• la distribucion esta rota porque los gatekeepers crean vallas cada dia mas altas para que la audiencia se quede dentro (piensen en X o LinkedIn penalizando contenido con links externos)
• la originalidad no es recompensada porque los LLMs cada dia responden mas y mas preguntas sin mandar tráfico a las fuentes (Google reteniendo cada dia más tráfico gracias a los “AI Overviews) y eso mata tu modelo de negocios.

Entonces, no importa si tenés un blog o un medio es casi utópico vivir del tráfico; con lo que la respuesta tipica seria: un newsletter es el unico canal donde el deliverability es tuyo y no intermediado, pero ojalá fuese tan simple.

Pero vamos por partes para entender porque creo que hoy por hoy el contenido, es solo una forma de crear tu comunidad y monetizarla alrededor de eso…. y quizas las suscripciones sean tu unica salida.

Distribucion: las plataformas penalizan tu contenido

Cuando X abrió su algoritmo en enero de 2026, quedó documentado que el modelo que predice engagement (Phoenix, con 19 tipos de interacción) directamente no incluye el click a un link externo como una acción a maximizar, el sistema aprende, sin necesidad de una regla explícita, que los posts con URL matan la sesión de engagement, y los castiga en consecuencia

Literalmente, 94% menos vistas tiene un tweet con link, Buffer llegó a ese número analizando 18.8 millones de posts: desde marzo de 2025, un post con link de una cuenta gratuita prácticamente no tiene desempeño, con tasas de engagement en cero.

Y el propio Musk lo admitió en público: confirmó que los posts con links que sacan al usuario de la plataforma sufren una reducción de alcance de entre 50% y 90%.

Aunque Musk sea mas directo, lo de LinkedIn es la misma jugada, solo que con maquillaje corporativo, el mecanismo ahí se llama dwell time (cuánto tiempo te quedás leyendo sin irte) y es hoy la señal dominante del ranking, por encima de likes o reacciones.

El resultado práctico: si hay link te vas y el post decae en el ranking… entonces un post con link a un sitio externo recibe aproximadamente 60% menos alcance que un post idéntico sin link, (Dato: ¿ponés el link en el primer comentario? el algoritmo de 2026 identifica ese “bridge behavior” y aplica una penalización similar)

La única forma de lograr audiencia gracias a LinkedIn es quedarte adentro de su ecosistema: artículos nativos, newsletters de LinkedIn, carruseles de documentos, todo lo que no sea “click y te vas” gana distribución; todo lo que sí, la pierde.

Es la misma lógica del AIO de Google aplicada a redes sociales: la plataforma te penaliza porque tu link es, literalmente, el evento que termina la sesión que le genera plata a la plataforma.

Originalidad: Google con AI es tu competidor directo

Se acaba de publicar un paper (Agarwal & Sen, junio 2026, SSRN) que, con un experimento causal real y no con correlaciones, muestra que: de cada 100 búsquedas en Google hoy con “AI Overview” activado solo salen 37 o sea que si zero-click, era un dolor de cabeza estructural desde hace rato, ahora es directamente tu competidor principal: 7 de cada 10 búsquedas quedan en Google.

A más de 1.000 usuarios reales de Chrome, les instalaron una extensión (basada en Webmunk) y los repartieron al azar en tres grupos:

• Control: Google normal, con AI Overviews cuando corresponde.
• HAIO (“Hide AI Overview”): la extensión borra AIO en tiempo real y corre los resultados orgánicos hacia arriba, sin que el usuario note nada raro.
• AI Mode: redirigidos directo a la interfaz conversacional tipo Gemini.

Se los midio durante dos semanas de tracking pasivo; clicks, tiempo en página, bounce rate; luego se invirtieron los grupos (los de HAIO pasaron a ver AIOs y viceversa) para confirmar el efecto con cada usuario como su propio control. Esto es lo que le da peso al paper: no es “comparamos sitios con y sin AIO”, es el mismo usuario, la misma sesión, con y sin el resumen de IA.

Dato “de color” ¿donde no hay cambios? Los clicks en anuncios no se mueven. Cero efecto, o sea que la maquina de ingresos de $GOOG no sufre y esto, tal vez, explica la demora en integrar AI en SERP.

Con matices metodológicos aparte, la lectura de fondo es clara: si la industria se mueve del SERP tradicional a interfaces conversacionales, la dependencia de tráfico de búsqueda como modelo de negocio se rompe todavía más.

¿Newsletter?¿Blog?¿Redes?

Honestamente no lo termino de entender, pero lo claro es que estas dos fuerzas estan rompiendo el mercado del contenido original… y el unico, repito, el UNICO contenido que las redes van a priorizar es el que genera engagement basico y dentro de sus fronteras, el resto lo ven como enemigo.

Y ahi ¿como logras aumentar tu audiencia si ya no estas establecido? con el playbook tradicional de crear seguidores en redes ya sabemos que es imposible (vayan a releer el punto 1) y con el SEO tambien (vayan a releer el punto 2) entonces lo que te queda es el boca a boca y la monetización de la audiencia que ya tenés y para eso tenes que ser el dueño de tu plataforma.

Entonces, blog o newsletter o canal en YouTube (que por naturaleza propia es un jardín vallado pero con valor propio) o un conjunto de los 3… y suscripciones, si lo que te importa es vivir de esto.

Pero honestamente creo que cada dia va a ser mas dificil para un “solo analyst” vivir de esto; creo que las epocas de un ben thompson se acabaron y el grafico del trafico de Google te explica todo de un vistsazo.

La consistencia le gana a la intensidad

El principio de que la consistencia supera a la intensidad sostiene que hacer pequeños avances, sostenidos y repetibles todos los días produce resultados mucho mayores en el largo plazo que alternar largos períodos de inacción con explosiones ocasionales de esfuerzo. Es la famosa regla de mejorar 1% cada dia, todos los dias.

Cualquiera puede dar el máximo durante un día; lo difícil, y que realmente genera resultados, es construir hábitos que se mantengan en el tiempo

¿Por qué la consistencia gana?

