La iniciativa apunta a servicios públicos, infraestructura crítica y organizaciones con pocos recursos, pero no promete acceso gratuito ni cobertura global.
Una búsqueda defensiva con autorización
Wiz lanzó el 24 de septiembre Scan for Good, una iniciativa que combina su sistema Red Agent, modelos de la familia Gemini y especialistas humanos para identificar exposiciones de seguridad en organizaciones que prestan servicios esenciales o cuentan con pocos recursos defensivos.
El programa menciona servicios públicos, infraestructura crítica, salud y organizaciones sin fines de lucro. Su propuesta es detectar configuraciones o rutas de ataque que puedan explotarse desde internet, comunicar los hallazgos de forma privada y acompañar la corrección cuando corresponda. No se trata de escanear cualquier sistema sin permiso: la presentación de Wiz limita el trabajo a organizaciones con un programa de recompensas por errores, una política de divulgación de vulnerabilidades —VDP, por sus siglas en inglés— o autorización explícita.
Ese límite es central. Las herramientas de seguridad pueden descubrir problemas reales, pero probar sistemas sin consentimiento genera riesgos legales y operativos. Wiz dice que cada hallazgo potencial será revisado y validado por una persona antes de decidir su impacto o una divulgación. La IA amplía la exploración; no recibe autoridad final para contactar a una organización o publicar una vulnerabilidad.
Qué papel cumple Gemini 3.8 Flash Cyber
Scan for Good utiliza capacidades de la familia Gemini y, según Wiz, especialmente Gemini 3.8 Flash Cyber. Esa variante fue presentada por Google para trabajo de ciberdefensa y acceso controlado. En este programa alimenta Red Agent, el sistema de Wiz orientado a investigar exposiciones y posibles caminos de ataque en entornos cloud.
La compañía sostiene que la combinación puede explorar más sistemas y posibilidades que un equipo humano por sí solo. Sin embargo, no publicó en el anuncio una comparación completa que permita medir cuántos hallazgos adicionales provienen del modelo, cuál es la tasa de falsos positivos o cuánto tiempo se ahorra por organización.
Wiz afirma que las primeras tareas de Scan for Good ayudaron a corregir cientos de exposiciones públicas y que algunos casos fueron descubiertos de manera autónoma. Esos resultados son afirmaciones de la empresa. Las entidades afectadas fueron anonimizadas y no hay una auditoría independiente disponible en las fuentes revisadas. Por eso, el dato sirve como señal inicial, no como prueba universal de eficacia.
La cobertura de Cybersecurity Dive ubica la iniciativa dentro del esfuerzo por acercar capacidades avanzadas a organizaciones con menos recursos. The Register, en cambio, pone el foco en las preguntas de control que surgen cuando un modelo con capacidad ofensiva se usa contra infraestructura sensible. Ambas lecturas refuerzan la importancia de autorización, supervisión y divulgación responsable.
Cómo funcionaría la participación
Wiz habilitó un formulario de solicitud para organizaciones interesadas. La existencia del formulario no implica aceptación automática. La empresa no confirmó una lista pública de países elegibles, un cupo, un plazo de respuesta ni que el servicio sea gratuito en todos los casos.
La expresión “for Good” podría sugerir una prestación benéfica sin costo, pero las fuentes verificadas no permiten afirmarlo. Una organización que evalúe postularse debería pedir por escrito el alcance técnico, las condiciones económicas, la jurisdicción aplicable, el tratamiento de datos y la responsabilidad ante interrupciones o hallazgos sensibles.
También conviene definir qué sistemas entran en la autorización. Una institución puede operar servicios propios junto con plataformas de terceros, proveedores cloud y aplicaciones heredadas. Un permiso demasiado amplio o ambiguo puede exponer entornos que no pertenecen a quien presenta la solicitud. La autorización debe nombrar dominios, cuentas, rangos, horarios, métodos permitidos y contactos para incidentes.
Lo que cambia para equipos de seguridad
La novedad no es solamente aplicar un modelo a un escáner. Wiz plantea usar agentes para reconstruir caminos complejos: una exposición aislada puede parecer menor, pero combinada con permisos excesivos, credenciales o recursos conectados puede abrir una ruta de mayor impacto. Ese análisis contextual es uno de los lugares donde los proveedores esperan que la IA aporte velocidad.
Para equipos pequeños, una iniciativa así podría ofrecer una segunda mirada sobre superficies difíciles de revisar manualmente. Sin embargo, recibir un hallazgo no equivale a resolverlo. Hace falta reproducirlo de forma segura, identificar al dueño del sistema, priorizar la corrección, probar que el cambio no rompió el servicio y confirmar que la exposición desapareció.
Wiz promete publicar, una vez remediados los problemas, investigaciones anonimizadas sobre patrones de vulnerabilidad y el aporte de la IA a la explotabilidad práctica. Esa publicación futura podría permitir una evaluación más útil que el anuncio inicial. Hasta entonces, faltan ejemplos técnicos suficientes para que terceros comparen los resultados.
Qué significa para Paraguay y América Latina
Servicios de salud, gobiernos locales, universidades y organizaciones sociales de la región suelen operar con equipos reducidos y sistemas heterogéneos. Son perfiles que encajan conceptualmente con el público descrito por Scan for Good. No obstante, Wiz no confirmó cobertura para Paraguay ni para toda América Latina.
Si tu organización considera solicitar acceso, no cargues información sensible en el formulario sin revisar su finalidad. Prepará primero un inventario básico de activos expuestos, responsables y proveedores. Confirmá además que tenés autoridad para autorizar las pruebas. Un tercero no debería postular una institución sin su consentimiento.
El programa tampoco reemplaza prácticas fundamentales: autenticación multifactor, gestión de parches, copias de seguridad, registros, mínimos privilegios y un canal de respuesta. La IA puede ayudar a encontrar una ruta de ataque; no sustituye la gobernanza necesaria para cerrarla.
Qué conviene observar ahora
Hay tres preguntas que definirán el valor real de Scan for Good. La primera es el acceso: qué organizaciones, países y condiciones económicas acepta Wiz. La segunda es la evidencia: cuántos hallazgos se validan, qué proporción resulta accionable y cómo se evita afectar sistemas críticos. La tercera es el aprendizaje compartido: qué detalles técnicos podrá publicar la empresa sin poner en riesgo a las organizaciones participantes.
Por ahora, la noticia es una iniciativa defensiva con un marco explícito de autorización y revisión humana. Su ambición es relevante, pero sus resultados permanecen principalmente respaldados por Wiz y sus socios. Para evaluarla con rigor, habrá que separar el alcance anunciado de los casos auditables que aparezcan después.