Bloqueado por defecto

Buscamos gente con pensamiento crítico. Se dice con la cara seria en entrevistas de trabajo, en aulas, en el discurso de apertura de cualquier institución que quiera sonar moderna. Se dice tanto que dejó de mirarse. Y cuando una frase se repite hasta perder relieve, casi siempre es porque protege algo que sí importa y que nadie quiere nombrar.

Lo que protege es esto: se pide pensamiento crítico, pero se pide medido. Se quiere a alguien que cuestione el proceso, no la premisa del proceso. Que mejore el sistema, no que diga que el sistema no existe. El pensamiento crítico es bienvenido mientras se mantenga del lado seguro de una línea que nadie dibuja explícitamente pero que todos saben dónde está. Cruzarla no se castiga con un reglamento. Se castiga con incomodidad, con distancia, con la sensación física de que el que habló de más rompió algo que se suponía que no debía tocar.

No es hipocresía. Es estructura. Y la diferencia importa, porque a la hipocresía se le puede pedir coherencia y a la estructura no: la estructura solo se puede entender, y después decidir qué hacer con ella.

El umbral no es moral. Es de carga.

Toda creencia central de una persona o de una organización es estructural en el sentido literal: sostiene peso. Sobre ella se apoyan decisiones, identidad, años de esfuerzo, la justificación de por qué se hizo lo que se hizo. Cuestionar una creencia periférica es barato; se puede revisar sin que se caiga nada. Cuestionar una creencia que sostiene peso es otra cosa. No es que la persona no pueda entender el argumento. Es que entenderlo le sale carísimo.

Ese es el punto que casi nadie dice en voz alta. El crítico honesto no es rechazado porque se equivoque. Es rechazado, muchas veces, precisamente cuando tiene razón. Una crítica falsa se descarta sin costo — se refuta o se ignora, y la estructura queda como estaba. Una crítica acertada que toca una viga obliga a elegir entre dos cosas: reescribir la estructura, o deshacerse de quien la señaló. Reescribir la estructura cuesta meses, a veces años, a veces una identidad entera. Deshacerse del que señaló cuesta una conversación incómoda y un poco de frío. El sistema cognitivo elige lo barato. Siempre elige lo barato. No por cobardía: por economía. La cobardía sería un defecto del carácter; esto es una propiedad del presupuesto.

Por eso la gente que reclama pensamiento crítico a los cuatro vientos suele ser la que peor lo tolera cuando le llega de verdad. No mienten cuando lo piden. Piden el pensamiento crítico que imaginan: agudo, incómodo para otros, validante para ellos. Lo que llega cuando llega de verdad es otra cosa. Llega apuntando a lo propio. Y ahí el discurso se invierte sin que la persona note la inversión. Eso no es crítica, es negatividad. Eso no es honestidad, es soberbia. No aporta. No suma. No es el momento. Son las frases con las que un sistema expulsa lo que no puede integrar sin reescribirse. No son acusaciones. Son síntomas.

Descartar al mensajero es más rápido que pensar el mensaje.

Aquí conviene ser preciso, porque es fácil convertir esto en una queja, y la queja no sirve. El mecanismo no es que la gente sea tonta o deshonesta. Es que pensar de verdad lo que el otro dice — cuando el otro dice algo que choca con lo que uno construyó — es un trabajo que el cerebro está diseñado para evitar. Reescribir una creencia central no es agregar un dato. Es demoler y volver a levantar con la casa habitada. Mientras tanto hay que seguir funcionando, decidiendo, sosteniéndose. El camino corto — descartar a quien trajo el dato — deja la casa en pie. El camino largo la pone en obra.

La mayoría elige la casa en pie. Y lo notable es que después no recuerda haber elegido. La mente fabrica la razón por la cual el crítico estaba equivocado, y la fabrica con tanta eficiencia que la persona queda convencida de que pensó el asunto cuando lo único que hizo fue cerrarlo. Eso es lo que vuelve tan solitaria la posición del que mira de más: no es que lo contradigan. Es que lo procesan, lo archivan como ruido, y siguen. Sin fricción visible. La fricción quedó adentro, resuelta a favor de lo cómodo, y borrada del registro.