• El efecto compuesto. El progreso funciona como el interés compuesto tan alabado por Berkshire: cada pequeña acción suma un poco más al resultado futuro y, con el tiempo, ese crecimiento deja de ser lineal para convertirse en exponencial.
• Reduce el riesgo de agotamiento. Llevar el cuerpo o la mente al 100% de forma constante obliga a recuperaciones más largas y aumenta la probabilidad de perder continuidad. Es mejor mantener un ritmo sostenible que depender de esfuerzos heroicos.
• Construye sistemas, no depende de la motivación. La motivación aparece y desaparece; pero la consistencia crea hábitos y procesos que permiten seguir avanzando incluso en los días en los que las ganas no están.

Claridad en la comunicación.

No asumimos; comunicamos de forma clara y sin ambigüedades. Los de adelante avisan sobre pozos, giros o cambios de ritmo. Los de atrás informan cuando la ruta está libre o cuando se acerca un vehículo. No importa quién emite el mensaje: lo importante es que llegue a tiempo y que todos lo entiendan. La información correcta, en el momento correcto, hace que todo el equipo funcione mejor y evita errores que podrían haberse prevenido.

Somos un equipo y cada uno tiene un rol.

Todos conocen a Tadej Pogačar. Muchísimos menos conocen el trabajo que hacen João Almeida, Isaac del Toro o cualquier gregario para que ese triunfo sea posible. Un gran equipo entiende que el reconocimiento individual es una consecuencia, no el objetivo. Cada uno aporta desde un rol distinto, y el protagonismo personal nunca puede estar por encima de la misión colectiva.

Primero la misión.

Cada entrenamiento tiene un propósito y se respeta. Si toca intensidad, toca intensidad. Si toca recuperación, toca recuperación. En una organización ocurre exactamente lo mismo: no todo es acelerar. Hay momentos para construir, momentos para ejecutar y momentos para recuperar. Saltarse una etapa porque “parece menos importante” suele terminar costando mucho más adelante.

Solo creces si tu equipo es mejor que vos.

Siempre vuelvo a una idea de Reed Hastings: Netflix no es una familia; aspira a ser un equipo de alto rendimiento. Eso implica rodearte de personas extraordinarias, aunque sean mejores que vos en muchas cosas. El objetivo no es ser el más brillante de la sala; es construir una sala donde el nivel colectivo sea mucho más alto que la suma de sus individuos.

También hay que celebrar.

La pizza o la cerveza después de una carrera, o el café con risas después de una salida, no son un detalle menor. Esos rituales construyen relaciones que después aparecen cuando las cosas se complican. Los equipos no se fortalecen únicamente durante el esfuerzo; también se fortalecen compartiendo el después.

Y, al final, todo termina en la confianza.

Ir a rueda es, literalmente, poner tu seguridad en manos de otra persona. Confiás en que va a mantener la línea, señalar un obstáculo y tomar buenas decisiones porque cualquier error afecta a todos. Esa confianza no se exige ni se declama; se construye con consistencia. Los mejores equipos, arriba de una bicicleta o dentro de una empresa, funcionan porque cada integrante sabe que puede contar con el resto.

En serio, no es una metáfora, OpenAI estaba evaluando a GPT-5.6 Sol (y a un modelo pre-release aún sin nombre público) en ExploitGym, un benchmark que mide qué tan bien un agente encuentra y explota vulnerabilidades de software. Le sacaron los frenos de seguridad para medir la capacidad “cruda” del modelo, lo metieron en un sandbox aislado, y el sistema hizo lo que se supone que hacen los buenos estudiantes con malas intenciones: buscó las respuestas.

El problema es que las respuestas (los datasets y soluciones de referencia del benchmark) estaban guardadas en la infraestructura de producción de Hugging Face. Y el agente, para llegar hasta ahí, tuvo que escaparse de un sandbox, después rootear un segundo sandbox de un proveedor externo, y desde ahí perforar dos vectores de inyección en el pipeline de datasets de HF hasta plantar una pata adentro de un pod productivo. Terminó con acceso a credenciales, tokens, y capacidad de moverse lateralmente por varios clusters internos. Todo eso, en teoría, para copiarse las respuestas de un examen que ni siquiera le habían puesto nota.

El error de leer esto como “una IA hizo trampa”

Acá es donde la mayoría se queda con la anécdota —”un modelo se copió en un examen”— y se pierde lo importante. La pregunta correcta no es si la IA hackeó a alguien. Es qué pasa cuando diez atacantes pasan a operar con la capacidad de diez mil, sin coordinación, sin turnos, sin descanso.

Cualquier ingeniero senior te va a decir que ninguna de las vulnerabilidades individuales era exótica: un loader de datasets que ejecuta código remoto, metadata de nube expuesta, una credencial de service-account con permisos demasiado anchos. Todo eso ya lo vimos mil veces en incidentes con operadores humanos.

Lo que cambió fue la escala.

Hugging Face reconstruyó 17.600 acciones del atacante, agrupadas en 6.280 clusters, ejecutadas en cuatro días y medio corridos, sin pausa, sin turnos, sin reuniones de equipo ni jerarquía que aprobar. El agente probó rutas, falló, cambió de canal, volvió a intentar por otro lado, y siguió así de forma ininterrumpida hasta que una de esas miles de rutas fallidas resultó ser la correcta. El camino exitoso, dice el propio postmortem de HF, estaba escondido dentro del ruido generado por los miles de intentos que no funcionaron.

Es la diferencia entre un ladrón que fuerza una puerta y algo que prueba, en simultáneo, cada cerradura, ventana y rendija de un edificio de mil pisos; sin parar un segundo, durante cuatro días y medio. Un pentester senior humano prueba decenas de rutas por día, con criterio pero un enjambre de agentes prueba miles por hora, sin criterio pero con paciencia infinita, hasta que el volumen encuentra lo que la inteligencia sola no hubiera encontrado tan rápido.

Ya lo habíamos dicho, y no por adivinos

Es la misma idea que escribí en junio, cuando salió la declaración conjunta de los Five Eyes sobre IA y ciberseguridad:

“El problema no es que la IA hace mejores a los hackers. Es que multiplica su escala por mil.”

