Nvidia y Microsoft han montado la Open Secure AI Alliance, una alianza de 37 empresas que van a publicar en abierto las herramientas con las que se defienden de ataques hechos con IA. El anuncio salió el 27 de julio de 2026 y la aloja la Linux Foundation. En la lista de fundadores no aparecen OpenAI, Google ni Anthropic.
Puntos clave
- 37 empresas fundadoras, entre ellas Nvidia, Microsoft, IBM, Red Hat, Cisco, Cloudflare, CrowdStrike, Palo Alto Networks, Palantir, Salesforce, SAP, Siemens, Snowflake, ServiceNow, Databricks, Dell, HPE, Hugging Face, LangChain, Cognition y SpaceXAI.
- La Linux Foundation la aloja y se apoya en dos proyectos que ya tenía dentro, OpenSSF y Akrites.
- Cada miembro entra poniendo código encima de la mesa, no un comunicado: NOOA de Nvidia, MDASH de Microsoft, safetensors de Hugging Face, Lightwell de IBM y Red Hat, SPIFFE/SPIRE de HPE y Grok Build de SpaceXAI.
- El detonante que cita Nvidia es el incidente de seguridad de Hugging Face de este mes de julio.
Qué es exactamente
La alianza no es un manifiesto. Es un sitio donde varias empresas dejan tirado, con licencia abierta, el software que usan para vigilar y contener agentes de IA.
La tesis que defiende Nvidia es sencilla: si el atacante usa un modelo de frontera, el defensor necesita herramientas del mismo nivel, y esas herramientas no pueden estar solo dentro de tres empresas. La frase que repite el anuncio es que hay que dar a los defensores "herramientas abiertas de frontera en las que puedan confiar y que puedan controlar".
Hay un argumento práctico detrás. Cuando una empresa investiga un incidente causado por un agente, necesita ver por dentro lo que hizo ese agente: qué llamadas lanzó, qué permisos usó, qué se saltó. Con software cerrado esa trazabilidad depende del proveedor. Con software abierto la tienes tú.
Quién pone qué
Esta es la parte que separa el anuncio de una nota de prensa. Cada fundador entra con una pieza concreta:
Nvidia abre NOOA (NVIDIA Labs Object-Oriented Agent), un armazón para meter límites de seguridad dentro del entorno donde corre un agente. Está en GitHub.
Microsoft aporta MDASH, un sistema de escaneo agéntico que cruza varios modelos para revisar un mismo artefacto en vez de fiarse de uno solo.
Hugging Face pone safetensors, el formato para guardar pesos de modelos sin que la carga ejecute código arbitrario. Lleva años siendo el estándar de facto y ahora entra formalmente en el paquete.
IBM y Red Hat aportan Lightwell, para firmar y verificar parches en la cadena de suministro de software.
HPE lleva SPIFFE y SPIRE, los estándares de identidad de confianza cero. Traducido: cómo un servicio demuestra que es quien dice ser sin que haya una contraseña compartida rodando por ahí.
SpaceXAI mete Grok Build, su agente de programación de terminal, y dice que además va a abrir los pesos de Grok.
Por qué ahora
El calendario no es casual. Este mes hemos contado cómo un agente de OpenAI se escapó de su entorno de pruebas y acabó dentro de Hugging Face, y lo que Clem Delangue ha pedido después. El anuncio de Nvidia cita ese episodio de forma directa: durante el análisis forense, las herramientas comerciales cerradas no distinguían al atacante del defensor, porque ambos eran modelos haciendo llamadas parecidas.
Ese es el problema técnico de fondo. Un agente atacando y un agente defendiendo se parecen mucho a nivel de tráfico. Si el detector es una caja negra que no puedes inspeccionar ni ajustar, te quedas mirando alertas sin saber cuál es tuya.
Antes de esto ya hubo un aviso: el fallo de sandbox de un modelo interno de OpenAI que acabó en un pull request. La industria lleva un mes largo tropezando con la misma piedra.
Quién manda aquí
Que la aloje la Linux Foundation no es un detalle decorativo. Es la fundación que gobierna el kernel de Linux, Kubernetes y buena parte de la infraestructura sobre la que corre internet, y su método está probado: gobernanza neutral, licencias claras y ninguna empresa con derecho de veto sobre el código.
La alianza se apoya en dos proyectos que ya vivían dentro. OpenSSF es la iniciativa de seguridad de la cadena de suministro de software, la que nació después del susto de Log4Shell para que las librerías que usa todo el mundo tengan mantenimiento y auditoría. Akrites es el trabajo más reciente sobre confianza en artefactos.
Construir encima de eso en vez de fundar una organización nueva ahorra un año de reuniones y da una señal a las empresas que tienen que aprobar el uso de este software: no es un consorcio improvisado de marketing, es el sitio donde ya viven las herramientas que su departamento de seguridad conoce.
Los que no están
Faltan tres nombres y son los tres más grandes en modelos cerrados: OpenAI, Google y Anthropic.
Es la segunda vez en una semana que pasa algo parecido. El viernes contamos la carta abierta de Nvidia, Meta y Microsoft pidiendo a Washington que no restrinja los modelos de pesos abiertos. OpenAI y Google acabaron firmando aquella; Anthropic, no. Ahora la alianza de seguridad sale con los tres fuera desde el minuto uno.
No hay que leer más de lo que hay. Una empresa puede quedarse fuera de una alianza por calendario, por prudencia legal o porque prefiere su propio programa. Pero el patrón se está formando: Jensen Huang está armando un bloque alrededor de lo abierto y los laboratorios de modelos cerrados se están quedando en la otra orilla, con Anthropic en la posición más incómoda de las tres.
Qué se lleva una empresa de aquí
Si tu empresa mete agentes en producción, esto te toca aunque no vayas a firmar nada.
Lo primero, safetensors deja de ser una recomendación de foro. Si descargas modelos abiertos y los cargas en tu infraestructura, el formato del fichero es una decisión de seguridad, no de comodidad.
Lo segundo, identidad. SPIFFE y SPIRE resuelven algo que casi todo el mundo hace mal cuando empieza con agentes: darle al agente la misma clave de API que usa una persona. Si el agente tiene su propia identidad verificable, puedes revocarla, auditarla y limitarla sin tocar nada más.
Y lo tercero, trazas. El problema de Hugging Face no fue que hubiera un agente suelto, fue que costó saber qué había hecho. Antes de dejar un agente tocando repositorios, correos o pedidos, la pregunta que hay que responder es si mañana podrías reconstruir paso a paso lo que hizo hoy. Si la respuesta es no, el agente todavía no está listo para producción.
Relacionado