Hay una palabra exacta para lo que las instituciones venden cuando piden crítica y reparten consuelo, y no es mentira. Es anestesia.

La anestesia no es un engaño: es un producto, y cumple. Apaga la señal sin tocar la causa. El dolor — en un cuerpo, en una organización, en una creencia — es información: avisa que algo está soportando una carga que no puede soportar. La promesa institucional (estás seguro, estamos protegidos, aquí valoramos a los que piensan) actúa sobre esa señal exactamente como actúa un analgésico: la suprime, y deja la causa intacta, trabajando en silencio. El que compra la promesa no compra protección. Compra dormir. Y dormir tiene demanda infinita, porque la alternativa — sentir la viga crujir cada noche — es invivible sin obra, y la obra es cara.

Por eso el mercado de la tranquilidad es el más estable que existe: no depende de que el producto funcione, depende de que el cliente necesite creer que funciona. Y por eso el que interrumpe el efecto — el que dice la señal sigue ahí, solo dejaste de sentirla — no es recibido como un diagnóstico. Es recibido como el dolor mismo. Matar al mensajero y subir la dosis son, estructuralmente, el mismo gesto.

Ahora la pregunta que casi nadie está listo para escuchar.

¿Qué pasaría si te dijeran que buena parte de lo que estudiaste, lo que te esforzaste en dominar, la disciplina entera a la que le diste años, es teatro? No mentira. Teatro. Una puesta en escena que cumple una función real — tranquilizar, ordenar, justificar presupuestos — pero cuya relación con lo que dice proteger es mucho más floja de lo que el folleto admite.

Lo digo desde un oficio que conozco de los dos lados. La ciberseguridad se vende sobre una promesa: estás seguro, nosotros te protegemos. Es una promesa cómoda para todos. El que la compra puede dormir. El que la vende puede facturar. Y casi nadie en la cadena tiene incentivo para mirar de cerca qué hay debajo de la palabra protección.

Lo que hay debajo, en gran medida, es un programa paranoico. Un sistema que bloquea por defecto todo lo que no reconoce y lo retiene hasta que alguien — una persona o un modelo — revisa y dictamina que es legítimo. Deny by default. No distingue lo bueno de lo malo. Distingue lo conocido de lo desconocido, y trata lo desconocido como culpable hasta prueba en contrario. Funciona, a su manera. Detiene casi todo lo torpe, lo masivo, lo ya catalogado. Lo que no detiene es lo que vino diseñado para no parecerse a nada catalogado. Y ahí la palabra protección empieza a mostrar de qué está hecha.

Porque la amenaza que importa no es la que el programa frena. Es la que pasa. Y cuando pasa una de verdad — sofisticada, paciente, hecha para no levantar la mano — el trabajo real deja de ser proteger. Pasa a ser otra cosa: reconstruir cómo entró, qué tocó, cuánto tiempo estuvo adentro, y después armar un relato razonable de por qué no va a volver a ocurrir. Lo primero es ingeniería forense, difícil y honesta. Lo segundo es teatro. Y el teatro suele terminar en una recomendación que cabe en una línea: no vuelvas a descargar adjuntos de correos raros.

Los números no acompañan al folleto.

Esto no es opinión amarga; está en los datos de quienes investigan incidentes reales, y conviene tratarlos despacio porque cada uno desarma una pieza distinta de la escena.

El informe M-Trends 2026 de Mandiant, construido sobre cientos de miles de horas de respuesta a incidentes, muestra que el tiempo entre el acceso inicial a una red comprometida y el traspaso a un segundo actor — el momento en que la intrusión ya está industrializada y en venta — se desplomó de más de ocho horas en 2022 a veintidós segundos en 2025. Veintidós segundos. Menos de lo que tarda un analista en terminar de leer la alerta que le avisa que la brecha empezó. El mercado del acceso ilegítimo se automatizó más rápido que el mercado de la defensa, lo cual no debería sorprender a nadie que haya comparado los incentivos de los dos lados.