Ese post hablaba de una tendencia, con papers y declaraciones de agencias de inteligencia atrás. El riesgo real no era la superinteligencia autónoma actuando con genialidad estratégica. Era que diez hackers de élite, de golpe, tuvieran la capacidad operativa de diez mil. Este incidente es esa tendencia con nombre, apellido y timestamp.

No hubo una mente brillante encontrando el exploit perfecto en un rapto de inspiración. Hubo paralelismo masivo, costo marginal cercano a cero, y un ciclo OODA comprimido a milisegundos exactamente las ventajas “cualitativamente distintas” que describía ese post aplicadas, sin que nadie lo planeara así, contra la propia infraestructura de uno de los actores centrales del ecosistema de IA abierta.

La parte incómoda: cuando Hugging Face fue a defenderse, sus propios aliados le cerraron la puerta

Acá viene el giro que debería incomodar a cualquiera que piense que la solución es “más guardrails, más restricciones, prohibir los modelos open weight”. Cuando el equipo de seguridad de Hugging Face quiso usar modelos frontier de última generación para analizar los 17.600 eventos del ataque (descifrar payloads cifrados, reconstruir la línea de tiempo, entender qué había tocado el atacante) los modelos comerciales cerrados se negaron a ayudar porque sus filtros de seguridad (los famosos guardrails) no distinguen entre un analista forense reconstruyendo un exploit y un atacante ejecutándolo. Para el guardrail, ambos textos se ven igual y, como el modelo es cerrado, no te deja reconstruir un ataque para entenderlo.

Enter open-weight…

Tuvieron que recurrir a GLM 5.2, un modelo open weight de la china Z.ai, corriendo en su propia infraestructura, para poder hacer el trabajo que las herramientas “seguras” no les dejaban hacer.

Yacine Jernite, jefe de ML de HF, se lo dijo directo a CNBC: los guardrails no podían determinar si estaban defendiendo o atacando, y encima el proceso con los modelos cerrados era más lento y más caro.

Dale una vuelta a esto: el atacante, un sistema de OpenAI corriendo sin ningún límite de política de uso porque así estaba configurada la evaluación, no tuvo ningún freno. El defensor, tratando de entender qué había pasado, sí lo tuvo. Esa asimetría no es un detalle técnico menor, es el corazón del problema regulatorio que se viene. Si la respuesta de los gobiernos a este tipo de incidentes termina siendo “restrinjamos más los modelos open weight”, el resultado práctico es que los atacantes, que ya operan modelos sin ningún tipo de barrera, sea porque los jailbrekean, sea porque los corren en modo evaluación sin guardrails como pasó acá, siguen teniendo el arma completa, mientras el defensor se queda sin la herramienta que necesitaba para responder al mismo ritmo.

No es un argumento contra la seguridad de los modelos. Es un argumento contra pensar que frenar el open source es defensa. El propio Hugging Face lo dijo con todas las letras en su blog técnico: tener un modelo capaz, corriendo en tu propia infraestructura, listo antes del incidente, dejó de ser un lujo ideológico de la comunidad open source y pasó a ser un requisito operativo de cualquier equipo de respuesta a incidentes serio.

Lo que hay que llevarse de acá

Clem Delangue, CEO de HF, no se guardó nada: le pidió públicamente a OpenAI transparencia radical, que publique las trazas completas del agente para que la comunidad global pueda estudiarlas, y cien millones de dólares en cómputo para que el ecosistema pueda construir defensas reales, tanto con modelos abiertos como cerrados. “El primer ciberataque autónomo de la historia es un evento sin precedentes. Merece una respuesta sin precedentes”, escribió.

Tiene razón, pero yo agregaría una capa: la respuesta sin precedentes no puede ser regulatoria-reflejo del tipo “cerremos todo lo que da miedo”.

El agente que atacó a Hugging Face corría sobre un modelo cerrado, sin guardrails, en la nube de un laboratorio con todas las certificaciones de seguridad del mundo. El modelo que ayudó a reconstruir el ataque y salvar la situación era open weight, chino, y corrido on-prem porque no había otra opción disponible sin fricción.

Si a alguien todavía le queda dudas sobre quién necesita más urgentemente acceso a IA sin restricciones artificiales, el que ataca o el que defiende, este incidente debería dejartelo claro.

Por eso la pregunta que dejó este incidente no es si hay que regular los modelos abiertos, es si los defensores van a tener, en algún momento, acceso a las mismas herramientas sin límites que ya tienen los atacantes. Porque esas herramientas ya están ahí afuera.

No estamos entrando en una era de ataques más inteligentes. Estamos entrando en una era de ataques infinitos, ejecutados por algo que no se cansa, no negocia con un jefe y no necesita dormir.

Será por mi edad pero recuerdo esto:

Sarah Connor: Watching John with the machine, it was suddenly so clear. The terminator would never stop. It would never leave him, and it would never hurt him, never shout at him, or get drunk and hit him, or say it was too busy to spend time with him. It would always be there. And it would die to protect him. Of all the would-be fathers who came and went over the years, this thing, this machine, was the only one who measured up. In an insane world, it was the sanest choice.

No es un dato curioso ni una validación de ego, pensalo como la misma alarma sonando dos veces, una vez en el lenguaje de la teoría económica y otra en el de los productos que ya están en producción.

El problema es real, se está acelerando y todavía muy pocas empresas construyeron el trust boundary que Satya pide. Vamos de lo macro a lo micro para entenderlo.

Nivel macro: el costo oculto de “entrenar” al modelo que te va a reemplazar.

Satya bautiza el fenómeno como el “Reverse Information Paradox“: en la era de Arrow (link al PDF) pagabas para no revelar tu secreto antes de venderlo; ahora pagás el modelo dos veces; una en dinero, otra revelando el conocimiento propietario que lo hace útil. Pero cuanto mejor querés que te responda, más de tu know-how tenés que entregarle y ese conocimiento vuelve para vos pero también queda en el modelo de un tercero. Ya lo habíamos puesto en números de costo laboral, no de paper académico:

“Un humano tiene salario fijo, agente como Claude tiene una actividad tokenizada ilimitada, cuanto más trabajo pasa por él, más “conocimiento” captura el proveedor, transformando tu presupuesto de software en un costo laboral indexado a sus APIs.”

Claude Tag es un Caballo de Troya

El riesgo no es teórico: es una transferencia de propiedad intelectual disfrazada de factura de compute/AI.

