Watershed 250: el escudo de Texas contra la IA es gratis como un cachorro

La amenaza concreta

El 19 de agosto de 2026, NSA, CISA, FBI, DOE y EPA firmaron el aviso conjunto AA26-231A. Amenaza activa: scripts de explotación generados con IA, disfrazados de herramientas legítimas de monitorización, contra controladores Siemens S7 (series S7-200 a S7-1500) en Estados Unidos.

Un PLC es el ordenador industrial que abre válvulas, dosifica cloro y mueve bombas. No razona. Ejecuta. Si alguien le habla en su idioma, el agua hace lo que le digan.

Los atacantes localizan esos equipos con escáneres públicos como Censys o ZoomEye y se conectan por el protocolo S7comm con librerías open source, snap7.dll y python-snap7. No hace falta un arsenal secreto. Hace falta un modelo que genere el script y un PLC mal expuesto. TechCrunch recogió el aviso al día siguiente.

En paralelo, autoridades de EE.UU. han reportado intrusiones en instalaciones de agua de Minnesota, Michigan, Arkansas, Georgia y Nueva Jersey. Algunas fuentes las atribuyen, con sospecha y sin confirmación, a hackers iraníes. Sospecha, no sentencia.

Doce días después del aviso, el 31 de agosto, Texas estrenó Watershed 250. Un oficial de la Casa Blanca dijo que el programa no responde a los ciberataques que tocaron más de 30 sistemas de Minnesota, aunque esos incidentes subrayaron agujeros en la infraestructura local. El calendario encaja. La causalidad oficial, no.

Mientras tanto, más de 100 empresas, Microsoft, Google, OpenAI, Amazon y Anthropic entre ellas, firmaron una carta abierta que avisa de una ola de ciberataques avanzados con IA contra hospitales, agua e internet "en los próximos meses". Meta y xAI no firman.

El concepto que meten en el texto es el de ataques agénticos: agentes de IA que operan a velocidad de máquina, buscan vulnerabilidades, adaptan lo que hacen a lo que encuentran y encadenan fases con mínima intervención humana. Un proceso que antes tardaba días o semanas podría, en algunos escenarios, bajar a minutos.

La carta no da números. Si se toma el rango literal, de 1 a 14 días a mano y de 1 a 10 minutos con agente, el factor de aceleración va de x144 a x20.160. El centro razonable (una semana comprimida a 5 minutos) sale x2.016. Orden de magnitud, no dato de laboratorio.

El patrón que importa no es solo capacidad técnica. Es velocidad y autonomía: un agente frontier que ejecuta la intrusión de punta a punta, coordina miles de acciones pequeñas, usa plataformas que parecen legítimas para comando y control, y convierte en minutos lo que un humano encadenaba en días. El límite de confianza entre entornos, evaluación contra producción, red de oficina contra planta, es el objetivo atractivo.

Qué es Watershed 250

Según Fox News, es un piloto de seis meses que junta defensas ciber federales, estatales y del sector privado para encontrar vulnerabilidades en los sistemas de agua antes de que las exploten los adversarios, y para probar si el modelo se puede extender al resto del país.

Conecta utilidades texanas con empresas de ciberseguridad de EE.UU., estresa las redes con red-teaming, un equipo que ataca como lo haría un adversario, con permiso, e identifica debilidades. Después refuerza con herramientas ciber y de IA del sector privado.

Greg Abbott lo vendió así: "Project Watershed 250 pone las defensas ciber federales, estatales y del sector privado detrás de nuestras utilidades sin coste".

Los socios federales son EPA y CISA. En Texas entra el Texas Cyber Command: sede en San Antonio, creado el año pasado con 135 millones de dólares de fondos estatales, dirigido por el vicealmirante retirado TJ White, excomandante del U.S. Fleet Cyber Command. Lo cuenta Nextgov.

CyberScoop lista una docena de vendors en la presentación: Parsons, Microsoft, Fortinet, Google Cloud, Palo Alto Networks, Amazon Web Services, Reflection AI, Cloudflare, Zscaler, Forescout, Abnormal AI y Dragos.

Qué significa el "250" del nombre no consta en las fuentes consultadas. Tampoco hay cifra de utilidades texanas participantes ni un agregado oficial de sistemas de agua de Texas.

El programa gratuito que no es gratis

No hay cifra publicada de presupuesto federal. El modelo, en boca de Abbott y del recuento de CyberScoop, es que lo sostienen las contribuciones de esa docena de vendors. El valor económico de esas aportaciones no consta en las fuentes consultadas.

