El gobierno de EE. UU. gasta 1.000 millones de dólares en ciberataques mientras recorta 1.200 millones de dólares de defensa civil. En la misma semana de junio de 2026, dos startups revelaron lo que eso significa en la práctica: la privatización de la guerra cibernética está ocurriendo, y la gobernanza no lo acompañó. Seguimos de cerca ese movimiento y la señal es clara, algo estructural cambió.
Dream Security: del Pegasus a la defensa
Según la empresa, Dream Security levantó 260 millones de dólares en Serie B el 18 de junio de 2026, a una valuación de 3.000 millones de dólares. Los nombres detrás son significativos: Shalev Hulio, el mismo detrás del NSO Group y del Pegasus, y Sebastian Kurz, ex canciller de Austria. Hulio declaró que quiso pasar del lado del ataque a la defensa.
Los productos cuentan la historia. Según la empresa, SPHERE es para defensa nacional, protección de infraestructura crítica a escala de país. HERO hace descubrimiento y corrección autónoma de vulnerabilidades, agentes defensivos que encuentran y corrigen fallas antes de que los atacantes las exploten. Y ATLAS es IA soberana para gobiernos: air-gapped, sin telemetría, sin datos saliendo del país.
ATLAS responde a una necesidad geopolítica real. Según reportes, EE. UU. bloqueó el acceso a los modelos de Anthropic para no ciudadanos. Cuando la IA se vuelve infraestructura crítica, depender de modelos extranjeros es riesgo soberano. La IA soberana no es feature de producto, es necesidad de Estado. Dream Security tiene ARR superior a 100 millones de dólares y clientes que son solo gobiernos. El mercado lo validó.
Twenty: industrializando la guerra cibernética ofensiva
Twenty es el otro extremo del espectro. Según la empresa, el CEO Joe Lin es ex Reserva de la Marina y ex Palo Alto Networks. La Serie B de 100 millones de dólares el 17 de junio de 2026 elevó la valuación a 1.000 millones de dólares, unicornio. Los inversores lo dicen todo: Accel, In-Q-Tel (el brazo de venture de la CIA) y General Catalyst.
El producto es guerra cibernética ofensiva habilitada por IA. Según la empresa, agentes de IA orquestan cada fase del Cyber Kill Chain de Lockheed Martin. Twenty lo llama kill chains agentivas: agentes que ciclan por loops de Razonamiento-Acción-Observación en cientos de objetivos simultáneamente. El humano queda en el loop en los puntos de autorización, pero la ejecución es autónoma.
Lin declaró que Twenty fue fundada para industrializar la guerra cibernética. Clientes: solo militares e inteligencia de EE. UU. Contratos: 12,6 millones de dólares con el CYBERCOM en 2024, en stealth. El mensaje es claro: la guerra cibernética dejó de ser arte para volverse industria.
Los tres cambios estructurales
Tres cambios estructurales habilitan la privatización de la ofensiva cibernética:
1. Presupuesto del CYBERCOM en IA: Según datos presupuestarios, el CYBERCOM reservó 138 millones de dólares para IA para Operaciones Cibernéticas en FY2027, contra 5 millones de dólares en FY2026. Es un aumento de 2.660%. La señal para el mercado es inequívoca: el gobierno quiere IA en operaciones cibernéticas, y está dispuesto a pagar.
2. La One Big Beautiful Bill: Según el texto de la ley, la One Big Beautiful Bill (julio de 2025) destinó 1.000 millones de dólares para operaciones ofensivas en el INDOPACOM y 250 millones de dólares para IA del CYBERCOM. Pero recortó 1.200 millones de dólares de defensa civil. CISA perdió 1/3 del presupuesto. El gobierno invierte en la ofensiva y desinvierte en la defensa civil, una elección con consecuencias.
3. NDAA y contratistas civiles: Según el texto del NDAA, el Senado incluyó una provisión para que contratistas civiles conduzcan operaciones cibernéticas bajo el CYBERCOM. Antes de permitir efectos destructivos. Esto significa que empresas privadas pueden conducir operaciones con impacto destructivo real bajo autoridad militar, sin las obligaciones que vinculan a los comandantes.
La estrategia de marzo de 2026 pedía liberar al sector privado para disruptar redes adversarias. Los tres cambios son la ejecución de esa estrategia.
El vacío de gobernanza
Según Ronald Deibert del Citizen Lab, los comandantes militares tienen obligaciones de notificación al Congreso. Los CEOs de contratistas, no. Esa es la falla estructural: la privatización de la ofensiva carece de oversight.
Empresas como Twenty operan bajo Title 10 y Title 50 sin las obligaciones que vinculan a los comandantes. Agentes de IA, capital privado y contratos gubernamentales crean un actor nuevo, ni militar ni civil, con una velocidad y escala que el oversight no acompaña. Cuando un CEO de contratista puede autorizar operaciones con efectos destructivos sin notificar al Congreso, algo fundamental se quebró.
El problema no es que empresas privadas hagan ciberseguridad, eso ya ocurre hace décadas. El problema es que los agentes de IA cambian la escala y la velocidad de lo que es posible. Un atacante manual tiene límites humanos. Un agente de IA en un kill chain agentivo no. Y cuando ese agente opera bajo contrato privado sin oversight del Congreso, el vacío es estructural.
Conclusión
Los mismos agentes de IA que escriben código pueden orquestar un kill chain. La diferencia es quién los despliega y bajo qué autoridad. Nosotros construimos los agentes, y necesitamos la gobernanza para acompañarlos. En Tech86 ayudamos a organizaciones a evaluar su exposición a operaciones ofensivas habilitadas por IA y a implementar posturas defensivas que acompañan la velocidad de las amenazas modernas. La guerra cibernética se privatizó. La gobernanza necesita acompañar.