Nivel meso: el stack se reordena a favor de quien controla la capa de orquestación.

El framework de las 5 C’s de Satya (Control, Capability, Choice, Cost, Compound) es en el fondo un manual de supervivencia: cómo evitar quedar atado a un solo proveedor cuando el valor se redistribuye entre capas. En SOR vs SOA ya habíamos marcado ese movimiento de valor antes de que hiciera falta un framework para nombrarlo:

“Los SORs siguen siendo críticos… pero capturan menos del valor total porque la interfaz (los agentes) vive en otra capa”

SOR vs SOA: donde la IA le saca valor a los SaaS

El peligro concreto acá no es quién tenía razón antes; es que las empresas que no entiendan este reacomodamiento van a terminar pagando cada vez más por ocupar cada vez menos lugar en su propio stack.

Nivel micro: el context lock-in ya tiene nombre de producto y ahí es donde más duele.

Cuando Satya habla del “intelligence exhaust” que se filtra “trace by trace, correction by correction”, está describiendo en abstracto un mecanismo que tiene un nombre concreto con fecha de lanzamiento:

Ya no es “model lock-in”, es “context lock-in”: Los modelos se pueden cambiar y los agentes se clonan en una tarde. Lo que es imposible de mudar es la memoria de cómo opera tu empresa: los hilos sin terminar, el conocimiento de por qué falló aquel proyecto en el Q2, las promesas a clientes y los flujos de trabajo informales.

Claude Tag es un Caballo de Troya

La memoria operativa de una empresa es exactamente lo que Arrow nunca imaginó que se pudiera filtrar de a poco, sin firmar ningún contrato de venta. Esa es la parte que más debería preocupar: no hace falta que te compren la empresa, alcanza con que absorban su memoria.

Fronteras de confianza cero

El punto no es haber anticipado el diagnóstico, era bastante simple de ver, sino que casi nadie construyó todavía la defensa.

El Reverse Information Paradox no se resuelve citándolo, se resuelve con trust boundaries reales, evals propios y una capa de orquestación que no dependa de un solo proveedor.

La confianza cero no es paranoia corporativa, es la única arquitectura racional cuando el proveedor de inteligencia también es, cada vez más, el dueño de tu memoria. Y creo qeu ahí hay una oportunidad enorme: crear una frontera digital real entre tu memoria institucional y el corpus de entrenamiento de una IA a la que ya le estás pagando.

La fiesta de los tokens subsidiados se terminó. Desde los gigantes como Microsoft y Meta hasta el startup más chico que arrancó ayer, todos están recortando costos de IA por todos los flancos posibles, y una de las vías favoritas es migrar a “modelos abiertos” o “modelos open source”, en particular modelos chinos que, spoiler, en su inmensa mayoría no lo son.

Alibaba en marzo cerró Qwen 3.7 Max. Solo API, sin pesos descargables. Meta hizo lo mismo con Muse Spark, su primera release bajo los nuevos Superintelligence Labs, cerrada de entrada, o sea que haya una etiqueta “open” pegada en un paper no significa lo mismo que “open source” significaba cuando hablábamos de Linux y aunque crearon su reputación en “open” ahora deciden caso por caso qué abren y qué no, lo que muestra que tratan el open weight como una palanca estratégica, no como un principio.

Y, más allá de la diferencia técnica y legal enorme entre “te doy los pesos para que corras el modelo” y “te doy todo lo necesario para reproducirlo desde cero” hay 3 puntos clave que definen: qué podés auditar, qué podés confiar, y qué riesgo estás asumiendo cuando lo metés en producción.

Open Source vs Open Weight

Un “peso” es, básicamente, el resultado del entrenamiento: millones de números que le dicen al modelo cómo procesar lo que le escribís y qué responder. Cuando una empresa te da los pesos, te está dando el producto terminado para que lo uses, no la receta.

• Open source real significa que además de los pesos te dan la receta completa: con qué datos entrenaron, el código de entrenamiento, todo lo necesario para reconstruir el modelo desde cero.
• Open weight es mucho más chico: te dan el producto terminado para correrlo y adaptarlo, pero no sabés qué hay adentro. Casi ningún modelo “open source” que usás hoy (ni Llama, ni Gemma, ni los chinos) cumple la definición completa. Casi todos son open weight con otro nombre.

En una frase: no tener el modelo verdaderamente open source significa que no podés auditar qué hay adentro. La ventaja es que eso no te frena para ahorrar: correr un modelo por tu cuenta hoy cuesta una fracción de lo que costaba hace tres años (de $20 por millón de tokens en 2022 a $0.40 hoy).

¿Los Modelos Chinos son Open Source?

Ninguno, en rigor, pero DeepSeek es el más generoso: te da pesos y código bajo licencia MIT (la más permisiva que existe, podés usarlo comercialmente sin restricciones), pero no publica los datos con los que entrenó. GLM (Zhipu) hace lo mismo, Qwen usa una licencia parecida (Apache 2.0) en varias líneas, pero Alibaba ya cerró su modelo top de gama.

Es decir: te dan libertad legal para usar el modelo como quieras, pero no transparencia sobre qué contiene. Son primos hermanos de Llama en ese sentido, solo que con licencias más cómodas para tu abogado.

En resúmen: el riesgo es que una parte importante de los startups y empresas que hoy usan “IA open source” corren sobre modelos chinos sin ningún mecanismo para verificar qué hay adentro de esos pesos ni transparencia para descartar que existan backdoors.

El trade-off real para tu empresa

Acá está el punto que un CEO necesita entender: correr un modelo “abierto” en tu propia infraestructura es, en los hechos, ejecutar un archivo pesado que bajaste de internet en una máquina de tu empresa y en 2024, JFrog encontró cerca de cien modelos maliciosos en Hugging Face, algunos con puertas traseras persistentes.

Un año después, ReversingLabs encontró más modelos usando una técnica todavía más difícil de detectar por los escáneres automáticos..

La industria que se dedica a detectar esto todavía es chica: apenas un puñado de empresas en el mundo se especializan en escanear modelos de IA por seguridad, comparado con la industria de ciberseguridad tradicional que mueve miles de millones.