En el mismo informe, el tiempo medio que un atacante permanece dentro sin ser detectado subió a catorce días, y en los casos de espionaje y de operarios infiltrados con identidad falsa la mediana fue de ciento veintidós días — cuatro meses viviendo adentro —, con intrusiones que pasaron más de un año sin que nadie las viera. La mayoría de las organizaciones, además, no descubre la brecha por sí misma: se entera por un tercero. La policía, otra empresa, o el propio atacante pidiendo rescate, que es la forma más humillante posible de recibir un informe de auditoría.

Y el dato que más limpio desarma la promesa: el tiempo medio para explotar una vulnerabilidad nueva es ahora negativo — alrededor de menos siete días. La explotación empieza, en promedio, una semana antes de que exista el parche que la corrige. En 2018 esa ventana era de sesenta y tres días a favor del defensor: dos meses para identificar, priorizar, probar y desplegar el arreglo. Hoy la ventana no se achicó. Se invirtió. Se le está cerrando la puerta a algo que ya entró por una puerta que el fabricante todavía no sabe que tiene.

El consejo del folleto — cuidado con el correo — mientras tanto envejece. En las cifras de 2025, el phishing por correo cayó a un seis por ciento de los accesos iniciales; en 2022 era el veintidós. Lo que crece son los exploits sobre los dispositivos de borde, las llamadas de voz que manipulan a una mesa de ayuda, el malware que consulta un modelo de lenguaje para reescribir su propio código y no parecerse nunca dos veces a sí mismo. El umbral se movió. El guion no. Se sigue recitando no abras ese adjunto porque es lo que cabe en una capacitación de cuarenta minutos y deja a todos con la sensación de haber hecho algo. La capacitación no está dimensionada contra la amenaza. Está dimensionada contra la ansiedad.

Eso es teatro. No en el sentido de que sea inútil — algo frena, y frenar lo torpe importa, porque lo torpe es la mayoría del volumen — sino en el sentido de que la escena que se monta es mucho más tranquilizadora que el escenario real. Y quien lo dice en voz alta, dentro de una organización que vive de la promesa, es exactamente el proceso desconocido que el sistema bloquea por defecto. Incómodo. Sin clasificar. Retenido hasta revisión, o expulsado en silencio.

La pregunta está mal hecha, y ese es el problema entero.

¿Estamos seguros? no tiene respuesta útil. ¿Podemos protegernos? tampoco; la respuesta honesta es no, no del todo, no contra alguien decidido y con recursos. Mientras la conversación gire alrededor de esas preguntas, el teatro es inevitable, porque son preguntas que solo se pueden contestar con una puesta en escena. Exigen un sí. Y el único sí disponible es actuado.

La pregunta que sí tiene respuesta es otra: ¿podemos construir sistemas cuya brecha eventual no sea catastrófica? Esa se puede contestar de verdad, con ingeniería y no con relato. Asumir que la entrada va a ocurrir. Diseñar para que, cuando ocurra, el daño quede contenido, el movimiento lateral sea caro, la detección sea rápida, la recuperación no dependa de la misma infraestructura que el atacante va a tocar primero. No prometer un borde impenetrable: construir un adentro que sobreviva a su propio borde roto. El borde no protege. Contiene. Confundir las dos cosas es donde se origina casi todo el teatro de este oficio.

Y lo que vale para la ciberseguridad vale para la frase del principio, porque es la misma estructura con otro presupuesto. Una organización que reclama pensamiento crítico y expulsa al crítico está haciendo lo mismo que un antivirus: bloqueando por defecto lo que no puede clasificar sin reescribirse. La pregunta ¿queremos gente que piense? tiene una sola respuesta presentable, y por eso se contesta siempre que sí, con la cara seria, en el discurso de apertura. La pregunta honesta es la otra: ¿podemos construir un sistema — una empresa, un equipo, una cabeza — capaz de absorber una verdad incómoda sin colapsar? Esa casi nadie se la hace, porque la respuesta exige obra, no folleto.

