En solo 30 minutos, una IA local logró lo que a un humano le tomaría horas o días: desmontar el sistema de licencias de una aplicación comercial. Adam Conway, editor técnico de XDA Developers, demostró que Qwen 3.8 27B puede realizar ingeniería inversa con una precisión asombrosa. ¿Cómo lo hizo y qué significa esto para el futuro de la ciberseguridad?

El mundo de la inteligencia artificial ha dado un salto cualitativo. Lo que antes requería recursos en la nube o hardware de última generación, ahora es posible en una estación de trabajo como la Lenovo ThinkStation PGX, equipada con el chip Nvidia GB10 Grace Blackwell (128 GB de memoria unificada y 273 GB/s de ancho de banda).

Según Artificial Analysis, Qwen 3.8 27B ocupa el primer lugar en su categoría de tamaño (4B a 40B) con un índice de inteligencia de 52. Pero lo que realmente impresiona es su capacidad para analizar código y razonar de manera autónoma.

¿Por qué Qwen 3.8 27B destaca en ingeniería inversa?

Qwen 3.8 27B no es solo otro modelo de lenguaje. En este caso, logró:

• Recuperar una clave RSA (un tipo de clave criptográfica basada en factorización de números primos) oculta en el binario de la aplicación.
• Documentar el proceso de autenticación, incluyendo la verificación de firmas y el vínculo con el hardware.
• Corregir sus propios errores durante el análisis, algo poco común en modelos de este tamaño.

El modelo identificó que el esquema de licencias de la aplicación era inusualmente exhaustivo para su clase, pero con tres puntos débiles:

El proceso paso a paso: desensamblado y reconstrucción de claves

Qwen 3.8 27B realizó un análisis estático (técnica que examina el código sin ejecutarlo), desensamblando el framework de la aplicación y mapeando las funciones de seguridad. Lo más notable es que nunca ejecutó la aplicación hasta el final, cuando demostró que el bypass funcionaba.

El modelo reconstruyó la clave pública de verificación que el desarrollador había ocultado en el binario. Como Conway tenía una copia legítima de la aplicación, el modelo pudo verificar que la licencia real en su máquina había sido firmada por una clave privada que coincidía con la clave reconstruida. En otras palabras, un modelo que cabe en 17 GB de VRAM recuperó una clave que el proveedor había ocultado deliberadamente, demostrando que había desmontado toda la cadena de autenticación de manera efectiva.

Los 3 puntos débiles del esquema de licencias

1. La clave era un tamaño incómodo de RSA muy por debajo de lo que cualquiera llamaría fuerza moderna.
2. Al ser totalmente offline, una clave filtrada solo podría revocarse con una actualización.
3. Todas las verificaciones eran locales y, por tanto, modificables como cualquier verificación local.

Riesgos y oportunidades de los modelos locales en ciberseguridad

La autonomía de los modelos locales ofrece ventajas claras: privacidad, control total sobre los datos y la capacidad de analizar software propietario o malware sin exponerlo a servidores externos. Esto es ideal para analizar código confidencial o malware que no se desea que salga de una máquina aislada.

Sin embargo, esta misma autonomía convierte a los modelos locales en un factor a considerar en los modelos de amenaza. Como explicó Conway, al ejecutarse en una máquina local, el usuario tiene control total sobre su uso. En su caso, con software que él poseía, esto fue útil. Pero, al cambiar la persona frente al teclado, las mismas propiedades que hacen atractivos a los modelos locales se convierten en parte del modelo de amenaza.

Si trabajas en desarrollo de software, este caso es una llamada de atención: la IA local ya puede analizar tus sistemas de licencias.

¿Es Qwen 3.8 27B la nueva frontera de la IA local?

Aunque este modelo no resolverá cualquier tarea de ingeniería inversa, su capacidad para entender, corregir y ejecutar un bypass funcional en solo 30 minutos es un hito. Lo más importante no es el nombre de la aplicación analizada, sino el hecho de que una tarea que antes requería modelos frontier ahora es accesible en una PC con una tarjeta gráfica de consumo.

Esto plantea preguntas clave:

• ¿Estamos subestimando el potencial de los modelos locales?
• ¿Cómo afectará esto a la ciberseguridad y el desarrollo de software?
• ¿Qué implicaciones tiene para la privacidad y el control de datos?

Si esto es lo que puede hacer un modelo de 27B parámetros hoy, ¿qué podremos ver en los próximos años? La barrera de entrada para el análisis de software avanzado está bajando, y eso podría democratizar la ciberseguridad… o hacerla más peligrosa.