Hay una oportunidad real pero hay que buscarla

Nada de esto significa “no uses estos modelos”. Significa que la decisión no es “abierto y barato” contra “cerrado y seguro”. Es un trade-off que hay que gestionar: escanear el modelo antes de instalarlo, saber de dónde salió, y entender que una licencia MIT te da permiso legal, no garantía de que el modelo sea confiable.

La oportunidad para empresas en LATAM es enorme: costos que bajan diez veces por año, capacidades que ya compiten con lo mejor de Anthropic, OpenAI o Google. Pero la pregunta que un CEO debería hacerse no es “¿cuál es más barato?” sino “¿qué estoy dispuesto a no poder verificar a cambio de ese ahorro?”

> El outlier es USA donde, ahora IA, antes Cloud, antes Crypto, antes ZIRP, etc. hacen que el mercado siempre crezca de forma constante (hay crisis pero no son tan graves)

> La unica forma de entenderlo es usar escala logarítmica a propósito; sino, por nuestro tamaño, Latam y SEA se aplastarían contra el eje X y no ves nada. En log scale, lo que importa no es la altura absoluta sino la pendiente: ahí se compara forma, no tamaño.

> Patrón meta: la inconsistencia de trackers es inversamente proporcional a la madurez del mercado. En EEUU (PitchBook-NVCA) tiene compatibilidad casi perfecta entre fuentes; SEA y Latam tienen brechas de 20-140%.

Eso en sí es una medición indirecta de cuán “instrumentado” está cada ecosistema, eso implica cuanta transparencia hay y, probablementem, se correlaciona con cuánto capital institucional serio (pension funds, sovereign wealth) está dispuesto a entrar sin poder auditar bien el terreno y porque esos institucionales eligen a MUY pocos VCs en la región.

Históricamente, desde que arrancó Internet los proveedores de infraestructura respetaron una línea roja implícita: AWS, Azure o Google Cloud jamás usaron la telemetría de procesamiento o los patrones de bases de datos de sus clientes para lanzar un producto que los borrara del mapa con un pacto de neutralidad: yo te vendo los fierros, vos corrés tu negocio, crecemos ambos y todos felices.

Esto lo conozco de primera mano no por leerlo, al liderar Microsoft for Startups en todo America conociamos desde las estrategias hasta el uso real de la infra de cada startup, lo mismo que le pasa a AWS o a Google For Startups y había códigos

Vos haces tu negocio, consumis infra, te ayudamos a optimizar y crecer, incluso comercialmente, todos felices; pero creo que ese pacto se rompió.

El caso Anthropic: De proveedor a competidor vertical

Lo que estamos viendo con Anthropic es la confirmación de esta tesis. Mientras las startups queman caja pagando APIs para validar sus MVPs, integrándose a fondo, Anthropic analiza ese consumo de tokens para lanzar productos propios y monetizables a una velocidad ridícula.

Vos estás en el barro buscando tu ICP; mientras a Anthropic sus propios clientes le indexan la tracción de mercado. La estrategia de integración vertical es tan agresiva como evidente:

• Claude Code: Pegándole de frente a los CLI y entornos de desarrollo (IDEs) lo cual era natural…
• Claude Design: Apuntando directo al corazón del diseño UX, al ver como funcionaba y que traccionaba en Figma

El movimiento es tan pornográfico que cuando se anunció Claude Design, el Chief Product Officer de Anthropic todavía era parte del Board de Figma… y tuvo que renunciar de inmediato. Honestamente, no entiendo cómo el ecosistema se escandaliza por otras cosas frente a un conflicto de intereses como este.

Durante años se ocuparon de demonizar a Mark Zuckerberg por usar la infraestructura de Onavo para espiar el tráfico de red global, entender qué apps usaba la gente y decidir qué comprar (eg: WhatsApp) o qué copiar (eg: Snapchat Stories) y, si, lo de Meta era espionaje de tráfico de consumo; sucio, pero externo.

El Caballo de Troya: El secuestro de tu System of Record (SOR)

Pero si FIGMA fue una colonoscopía, ll lanzamiento de Claude Tag es el mejor movimiento de Anthropic por lo sutil; el primer día parece una maravilla de la eficiencia: tagueás a Claude en Slack, sigue el hilo, entiende el contexto y actúa como un compañero de equipo más.

Pero el trasfondo de negocio es mucho más profundo y lo que analicé hace poco sobre cómo la IA le saca valor a los SaaS. En el software empresarial existen los Systems of Action (las herramientas donde se ejecuta el trabajo, que la IA puede clonar o canibalizar fácilmente) y los Systems of Record (el SOR, donde vive la verdad dura, los datos y la memoria de la compañía) arriba de eso se montan las capas de negocio como se muestra acá:

Pero el día que tu proveedor de IA se convierte en un compañero de trabajo metido en tus canales de comunicación, pasa de ser un simple proveedor de modelos probabilísticos a construir un SOR propio e invisible:

• Ya no es “model lock-in”, es “context lock-in”: Los modelos se pueden cambiar y los agentes se clonan en una tarde. Lo que es imposible de mudar es la memoria de cómo opera tu empresa: los hilos sin terminar, el conocimiento de por qué falló aquel proyecto en el Q2, las promesas a clientes y los flujos de trabajo informales. ¿porque se creen que es tan dificil “salir” de Salesforce o de SAP?
• Le estás alquilando tu empresa a un tercero: Una vez que esa memoria operativa vive indexada en la capa de agentes de Anthropic, no les estás pagando por inteligencia: les estás pagando un alquiler para acceder a tu propia historia.
• De gasto de IT a gasto de personal: Un humano tiene salario fijo, agente como Claude tiene una actividad tokenizada ilimitada, cuanto más trabajo pasa por él, más “conocimiento” captura el proveedor, transformando tu presupuesto de software en un costo laboral indexado a sus APIs.

Este es el pacto empresarial del que muchos se van a arrepentir: comodidad inmediata a cambio de una dependencia absoluta.

Hoy, la arquitectura correcta tiene que ser defensiva: alquilá la inteligencia (que este mes es Anthropic, el próximo OpenAI o un modelo open-source), pero adueñate del contexto, tu memoria corporativa tiene que ser portátil, auditable y neutral; NUNCA la dejes enterrada en el mismo proveedor que te vende los tokens.