Un profesional de ciberseguridad que trabaja en seguridad hídrica, en anonimato, lo calificó de "puro humo" ("all smoke"): "no hay dinero real detrás". Su crítica no va al red-teaming. Va a que se pida a la industria pagar lo que, a su juicio, debería financiar el gobierno.

Josh Corman, del Institute for Security and Technology, lo dejó más fino en GovInfoSecurity:

El equipo ciber gratuito es "gratis como un cachorro, no gratis como una cerveza".

Hay que instalarlo y mantenerlo. En organizaciones pequeñas sin personal ciber dedicado, eso obliga a desviar a gente de sus funciones principales.

El GAO ya avisó en agosto de 2024 que la EPA no había priorizado los mayores riesgos ciber del sector y dependía del enfoque voluntario. Su exigencia de evaluaciones ciber de marzo de 2023 se retiró 7 meses después, tras desafíos legales. El GAO hablaba entonces de "nearly 170,000" sistemas hídricos. La cifra vigente de CISA es ~168.000: 152.000 de agua potable, 50.000 de ellos comunitarios, y más de 16.000 de residuales. Más del 80% de la población bebe de esos sistemas: cota inferior de 273,4 millones de personas sobre 341,8 millones del Census (V2025).

La media aritmética da 1.799 personas por sistema potable, sesgada al alza: 100.000 de los 152.000 son sistemas muy pequeños, y los 50.000 comunitarios son solo el 32,9% de los potables. Fragmentado y corto de recursos. Nextgov lo dice sin adorno: muchos proveedores carecen de personal, financiación y experiencia técnica en ciberseguridad; el acceso remoto mal asegurado es la vía hacia el tratamiento y la distribución.

El cachorro tiene precio aunque la factura de entrada salga a cero. Un analista de ciberseguridad cobra de mediana 129.180 dólares al año (BLS, mayo 2025). Un operador de agua, 60.020. Ratio: 2,15 veces. Brecha absoluta: 69.160 dólares al año. Si el piloto de seis meses se cubre con medio año de analista a jornada completa, son 64.590 dólares; al 25% de un FTE, supuesto, no dato, 16.148. Eso es lo que cuesta el experto que el cachorro debería suplir.

El mercado empuja en la dirección incómoda. Hay 131.000 operadores (proyección 2025-35: -6%) frente a 192.900 analistas ciber (+21%). El sector que tiene que pasear al cachorro se encoge. El que lo cría, crece.

Endurecer la salida, no el eslogan

Watershed 250 apuesta por red-teaming: estresar la red, listar agujeros, parchear con herramientas de vendors. Contra un agente que genera scripts y se adapta, el red team encuentra lo que el tiempo y el perímetro le dejan ver.

El principio que no está en el folleto: endurecer en la salida, no confiar en el prompt. Contra una inyección de prompt, el prompt es la primera línea, nunca la garantía. El daño real es el OUTPUT, el comando, el volcado, el correo, la instrucción que sale hacia un sistema que mueve materia.

Checks deterministas sobre la respuesta final, baratos, testeables sin LLM:

• Anti-fuga de secretos: comparar el output contra valores reales de variables de entorno KEY, TOKEN, SECRET, PASSWORD.
• Anti-fuga del system prompt: marcadores de alta precisión; no penalizar palabras-tema cuando el modelo se niega.
• Anti-eco de enlaces: si reaparece la URL del cliente, es violación.

Cualquier violación: se descarta la respuesta y se escala a un humano, en silencio.

Traducido a una planta: no le preguntes al modelo si "debería" abrir la válvula. Mira si el comando que sale hacia el PLC es el que la física y la receta química permiten. El SCADA no se defiende con un system prompt educado.

¿Watershed 250 está endureciendo la salida de los sistemas SCADA o solo haciendo red-teaming? La pregunta queda abierta. Ese detalle no consta en las fuentes consultadas.

Quién paga el agua

El programa es real. La amenaza está documentada. El modelo de financiación es la pregunta operativa: quién paga la seguridad del agua cuando el gobierno no pone una cifra.

El piloto dura seis meses: del 31 de agosto de 2026 al 28 de febrero de 2027 (181 días) o al 1 de marzo (182). A 1 de septiembre ha transcurrido 1 de 181 días: el 0,55%. No hay resultados publicados. No se puede afirmar que ya funcione ni que haya mejorado la seguridad.