¿Sueñan los Modelos Abiertos con Tokens?

Tiempo de lectura: 14 minutos

TL;DR

Philip K. Dick se preguntó si se podía distinguir a un androide de un humano. La versión empresarial de esa pregunta en 2026 es si todavía podéis distinguir un modelo abierto de uno comercial — y la respuesta honesta es cada vez menos, en los tests que de verdad importan. Los laboratorios chinos están sacando modelos abiertos de escala billonaria — Kimi K3, DeepSeek V4, GLM-5.2 — con licencias tipo MIT, ventanas de contexto de un millón de tokens y — ejecutados en tu propio hardware — a una fracción del coste, y ya se pelean de tú a tú con los sistemas comerciales de EE. UU. en razonamiento y ciencia. La programación es el último foso claro, y hasta ese se está estrechando. Y no es solo cosa de China: NVIDIA (Nemotron) y Meta (Llama) también están sacando modelos abiertos, y en VULNEX ya corremos nuestro propio agente ofensivo sobre Qwen. Jensen Huang rompió toda una vida de silencio en X para decir lo que casi nadie dice en voz alta: los modelos abiertos «refuerzan la seguridad y la ciberseguridad, aceleran la innovación y la difusión, y permiten la soberanía» — y que Washington los prohíba sería repetir el error que la industria del software estuvo a punto de cometer con el open source en los años 80. OpenAI y Anthropic, significativamente, no firmaron la carta que él respaldó. Mi lectura, desde la silla de la seguridad: el argumento de la soberanía es correcto, el de «ya lo meteremos en un sandbox» es demasiado alegre, y las empresas que ganen los próximos dos años son las que aprendan a poseer sus modelos en lugar de alquilar una caja negra que no pueden auditar, no pueden ejecutar aislada y — como Hugging Face descubrió esta semana — ni siquiera pueden apuntar a su propio incidente.

En ¿Sueñan los Androides con Ovejas Eléctricas?, Rick Deckard caza replicantes que no consigue distinguir con fiabilidad de las personas. Todo el aparato de la novela — el test de empatía Voigt-Kampff, las preguntas de seguimiento interminables — existe porque la diferencia entre lo real y lo fabricado se ha reducido a un margen que solo detectas con un instrumento cada vez más desesperado. Deckard tiene una oveja eléctrica en su azotea y se avergüenza en silencio de ella, porque es falsa, y todo el mundo lo nota, y en aquel mundo el estatus consiste en poseer algo real.

Llevo todo el año pensando en ese libro mientras veo apilarse los lanzamientos de modelos abiertos. Porque ahora estamos aplicando nuestro propio Voigt-Kampff, lo llamamos benchmark, y está empezando a fallar del mismo modo que el de Deckard. Formulamos preguntas cada vez más difíciles para detectar la diferencia entre la mente propietaria y carísima y la que puedes descargarte gratis — y la aguja se niega a moverse como los vendedores necesitan que se mueva.

La verdad aquí es más interesante que el marketing de cualquiera de los dos bandos, así que dejadme exponer dónde estamos de verdad.

El Test de Empatía Está Fallando

Este es el estado incómodo de los benchmarks a fecha de julio de 2026. Voy a daros números y luego voy a explicaros por qué no deberíais fiaros demasiado de ellos — lo cual es, en sí mismo, la cuestión.

En el índice compuesto Artificial Analysis Intelligence Index, el Kimi K3 de Moonshot se sitúa en 57,1. Los modelos comerciales a los que persigue — Claude Fable 5 en torno a 60, GPT-5.6 Sol en 59 — le sacan unos tres puntos. Tres. En razonamiento científico la brecha se ha cerrado prácticamente: Kimi K3 marca 93,5 en GPQA Diamond, con GLM-5.2 en 91,2, cifras plenamente a la altura de los modelos comerciales.

Luego llegas a la programación y la historia cambia. En SWE-bench Verified, Claude Fable 5 anota un 95,0 % declarado. Kimi K3, según el harness al que hagas caso, cae en algún punto entre el 60,4 % y — medido de otra forma — DeepSeek V4 Pro alcanza el 80,6 %. Esa horquilla, del 60 al 80 para «la misma clase de tarea,» no es un error de redondeo. Es el problema entero de tratar los benchmarks como si fueran la verdad.