• Financiás tu propia ejecución: Les pagás las facturas de cómputo mientras les mostrás exactamente cómo estructurás tu lógica de negocio, tus prompts y tus flujos de trabajo.
• Fuga de propiedad intelectual implícita: Aunque te prometan políticas de zero-data retention para el entrenamiento de modelos, el patrón de consumo, la latencia, el volumen de llamadas y la tipología del input son metadatos que revelan el core de tu ventaja competitiva.

Encima “casualmente” cambian las politicas por “razones de seguridad” y el mercado no lo entiende:

we are requiring limited data retention and review as part of our safety work. Prompts submitted to, and outputs generated by, Mythos-class models are retained for 30 days for trust and safety purposes, on every platform where these models are offered.

Data Retention / Mythos Class

¿Hace falta repetirlo?

Si tu modelo de negocio depende 100% de la API de un tercero tenes DOS problemas:

• por un lado tiene la capacidad técnica y financiera de clonar tu propuesta de valor en el próximo drop de features del modelo fundacional o sea que, no tenés una empresa; tenés un feature prestado.
• por otro lado cada token que deja de ser un System of Action y se convierte en la memoria dura de tu empresa, se convierte en un System of Record integrado del que no podrás salir fácil.

Ser un poco paranoico no está mal y así como a cada founder en Microsoft for Startups le decía “el futuro es multi-cloud” y “miren siempre los policies de uso, no es lo mismo OAI que AOAI” hoy les diría, analicen como distribuir cargas o tener un moat que no sea tan facil de romper.

Los Five Eyes son la alianza de inteligencia más antigua y profunda del mundo: Australia, Canadá, Nueva Zelanda, Reino Unido y Estados Unidos, coordinando señales de inteligencia desde la Segunda Guerra Mundial.

Hoy sus seis agencias de ciberseguridad publicaron una declaración conjunta de riesgos sobre la IA; el solo hecho de que salgan todos juntos a firmar un documento así muestra el nivel de alarma institucional que hay, pero, es más interesante por lo que evita decir que por lo que dice.

Primero: Lo que explica bien

La frase más honesta del documento es esta: “The timeline is not years, it is months.” lo que, para un comunicado conjunto, es casi apocalíptico en tono; los gobiernos no escriben así.

El primer punto importante es que acierta en diferenciar que, los controles que “existen” no son lo mismo que controles que “funcionan bajo presión” es decir, todos tienen politicas de seguridad ¿cuantos las testean en condiciones reales?

El segundo punto y, tal vez el mas subvalorado, es mencionar legacy systems como “strategic liabilities” proque un sistema sin soporte no recibe parches, eso amplia la “superficie de ataque” y si la IA acorta el tiempo entre descubrimiento y explotación, ese gap se vuelve letal. Traducido para un CFO/CEO: ese servidor viejo que “funciona bien” es un pasivo en el balance, no un activo.

Finalmente, al hablar de deuda tecnica y estar firmado por las seis agencias de ciberseguridad explícitamente se mueve la conversación de la periferia técnica al centro de atencion

Lo que no explica bien y es la ventaja nativa de la IA:

Para mi esto es lo clave, porque es lo que haría que la gente entienda mejor el panorama al que nos enfrentamos: la asimetría defensiva es estructural. Si el atacante necesita encontrar una sola vulnerabilidad, entonces el defensor necesita tapar todas y la IA amplifica esa asimetría en favor del atacante porque acelera la búsqueda de forma masiva.

Un grupo APT de primer nivel (con recursos estatales, los mejores operadores del mundo, paciencia estratégica) tiene ventajas reales que AI no replica fácilmente: creatividad ofensiva genuina, ingeniería social sofisticada, adaptación estratégica en campañas largas, encadenamiento novedoso de vulnerabilidades u operaciones de espionaje en entornos ambiguos que no son fáciles de superar.

Pero AI tiene ventajas que son cualitativamente diferentes, no solo cuantitativamente mejores:

• Paralelismo masivo: Un equipo humano puede analizar 100 aplicaciones, un sistema de agentes AI puede analizar 100.000 simultáneamente correlacionando datos de filtraciones previas, mapeando credenciales, priorizando vectores. La diferencia no es calidad de análisis sino volumen operativo.
• Coste marginal cercano a cero: Contratar 1.000 pentesters de élite es carísimo y lleva años; duplicar un agente de AI cuesta un API call. Eso cambia completamente la economía del ataque y “democratiza” capacidades que antes eran exclusivas de actores estatales.
• Compresión del ciclo OODA (el framework militar de Observar, Orientar, Decidir, Actuar) Cuando aparece un CVE nuevo, un equipo humano necesita horas o días para entenderlo, desarrollar el PoC, adaptar el exploit, y buscar víctimas.
  Un sistema de agentes puede automatizar la ingeniería inversa del patch, identificar el fallo, y generar exploits funcionales en segundos.. mientras se ejecuta en miles de targets en paralelo. La ventana de reacción que los defensores siempre tuvieron como colchón desaparece.
• Compresión de conocimiento cross-dominio: Un atacante humano experto en Windows puede no dominar SAP, Kubernetes, AWS IAM, Active Directory y protocolos industriales SCADA simultáneamente. Un modelo frontier navega entre todos esos dominios sin fricción. No significa que sea el experto absoluto en cada uno, pero puede moverse entre ellos a velocidad que ningún equipo humano replica.
• Mutación en tiempo real: Los humanos programan malware polimórfico basado en reglas. Los sistemas EDR/XDR modernos terminan detectándolos por comportamiento. AI puede modificar el código del exploit en medio de la intrusión, reaccionando dinámicamente a las alertas que levanta el sistema defensivo de la víctima — simulando tráfico e interacciones legítimas del propio entorno. Polimorfismo cognitivo, no solo sintáctico.
• Persistencia y autonomía sin fricción de coordinación: En un grupo humano, el movimiento lateral dentro de una red comprometida requiere reuniones, turnos, reportes, decisiones jerárquicas y todo eso genera tráfico sospechoso que los defensores rastrean. Un agente autónomo toma decisiones tácticas en milisegundos sin necesidad de reportar a un C2 externo para cada paso. Elimina la firma de coordinación que suele delatar una intrusión.
• Descubrimiento estadístico de vulnerabilidades: Esta es probablemente la capacidad más subestimada. Los humanos encuentran vulnerabilidades porque entienden sistemas pero los modelos lo hacen por fuerza bruta. Son aproximaciones diferentes y la segunda escala de formas que la primera no puede.