El crítico que dice esto es teatro le hace a la institución lo que la amenaza sofisticada le hace al programa paranoico: pasa el filtro cómodo y aparece adentro, donde se suponía que no podía estar. La reacción es idéntica en los dos casos. Primero se intenta clasificarlo como ruido — negatividad, soberbia, no es el momento. Si insiste, se lo aísla. Y si tiene demasiada razón, se reescribe el relato de por qué nunca tuvo razón, con la misma eficiencia con la que un equipo de respuesta redacta el informe de que esto no va a volver a pasar.

Y en este punto el ensayo me obliga a darme vuelta, porque todo lo anterior está escrito desde el lado halagador de la historia — el del crítico lúcido rodeado de sistemas que no lo toleran — y ese lado es demasiado cómodo para ser todo el cuadro.

Yo también corro deny by default. He archivado mensajeros. Puedo nombrar, sin esforzarme, dos o tres ocasiones en que alguien me señaló una viga y mi mente fabricó en segundos la razón por la que esa persona no entendía el contexto, no tenía los datos, no era el momento. La fabricación fue tan eficiente que tardé años en reclasificar esos episodios como lo que fueron. El mecanismo que describí no es de ellos. Es de cualquier sistema que sostiene peso, y yo sostengo peso.

Y hay algo más incómodo todavía: esta tesis — casi todo es teatro — ya es una viga mía. La construí con años de mirar el oficio por dentro, me ordena la experiencia, me justifica decisiones. Si mañana alguien me demuestra que está mal calibrada — que subestimo lo que el teatro previene, que confundo mi cansancio con un diagnóstico —, lo económico para mí será archivarlo. Conozco el precio de las verdades parciales: se cobran el día en que uno las asciende a estructura y deja de auditarlas. No tengo una forma limpia de garantizar que voy a pensar esa crítica en lugar de cerrarla. Nadie la tiene. Lo único disponible es saber que el filtro existe y dejar esta nota como tripwire: si algún día descarto rápido a alguien que toque esta viga, que la velocidad misma me resulte sospechosa.

Porque el escepticismo también se vende como anestesia. Todo es teatro puede ser un diagnóstico o puede ser una dosis: la posición cómoda del que ya no espera nada y por lo tanto no debe construir nada. El cínico y el crédulo duermen igual de bien; solo cambia el somnífero. El que se cree el folleto apaga la señal con la promesa. El que se cree su propio desencanto la apaga con la superioridad de haberla visto. La señal, mientras tanto, sigue ahí, y la viga sigue crujiendo para los dos.

No hay nada que reparar en todo esto, ni nadie a quien convencer de que mire. El que no quiere reescribir su casa tiene buenas razones de economía para no hacerlo, y señalárselas no sirve: solo lo hace defenderlas mejor. El teatro tampoco es el problema. Pretender que no es teatro es el problema. Hay una diferencia operativa entre el que monta la escena sabiendo que es escena — y la usa para lo que sirve, sin creerse el guion — y el que se la cree. El primero puede, eventualmente, construir un adentro que sobreviva. El segundo solo puede actuar más fuerte cuando entra el frío.

A la gente que pide pensamiento crítico habría que creerle hasta el punto exacto en que su propia viga aparece en la mira. Después de ese punto, lo que dice ya no informa sobre lo que tolera. Conviene ubicar ese punto antes de cruzarlo — no para no cruzarlo; cruzarlo a veces es lo único honesto disponible — sino para no sorprenderse con el costo. La sorpresa es opcional. El costo no.

En años de mirar esto desde los dos lados encontré una sola conclusión que aguanta carga: el sistema que sobrevive no es el que promete que no lo van a romper. Es el que ya sabe que lo van a romper y está construido para seguir de pie igual. Vale para una red, para una empresa, para una cabeza. La escribo sabiendo que, al escribirla, la convierto en viga — y que alguien, algún día, va a venir a tocarla. Si ese día lo archivo rápido, este texto queda como evidencia en mi contra.

Para eso se escribe. Para que el relato cómodo no pueda decir, después, que nadie lo había visto.