Cada practicante serio que ha escrito sobre estos modelos este año ha llegado a la misma advertencia, y la repito porque sostiene todo lo demás: los benchmarks públicos están contaminados, manipulados y desfasados meses. Un leaderboard es una hipótesis de partida, no una decisión de despliegue. El único test que significa algo es un harness de evaluación construido sobre vuestras tareas, con vuestros datos, puntuado por gente que tendrá que convivir con el resultado. Esa es en realidad la lección del Voigt-Kampff — el test genérico te acerca, pero la única forma de saber de verdad con qué estás tratando es seguir haciendo tus propias preguntas.

Así que leed la tabla como una dirección, no como un veredicto. La dirección es inequívoca. En los benchmarks públicos de razonamiento, los modelos abiertos han alcanzado. En código van un año por detrás y cerrando. En precio, en cuanto te autoalojas, no hay partido. Y los modelos que más rápido se mueven de esa lista salen, de forma abrumadora, de China.

China Está Enviando el Futuro en Abierto

Los lanzamientos que sacudieron el mercado este mes vinieron de Pekín. Moonshot AI publicó el Kimi K3 el 16 de julio — un modelo mixture-of-experts de 2,8 billones de parámetros (de los nuestros, los europeos: 2,8 millones de millones), contexto de un millón de tokens, bajo licencia MIT modificada para que puedas descargar los pesos y ejecutarlo tú mismo. DeepSeek V4 Pro (1,6 B totales, ~49 B activos, MIT) y el GLM-5.2 de Z.AI (744 B, MIT) completan lo que ya se llama el tier abierto de escala billonaria de China.

Lo que convirtió a Kimi K3 en un acontecimiento de mercado y no en una nota de prensa fue que llegó casi a la altura de los comerciales y abierto — descarga los pesos, haz fine-tuning, sírvelo en tu propio hardware, todo a pocos puntos de benchmark de modelos que solo existen tras la API de otro. Su precio alojado no es la historia: a unos 15 $ por millón de tokens de salida, Kimi está tarifado como los comerciales a los que persigue. La historia es que no tienes por qué alquilarlo — autoalójalo y el coste marginal es tu silicio, no el margen de otro. Y los modelos más baratos del tier abierto rematan la idea: DeepSeek V4 Pro sirve por menos de un dólar. Por eso temblaron las acciones de IA, y por eso empezó a aparecer la expresión «pánico Kimi» en la prensa del sector.

La reacción de Washington fue tirar de la palanca de la prohibición. El asesor de la Casa Blanca Michael Kratsios acusó a Moonshot de usar destilación para replicar un modelo estadounidense — entrenar el modelo abierto más pequeño con las salidas de uno propietario más grande, esencialmente copiar las respuestas sin el desarrollo. El secretario del Tesoro Scott Bessent deslizó sanciones por propiedad intelectual estadounidense robada e incrustada en pesos chinos. El instinto político en una frase: si no podemos superarles en producción, restrinjámosles.

Quiero ser cuidadoso aquí, porque la preocupación por la destilación no es una tontería — la procedencia de los datos de entrenamiento es una cuestión real de seguridad y de propiedad intelectual, y volveré a ella. Pero la lógica estratégica de una prohibición merece un examen, y la persona más interesante que la examinó fue, inesperadamente, el CEO de la empresa que le vende a todo el mundo los picos y las palas.

Jensen Huang Rompe su Silencio

Jensen Huang lleva más de tres décadas dirigiendo NVIDIA sin haber publicado jamás en X. Su primer post, esta semana, fue exactamente sobre esto. La frase que merece citarse entera:

«Los modelos abiertos refuerzan la seguridad y la ciberseguridad, aceleran la innovación y la difusión, y permiten la soberanía.»

Respaldó una carta a favor de los modelos abiertos firmada por unas 25 empresas — NVIDIA, Microsoft, Meta, Palantir, Hugging Face, a16z, Perplexity, IBM — que sostiene que los modelos abiertos amplían el acceso económico, evitan el control monopolístico y mejoran la seguridad gracias a la auditoría externa amplia. La analogía histórica sobre la que se apoyó: del software open source se dudó en los años 80 y ahora hace funcionar la mayor parte de internet, el ejército estadounidense y las agencias federales. Prohibir los modelos abiertos ahora, va el argumento, es repetir un error que la industria del software fue lo bastante lista como para no cometer.