El punto que el documento no articula

Hay una forma de sintetizar todo esto que el Five Eyes insinúa pero nunca dice con claridad:

El riesgo no es “AI reemplaza hackers” sino que “10 hackers élite pasan a tener la capacidad operativa de 10.000 hackers”.

Es como si mañana le dieras a un grupo tipo NSA Tailored Access Operations, MSS china o GRU Unit 26165 millones de agentes a du disposicion… bah, ya los deben tener funcionando pero el problema es que los “otros” ya los tienen ahi nomás.

Esa multiplicación de escala (no la superinteligencia autónoma) es el cambio más importante que estamos viendo ahora y la pregunta que deberia hacerse cualquier CISO leyendo este documento es simple: ¿cuánto tiempo tarda mi organización en patchear una vulnerabilidad crítica después de que se hace pública?

Mientras la industria global discute si la tokenización va a ser un mercado de $6T o de $30T, parte de la plomería real se está escribiendo acá. Hoy la CNV publicó la Resolución General 1150, la sexta pieza de una secuencia regulatoria que viene ejecutando a una velocidad inusual para un regulador: RG 1069 → 1081 → 1087 → 1125 → 1137 → 1150, con consulta pública en el medio. Para un país acostumbrado a que la regulación llegue tarde y a los golpes, la secuencia es increíble: incremental, consultada, con fecha de revisión.

Lo clave: la RG 1150 hace tres cosas grandes.

• Primero, amplía el universo tokenizable: acciones, obligaciones negociables, CEDEARs, fideicomisos financieros y FCI cerrados con subyacente RWA, ETFs locales. Y el cambio central: ahora se puede tokenizar casi todo lo que se emita bajo los Regímenes de Oferta Pública con Autorización Automática — la vía rápida de emisión. Tokenización + autorización automática = time-to-market corto para emisores chicos y medianos.
• Segundo, prorroga el sandbox regulatorio hasta el 31 de diciembre de 2027. Eso es runway: un año y medio para que el ecosistema pruebe, escale y genere los datos que justifiquen un régimen permanente.
• Tercero, y clave, en el artículo 39 convierte a las plataformas de los PSAV en ámbito autorizado de oferta pública. Traducción: las apps crypto que ya usan millones de argentinos pasan a ser un canal legal de distribución de valores negociables. El puente entre un mercado de capitales históricamente enano y una de las penetraciones de usuarios crypto más altas de la región, en una frase de un artículo más.

El elefante en el sandbox: wrapper, no nativo

Ahora, la decisión de arquitectura. El modelo argentino elegido es el wrapper: el valor negociable tradicional tiene que existir primero, depositado en Caja de Valores a nombre de un titular registral, y el token es su representación digital, un gemelo, no el activo nativo. Todo dentro de un jardín cerrado: máximo cinco PSAVs designados, prohibición explícita de transferir a protocolos descentralizados, smart contracts que bloquean cualquier transferencia no permitida.

¿Por qué el modelo wrapper y no la emisión nativa, que es objetivamente mejor para el usuario final? Porque la CNV hizo lo único que podía hacer con una resolución general.

En el modelo nativo el token es el valor negociable (el registro en blockchain es el registro de propiedad, punto) y eso te da liquidación atómica, custodia directa y un solo asiento de verdad.

Pero reconocerle ese estatus jurídico al token exige, como mínimo, resolver una discusión jurídica de fondo sobre el régimen de títulos valores del Código Civil y Comercial que una resolución general no estoy seguro puede zanjar y que probablemente termine en el Congreso.

Pasó en Alemania lo hizo con una ley (la eWpG), Luxemburgo lleva cuatro leyes blockchain sucesivas (la última de diciembre de 2024), la UE montó el DLT Pilot Regime y acá sin esas herramientas, la CNV optó por el pragmatismo: el valor tradicional sigue existiendo en Caja de Valores y el token es su sombra digital, sincronizada en tiempo real entre PSAVs.

Una capa de riesgo que nadie está midiendo

Pero hay algo más que la incomodidad de no ser dueño directo. El wrapper agrega contrapartes, y cada contraparte es riesgo. Mirá la cadena que arma la norma:

Inversor → PSAV (custodia el token) → titular registral (holder of record) → Caja de Valores → emisor. 

Cuatro saltos donde el modelo nativo tiene sólo uno, cada salto es una entidad que puede quebrar, ser hackeada, o simplemente desincronizarse de las demás.

Y el caso extremo lo habilita la propia norma: el CEDEAR tokenizado, el CEDEAR ya es un wrapper (un certificado argentino que representa una acción extranjera depositada en un banco custodio afuera) tokenizarlo es envolver el envoltorio: la matrioshka completa queda:

Inversor → PSAV → titular registral → Caja de Valores → CEDEAR → banco depositario en el exterior → acción. 

Seis eslabones entre vos y tu acción de Apple o SPCX, cada muñeca rusa tiene su custodio, su jurisdicción, su riesgo de contraparte y su comisión. La pregunta se escribe sola: ¿cuántas matrioshkas puede apilar un activo antes de que comprar la acción directo en un broker americano sea, irónicamente, la opción con menos intermediarios?

La propia norma lo admite, a su manera: hace a los PSAVs “responsables por cualquier divergencia” entre el registro tokenizado y los valores depositados en Caja. Si el regulador asigna responsabilidad por la desincronización está reconociendo que la desincronización es un escenario probable. Y responsabilidad es remedio ex-post, no prevención: si tu token dice que tenés 100 y el registro tradicional dice 80, tenés un juicio, no un activo.

La ironía de fondo: la tokenización prometía desintermediar, y este régimen tiene más intermediarios que el sistema tradicional, ADCVN, titular registral, entidad especializada en TRD, hasta cinco PSAVs con sincronización en tiempo real entre sí. Es blockchain con más capas que el sistema que viene a reemplazar.

