tasas de incidentes, errores de permisos, prácticas de retención o resultados de pruebas adversariales.
La acreditación IL5 no puede responder a todas esas preguntas. Establece una base de seguridad para la CUI, no una prueba permanente de que cada actualización de modelo y flujo de trabajo de usuario se mantenga dentro de un riesgo aceptable.
La crítica más sólida, por tanto, no es que la plataforma carezca de defensas. Es que el despliegue avanza más rápido de lo que los observadores externos pueden evaluar cómo se comportan esas defensas bajo presión rutinaria.
Qué demostraría que el Pentágono ha encontrado el equilibrio adecuado
La próxima prueba consiste en determinar si el departamento informa sobre evidencias de seguridad y rendimiento con la misma claridad con la que informa sobre la adopción.
Tres señales determinarán si la expansión de GenAI.mil fortalece a las fuerzas armadas o crea una debilidad persistente.
La primera es la elaboración de informes sobre seguridad operativa. El Pentágono debería hacer seguimiento de incidentes de divulgación de datos, indicaciones sospechosas, cuentas comprometidas, fallos de permisos y violaciones de políticas en toda la plataforma.
La información pública seguirá siendo limitada porque el entorno implica actividad sensible. El Congreso y los organismos de supervisión independientes aún pueden recibir métricas detalladas y publicar conclusiones agregadas.
Una tasa de incidentes estable o decreciente a medida que aumenta el uso debilitaría el argumento de que la normalización erosiona inevitablemente la disciplina. El aumento de incidentes, los fallos repetidos de acceso o las brechas ocultas lo reforzarían.
La segunda señal es la implementación de los mandatos de seguridad de IA del ejercicio fiscal de 2026. El Congreso exigió una política de ciberseguridad y gobernanza para toda la organización en los sistemas de IA y aprendizaje automático.
Las disposiciones de seguridad de IA incluyen pruebas adversariales, evaluación de la cadena de suministro, requisitos de adquisición, entornos controlados de pruebas y un equipo interdisciplinario de supervisión de modelos. Estos requisitos abordan tanto el riesgo técnico como el organizativo.
La cuestión crucial es si esos controles operan de forma continua. Un modelo evaluado antes del despliegue puede cambiar mediante actualizaciones, herramientas conectadas, datos recuperados y nuevas configuraciones de usuario.
Una supervisión útil debería acompañar todo el ciclo de vida. Debería cubrir las versiones de los modelos, las fuentes de datos, los privilegios, las integraciones, los incidentes y las decisiones de retirada.
Hitos claros reforzarían la confianza en que el departamento está escalando la gobernanza al mismo ritmo que la adopción. Las normas retrasadas o una implementación incoherente respaldarían las preocupaciones de que el despliegue sigue adelantándose a las garantías.
La tercera señal es cómo GenAI.mil introduce funciones capaces de realizar acciones. La asistencia para chat y documentos ya requiere controles cuidadosos, pero los sistemas agénticos pueden ejecutar tareas de varios pasos mediante servicios conectados.
El límite de seguridad cambia cuando un modelo puede editar registros, enviar solicitudes, consultar repositorios restringidos o activar flujos de trabajo operativos. La aprobación humana y el acceso con privilegios mínimos cobran mayor importancia en ese punto.
El principio de privilegio mínimo consiste en otorgar a un usuario o sistema solo el acceso necesario para una tarea específica. Limita el daño provocado por errores, manipulación o credenciales robadas.
El departamento debería introducir las funciones agénticas de forma incremental y medirlas frente a escenarios de ataque realistas. Los equipos de seguridad deberían probar documentos maliciosos, fuentes de conocimiento envenenadas, plugins comprometidos e instrucciones engañosas.
Ese proceso ralentizará algunos despliegues. La demora es una característica de seguridad cuando un sistema de IA puede actuar en recursos conectados.
Para desarrolladores y compradores empresariales fuera del ámbito de defensa, la lección es directa. Un modelo privado, una plataforma aprobada o una certificación de cumplimiento no eliminan el riesgo operativo.
Las organizaciones siguen necesitando controles de acceso, políticas de retención, procedencia de las fuentes, seguimiento de versiones, educación de los usuarios y respuesta ante incidentes. También necesitan evidencias de que la IA mejora el trabajo sin ocultar errores.
GenAI.mil se está convirtiendo en una de las mayores pruebas visibles de la IA generativa empresarial dentro de una institución sensible. Sus resultados influirán en cómo los gobiernos evalúan plataformas multimodelo, espacios de trabajo persistentes y agentes de IA.
El Pentágono ya ha demostrado que puede distribuir IA con rapidez. Ahora debe demostrar que la supervisión, la evaluación y la disciplina informativa pueden escalar al mismo ritmo.
Esa evidencia debería importar más que el próximo hito de usuarios. Los riesgos de seguridad de la IA del Pentágono solo seguirán siendo manejables si cada expansión incorpora controles medibles, supervisión transparente y límites que los usuarios no puedan eludir casualmente.
La pregunta para los próximos meses es sencilla: ¿publicará el Pentágono señales creíbles de que el rendimiento de seguridad está mejorando, o solo anunciará que más personas pueden usar las herramientas?