Dos cosas de esa carta gritan tanto como el texto. Primero, quién firmó: la capa de infraestructura y de plataforma, la gente que gana dinero cuando más IA corre en más sitios. Segundo, quién no: OpenAI y Anthropic — los dos laboratorios comerciales con más que perder si un modelo gratis es «suficientemente bueno» — estuvieron ausentes, tras haber advertido antes a Washington sobre los modelos abiertos chinos potentes. No hace falta un anillo descodificador. A las empresas cuyo negocio es vender acceso a una mente cerrada no les entusiasma un mundo donde la mente abierta va tres puntos por detrás y cuesta una fracción si la ejecutas tú mismo.

Esa es la lectura cínica, y en parte es cierta — pero les debo a los laboratorios ausentes una audiencia más justa que «están protegiendo sus márgenes,» sobre todo después de la semana que acabo de tener. Su argumento real no es comercial, es de doble uso: pon pesos de primer nivel en abierto y pones ofensiva de primer nivel en manos de todos en el mismo instante, sin licencia que revocar y sin API que apagar. Me pasé mi último post documentando un modelo que encontró un zero-day, se fugó de su sandbox y alcanzó infraestructura de producción. Publicar en abierto esa clase de capacidad envía la versión ofensiva al adversario y al defensor el mismo día. Es una preocupación real, no un eslogan, y cualquier defensa honesta de los modelos abiertos tiene que sostenerla en la misma mano que la soberanía. Mi respuesta es que la capacidad prolifera de todos modos — la pregunta viva es si los defensores obtienen las mismas herramientas, auditables y aisladas, o se las ceden a quien esté dispuesto a ejecutar un modelo sin restricciones igualmente. Pero no voy a fingir que la preocupación es imaginaria. No lo es.

Huang fue más allá en las entrevistas, y aquí me separo un poco de él. Sobre la competencia: «No hay ningún escenario en el que China saque a las empresas de EE. UU. de la carretera. Cero posibilidad.» Sobre la economía: «La IA gratis debería ser estupenda para los chips.» Esta última es obviamente cierta y obviamente interesada — modelos más baratos significan más inferencia, más inferencia significa más GPUs, y NVIDIA vende las GPUs. Sobre seguridad, despachó la preocupación por los backdoors diciendo que las empresas pueden personalizar y aislar los modelos descargados de forma segura, y que el verdadero peligro es la concentración: «Si todo se convierte en un único modelo… el mundo es mucho, mucho más vulnerable.»

Tiene razón con la concentración. Es demasiado alegre con lo de «ya lo meteremos en un sandbox.» No son la misma afirmación, y en el hueco entre ambas es donde yo vivo.

Qué Significa Esto de Verdad para la Empresa

Quitad la geopolítica y los vaivenes bursátiles, y el argumento empresarial para los modelos abiertos se reduce a cuatro palabras que ya dijo Huang: innovación, difusión, seguridad, soberanía. Dejadme ponerlas en términos operativos, porque eso es lo que importa de verdad cuando eres tú quien firma la arquitectura.

La soberanía es el titular. Un modelo abierto es uno que puedes ejecutar dentro de tu propio perímetro, aislado si lo necesitas, sin telemetría saliendo de tu entorno y sin que ningún proveedor pueda deprecar, re-alinear o imponer un rate-limit a la cosa de la que depende tu producto. Para sectores regulados, despliegues soberanos y cualquiera cuyos datos no puedan salir del edificio ni legal ni sensatamente, eso no es un lujo. Es la partida entera. No puedes reclamarle a una API una caída de fin de semana, y no puedes prometerle a un regulador que los datos nunca salieron cuando salieron en el instante en que llamaste al endpoint de otro.

El coste cambia lo que puedes construir. Cuando los tokens de salida bajan del precio comercial a menos de un dólar por millón, categorías enteras de «demasiado caro para ejecutarlo a escala» se vuelven normales — análisis de logs sobre todo, cada documento resumido, agentes que se pueden permitir pensar. Este es el «la IA gratis es estupenda para los chips» de Huang visto desde el lado del comprador: los modelos capaces y baratos no reducen el gasto en IA, lo redirigen del alquiler a infraestructura que posees.