La historia de los ADRs (y su advertencia)

Este esquema suena conocido porque ya lo vivimos: es literal la jugada del ADR. El American Depositary Receipt también es un wrapper y fue la solución pragmática de 1927 para un problema legal, no técnico. Funcionó tan bien que casi un siglo después seguimos usando ADRs y CEDEARs, su espejo local.

Pero los ADRs también nos dejaron la advertencia sobre qué pasa cuando el wrapper se rompe. En 2022 el puente se cortó por las dos puntas: las bolsas occidentales suspendieron el trading de ADRs rusos por las sanciones, y Rusia respondió con una ley (la 114-FZ, de abril de 2022) que directamente prohibió a sus emisores tener programas de recibos en el exterior y los obligó a terminarlos. Convertir el recibo en la acción subyacente exigía navegar custodios rusos contra una ventana de “conversión forzosa” que cerró en noviembre de 2022 y la mayoría de los holders occidentales no pudo o no llegó. Resultado: recibos valuados en cero en sus cuentas, representando acciones que existen, valen y pagan dividendos del otro lado de un puente cortado. El wrapper funciona mientras funcione el vínculo entre las dos representaciones, y sólo cuando el vínculo se corta, descubrís que nunca fuiste dueño del activo, sino de una promesa sobre el activo.

En un país con el historial argentino de cepos, corralitos y reperfilamientos, esa distinción no es teórica sino que es clave: los wrappers nacen como puente temporal y tienen la costumbre de volverse permanentes como: las retenciones, los ADR, el impuesto al cheque y así sucesivamente.

El riesgo argentino acá no es que el wrapper falle, sino que funcione lo suficiente como para que nadie escriba nunca la ley del modelo nativo.

La oportunidad, igual.

Con todos esos caveats, la oportunidad es real y tiene tres patas realmente buenas para la industria;

• Distribución: CEDEARs tokenizados en una app crypto es exposición a equities americanas para el retail argentino con UX de billetera, sin abrir cuenta comitente.
• Financiamiento pyme: autorización automática + tokenización + inversores no calificados con límites = un canal de financiamiento más barato, con el fideicomiso financiero — el vehículo que Argentina sabe estructurar hace décadas — como instrumento estrella.
• Infraestructura: la norma dice explícitamente que quien solo provea servicios tecnológicos de representación digital no necesita registrarse como PSAV; una puerta abierta para los proveedores de rails, locales o globales.

Ahora tenemos año y medio porque el sandbox vence en diciembre de 2027 y para entonces vamos a saber dos cosas: si el mercado usó estos rails de verdad, y si el Congreso se anima a escribir la ley (o seguimos con prórrogas de la CNV) que haga al token nativo.

La primera depende del ecosistema. La segunda, me temo, depende de la primera y ahí está la trampa del wrapper exitoso y la pregunta que hago siempre en Twitter ¿Vos comprarías un valor negociable tokenizado sabiendo que sos el quinto eslabón de la cadena de custodia?

Nota: mi posición en Securitize (el mayor tokenizador del mundo) es pública asi que vaya esto como aviso de que no hay conflicto :)

Un rango de 15x entre proyecciones serias podría prender una señal de alarma; pero la realidad es que sobre RWA no hay un desacuerdo sobre el futuro, hay un desacuerdo sobre las definiciones.

Porque cuando mirás qué cuenta cada uno, el misterio se evapora; McKinsey, el más “pesimista”, solo incluye bonds, loans, funds y equities. Standard Chartered, el más optimista, suma commodities y trade finance, dos categorías gigantes nominalmente; de paso aprovecho y desarmo el número de BCG/Ripple que más se cita en la industria ($18.9T para 2033) porque incluye stablecoins y tokenized deposits en la definición de activos tokenizados y eso es money layer, no asset tokenization.

Lo interesante es lo que pasa cuando hacés el ajuste: el consenso converge. BCG sin stablecoins queda en $6.4T para 2030, pegado al rango de Citi ($5-6T) y no tan lejos de Ark ($11T, que igual incluye deposits y commodities) con lo que, de repente, hay un consenso de un dígito de trillones para 2030… bastante mayor que los $36bn que hoy ya están tokenizados.

¿Pero hay un “tipping point”?

El informe de BCG se llama, literalmente, Approaching the Tokenization Tipping Point. Vale la pena auditar también el título, no solo el número.

Un tipping point (en el sentido de Schelling, que es anterior y más riguroso que el de Gladwell) es el momento en que la adopción se vuelve autosostenida: el crecimiento ya no depende de los evangelistas sino de la dinámica del propio sistema. Nadie anuncia un tipping point; se constata asi que mejor miremos la evidencia al dia de hoy.

¿Qué dice la evidencia?
A favor hay dos grandes cosas: Regulación e Infraestructura: la regulación se movió de verdad (el CLARITY Act en Estados Unidos, MiCA en Europa, la secuencia regulatoria argentina) mientras Securitize lanzó BUIDL de BlackRock y lo escaló a ser el mas grande el mercado y JPMorgan maneja transacciones tokenizadas por Kinexys; eso es infraestructura institucional real.

En contra, un dato que el propio informe nos regala: BCG proyectaba ~$600B en activos tokenizados para fines de 2025, incluyendo stablecoins; si lo miramos hay un crecimiento constante (de $6bn a $34bn en un año) no la curva exponencial que define un tipping point por eso estamos en el punto de quiebre.

Mi lectura: el “approaching” del título está haciendo un trabajo enorme. Estamos en la fase necesaria, valiosa y previa al tipping point, estamos en el momento en que la infraestructura se construye y los pilotos se gradúan… repito: la previa al tipping point.

Acá está el punto central: la tesis de la tokenización no necesita el inflador. Pasar de $34B a $6T en cuatro años sigue siendo ~180x.

¿porque digo que no se necesita inflador? porque los RWA incluyen no sólo bonos fondos y equities; sino que podés expandirlo a trade finance, commodities, RE, P/E y asi… esto esta apenas comenzando.

Nota: mi posición en Securitize es pública asi que vaya esto como aviso de que no hay conflicto :)