Hasta 1998 no se exigió por ley federal que todos los vehículos tuvieran airbags: más de un siglo después de la invención del automóvil y aproximadamente tres décadas después de que los airbags se desarrollaran por primera vez como medida de seguridad. Un patrón similar se está reproduciendo ahora con los robotaxis y la ciberseguridad, según expertos de la industria.

Louay Abdelkader, director de gestión de productos de QNX —el proveedor de software automotriz propiedad de BlackBerry cuyos sistemas operativos en tiempo real están integrados en más de 215 millones de vehículos en todo el mundo— considera que este es un problema crítico para el sector. «Por supuesto… hay que tener en cuenta que en la seguridad automotriz, tomó un tiempo hasta que se adoptara», dijo a Fortune. Abdelkader sostiene que los legisladores deberían elevar la ciberseguridad al mismo nivel de prioridad que los airbags, enfatizando que cada vehículo conectado introduce algún grado de riesgo cibernético.

Sin embargo, gran parte del debate público en torno a los robotaxis se ha centrado en otras cuestiones: si los sistemas autónomos son lo suficientemente inteligentes para evitar colisiones, cómo deben las aseguradoras asignar la responsabilidad en caso de accidentes y cómo debería las fuerzas del orden lidiar con autos sin conductor que cometen infracciones de tránsito.

Los robotaxis se están expandiendo rápidamente por Estados Unidos. Zoox recibió recientemente la aprobación regulatoria de la Administración Nacional de Seguridad del Tráfico en Carreteras (NHTSA) para una exención comercial, lo que otorga al servicio de pago un acceso más amplio para operar sin controles manuales. Tesla ha entrado al mercado de los robotaxis con su Cybercab operando en al menos siete ciudades. Waymo, propiedad de Alphabet, ha crecido desde sus orígenes en Arizona hasta 11 grandes ciudades estadounidenses, e incluso se ha asociado con la empresa de viajes compartidos Uber en mercados seleccionados.

A diferencia de los vehículos convencionales, los robotaxis dependen de docenas de unidades de control electrónico interconectadas, redes de alta velocidad, conectividad en la nube, GPS, cámaras, lidar, radar y modelos de IA que interpretan continuamente el entorno circundante. Cada uno de estos componentes amplía lo que los profesionales de ciberseguridad llaman la «superficie de ataque»: la cantidad de posibles puntos de entrada que los hackers pueden explotar. De manera crucial, los robotaxis también dependen de plataformas centralizadas de gestión de flotas que envían vehículos a los puntos de recogida, lo que significa que la propia infraestructura de solicitud de viajes se convierte en un objetivo potencial, no solo los autos en la carretera.

Si bien Hollywood suele representar a los hackers tomando el control remoto de un vehículo completo, los expertos señalan que los ataques modernos tienen más probabilidades de dirigirse al ecosistema más amplio que rodea a los autos autónomos. Incluso si los atacantes no pueden dirigir directamente un vehículo, las comunicaciones interrumpidas podrían degradar la capacidad de un sistema autónomo para navegar de manera segura.

En San Francisco, el autoproclamado «bromista tecnológico» Riley Walz demostró esta vulnerabilidad al organizar un ataque de denegación de servicio (DDoS) grupal contra los Waymos locales. Walz documentó la hazaña en X. La broma consistió en que 50 personas pidieran simultáneamente un Waymo en la misma calle sin salida, creando un embotellamiento que obligó a la empresa a suspender los viajes hasta la mañana siguiente.

El incidente DDoS ocurrió a pesar de las regulaciones de California —donde Waymo opera en San Francisco y Los Ángeles— que exigen a los fabricantes de vehículos autónomos demostrar que pueden monitorear, actualizar y mantener sus flotas de manera segura mientras cumplen con la guía federal de ciberseguridad vehicular. Waymo y el DMV de California no respondieron a las solicitudes de comentarios.

El auge de la IA generativa ha amplificado aún más los riesgos de ciberseguridad. Históricamente, los hackers necesitaban mucho tiempo, conocimientos técnicos y recursos para identificar y explotar vulnerabilidades. La IA ha comprimido drásticamente ese tiempo, según Abdelkader. Advirtió que los actores malintencionados ahora pueden usar IA para identificar vulnerabilidades, automatizar ataques y desarrollar exploits mucho más rápido —y con mayor intencionalidad maliciosa— que la broma de Walz.

Abdelkader afirmó que la ciberseguridad de los robotaxis es responsabilidad compartida de los fabricantes y los legisladores. Sostuvo que los fabricantes deben incorporar la seguridad en los vehículos autónomos desde el principio, en lugar de tratarla como un complemento. «Cuando desarrollas un sistema de ciberseguridad, empiezas desde cero. Es como construir una casa», dijo. «Si tus cimientos no son sólidos, resulta muy difícil construir una casa robusta y segura».

Algunas jurisdicciones ya han comenzado a tratar la ciberseguridad como parte integral de la regulación de vehículos autónomos en lugar de algo secundario. Arizona ha incorporado la planificación de ciberseguridad en políticas más amplias de despliegue de vehículos autónomos, mientras que estados como Michigan han establecido iniciativas de ciberseguridad mediante alianzas con la industria e instituciones de investigación.

Los reguladores internacionales han avanzado aún más. El Reglamento ONU N.º 155 de las Naciones Unidas ahora exige a los fabricantes de automóviles en muchos mercados mantener sistemas certificados de gestión de ciberseguridad durante todo el ciclo de vida de un vehículo, mientras que la norma ISO/SAE 21434 establece estándares de ingeniería para la ciberseguridad en el desarrollo de vehículos. Estados Unidos no tiene un mandato federal equivalente, lo que deja un mosaico de requisitos a nivel estatal.

En la ciudad de Nueva York, sin embargo, donde el alcalde Zohran Mamdani se ha negado a renovar la licencia de Waymo, la ciberseguridad ha estado ausente del debate sobre los robotaxis. El alcalde se ha enfocado en cambio en la protección laboral, citando a los conductores de taxi como su principal preocupación. «Si una empresa como Waymo llega a la ciudad de Nueva York, lo que también encontrará es un gobierno municipal comprometido con los trabajadores que mantienen funcionando a la ciudad», dijo Mamdani en una rueda de prensa. «Esos trabajadores también incluyen a nuestros conductores de taxi a quienes, durante demasiado tiempo, se les ha vendido el sueño de poder trabajar para ascender a la clase media». La oficina de Mamdani no respondió a una solicitud de comentarios.

Abdelkader sostiene que los legisladores de todo el país deberían basarse en los marcos existentes en lugar de esperar a que un incidente cibernético exponga una debilidad. Señaló que los responsables de políticas con demasiada frecuencia separan la seguridad de la ciberseguridad, a pesar de que ambas están «íntimamente ligadas».

«Los legisladores y políticos tienen que trabajar con ellos para asegurar que, de cara al futuro, si hay mejoras que deben hacerse, se determine qué tipo de apoyo es necesario», dijo a Fortune. «Tienes que poder hablar y compartir esa retroalimentación. Esa es la única forma de que la industria crezca de manera efectiva y beneficie a la sociedad».