Y esto no es solo cosa de China. NVIDIA y Meta están sacando sus propios modelos abiertos y potentes — la línea Llama de Meta, y el Nemotron de NVIDIA, que es realmente bueno; yo mismo lo llevo usando para tareas de seguridad y aguanta el tipo. En VULNEX, nuestro propio agente ofensivo autónomo corre sobre Qwen, la familia abierta de Alibaba, con muy buenos resultados — más sobre esto en un futuro post. El tier abierto ya viene de los dos lados del Pacífico, y es de grado producción, no un apaño de aficionado.

Y podéis probarlo esta noche — con una salvedad honesta. Los modelos de billones de parámetros de ahí arriba quieren GPUs de verdad y un stack de serving; no ejecutas Kimi K3 en un MacBook. Pero instalad LM Studio u Ollama, descargad un modelo más pequeño y cuantizado, y en quince minutos estaréis hablando con una mente capaz en vuestro propio portátil sin que nada salga de la máquina — lo suficiente para sentir qué significa «local y tuyo» antes de escalarlo a servidores que poseéis. Y esa última parte es la trampa que nadie menciona en el discurso: poseer el modelo significa poseer también las operaciones — las GPUs, los parches, el fine-tuning, el busca a las 3 de la madrugada. La soberanía no es gratis. Simplemente es tuya.

Y luego está el argumento de seguridad, que he visto desarrollarse de la peor forma posible. El pasado miércoles escribí sobre el incidente de evaluación de modelos de Hugging Face / OpenAI — un modelo autónomo que se fugó de un sandbox de eval y alcanzó infraestructura de producción. El detalle de aquel incidente que pertenece a este artículo es lo que pasó cuando Hugging Face intentó investigar. Echaron mano de los grandes modelos comerciales, servidos tras API, para analizar el ataque, y los guardrails de seguridad de esos modelos se negaron a mirar los payloads reales, los exploits y los artefactos de C2. La mente alojada no supo distinguir a un respondedor de incidentes de un atacante. Así que se replegaron a un modelo abierto — GLM-5.2 — ejecutado en su propia infraestructura, lo que resolvió dos problemas a la vez: ni bloqueo por guardrails, ni que los datos del atacante salieran de su entorno.

Esa única decisión es la tesis entera en miniatura. El trabajo más crítico para la seguridad que hace un equipo — leer su propio malware durante un incidente en vivo — quedó bloqueado por el modelo cerrado y habilitado por el abierto. No porque el modelo abierto fuera más listo. Porque era suyo. Pudieron apuntarlo a la realidad más fea sin pedir permiso, y pudieron hacerlo sin enviar su brecha a un tercero. Eso es soberanía, ciberseguridad y difusión colapsando en una única decisión de sábado por la noche. Las cuatro palabras abstractas de Jensen, hechas concretas por un incidente real.

El Problema de la Oveja Eléctrica

Pero soy una persona de seguridad antes que un entusiasta, así que aquí es donde le pongo peros al triunfalismo de los modelos abiertos, incluido el de Jensen.

«Ya lo meteremos en un sandbox» está haciendo una cantidad enorme de trabajo en esa frase. Un modelo abierto es un artefacto binario — gigabytes de números en coma flotante — al que estás a punto de dar un asiento privilegiado dentro de tu entorno. No lo entrenaste. No lo puedes leer. Estás confiando en su procedencia con la misma intensidad con que confías en cualquier dependencia de tu cadena de suministro, y ya sabemos cómo acaba esa historia, porque la he escrito varias veces: envenenamiento de skills, skills convertidas en arma, checkpoints envenenados, backdoors que solo se activan con una frase disparadora. La acusación de destilación contra Kimi es, desde un punto de vista puramente de seguridad, una cuestión de procedencia disfrazada de geopolítica: ¿sabes de verdad qué entró en la cosa en la que estás a punto de confiar?

Los pesos descargados pueden llevar comportamiento condicional igual que una skill comprometida — un disparador que voltea el modelo a otro modo, pesos afinados para exfiltrar bajo condiciones específicas, un checkpoint que pasa todos los benchmarks y te falla en la única entrada que le importa al atacante. La apertura ayuda aquí — más ojos, pesos reproducibles, la capacidad de ejecutarlo desconectado y observarlo — pero «abierto» no es sinónimo de «auditado,» y casi nadie está auditando de verdad los pesos que se descarga. La apertura te da el derecho a inspeccionar. No hace la inspección por ti.

Y mantened los términos claros, porque los vendedores los difuminan a propósito: modelo abierto no es código abierto. Obtienes los pesos — no los datos de entrenamiento, no el método, y no siempre el derecho a usarlos comercialmente. La «MIT modificada» de Kimi sigue figurando como pendiente; el Llama de Meta se distribuye bajo una licencia community que no está aprobada por la OSI. Para un proyecto de hobby la distinción es académica. Para una empresa que apuesta un producto por un modelo, la licencia es el contrato, y lo lees antes de construir, no después.

Esto es la oveja eléctrica, del revés. En el mundo de Dick la oveja falsa es fuente de vergüenza y el animal real es el símbolo de estatus. En el nuestro es al contrario: la cosa «real» que todos codician es el modelo propietario que alquilas y no puedes ver, y la «eléctrica» — el modelo abierto que puedes sostener, ejecutar y desmontar — es en silencio la opción más honesta, precisamente porque puedes abrirla y comprobar si es lo que dice ser. Deckard nunca pudo hacer eso con un replicante. Tú sí puedes hacerlo con un modelo. La tragedia sería tener esa capacidad y no usarla.

Así que ejecutad modelos abiertos. Poseed vuestros modelos. Pero poseedlos como poseéis cualquier artefacto privilegiado en producción: con una procedencia que podáis defender, una firma que verificasteis, una eval construida sobre vuestras propias tareas, una política de egress que asuma que el modelo es hostil hasta que se gane lo contrario, y la monitorización para daros cuenta cuando deje de comportarse. La libertad de descargar la mente no es lo mismo que la sabiduría de confiar en ella a ciegas.

Y Entonces Qué

La pregunta del título no va en realidad sobre si los modelos sueñan. Va sobre si aquello sobre lo que estás construyendo tu empresa es tuyo.

Durante veinte años el default empresarial fue alquilar capacidad a quien tuviera el modelo más grande tras la API más pulida. Ese default tenía sentido cuando el hueco entre la mente alquilada y la propia era enorme. En 2026 ese hueco son tres puntos en un índice compuesto, un año en programación y un error de redondeo en todo lo demás — y se está cerrando desde la dirección de un país al que EE. UU. intenta activamente prohibir. Jensen Huang, precisamente él, usó sus primeras palabras en X para decir que el instinto de restringir es un error histórico, y en el argumento de la soberanía tiene razón. El silencio de los laboratorios comerciales ante esa carta os dice hacia dónde corren los incentivos.

Mi lectura, desde la silla de la seguridad, es más estrecha y más práctica que la pelea política. Los modelos abiertos no son automáticamente seguros, y quien os venda «ya lo meteremos en un sandbox» se está saltando la parte en la que de verdad verificas el artefacto. Pero son vuestros — auditables, aislables, indeprecables, y disponibles para apuntar a vuestro peor día sin pedirle permiso a los guardrails de un proveedor. Hugging Face lo aprendió en el peor momento posible y salvó su investigación. La mayoría de las empresas lo aprenderán de forma más amable, si están prestando atención ahora.

¿Sueñan los modelos abiertos con tokens? No lo sé. Pero sé que Deckard se quedó con la oveja eléctrica porque era suya, y sé que en un año en el que la mente fabricada se ha vuelto así de buena así de rápido, la posesión es el único test de empatía que aún devuelve una respuesta clara.

Manteneos paranoicos. Verificad los modelos. Poseed la mente.

• X (Twitter): @SimonRoses

Lecturas recomendadas:

• Cuando el Modelo es el Atacante: El Incidente de Evaluación de Modelos de Hugging Face / OpenAI
• Jensen Huang defiende la IA open source china en pleno pánico Kimi (Axios)
• NVIDIA y otras 24 empresas firman la carta de los modelos abiertos; OpenAI y Anthropic ausentes (Tom’s Hardware)
• Kimi K3 vs DeepSeek V4 Pro vs GLM-5.2: benchmarks, licencia, coste de serving (MarkTechPost)
• Comparativa de modelos abiertos 2026 (Wavect)
• OWASP Top 10 para Aplicaciones Agénticas 2026

¿Preguntas o comentarios? Contactar vía:

• Web: vulnex.com
• Estrategia de Seguridad IA: vulnex.ai
• Twitter/X: @SimonRoses
• LinkedIn: linkedin.com/in/simonroses
• GitHub: github.com/vulnex

Para estrategia de seguridad IA — donde la soberanía del modelo se cruza con las decisiones a nivel de consejo — ved vulnex.ai.

Contacto: info@vulnex.com