El Programa Cardinal ofrece pruebas de seguridad impulsadas por IA gratuitas a las empresas de servicios públicos de EE. UU.

Method Security y Palantir Technologies, el 10 de septiembre de 2026, anunciaron el Programa Cardinal, una iniciativa conjunta que ofrecerá a municipios, empresas de servicios públicos y operadores de infraestructura crítica de EE. UU seleccionados evaluaciones de seguridad autónomas, continuas y con opción de participación, sin costo.

En un comunicado conjunto con fecha de Nueva York y Miami, las compañías describieron a Cardinal como una iniciativa para reforzar la resiliencia cibernética nacional mediante equipos rojos autónomos y seguros. Declararon que estas instituciones protegen los sistemas y servicios que sustentan la vida cotidiana y ahora se enfrentan a adversarios que emplean IA cada vez más potente para descubrir y explotar vulnerabilidades a una velocidad y escala sin precedentes. Cardinal, dijeron, es su esfuerzo por cerrar esa brecha al combinar sistemas cibernéticos autónomos, IA avanzada y operadores expertos en apoyo a los equipos que protegen la infraestructura esencial de Estados Unidos.

El sitio oficial del programa indica que su misión es dotar a la infraestructura crítica nacional y a organizaciones municipales de orientación continua, segura y basada en información adversaria para endurecer sus sistemas y superar a los ciberadversarios. El sitio describe a estas instituciones como frecuentemente con recursos de seguridad insuficientes y presenta a Cardinal como una coalición técnica de empresas estadounidenses de tecnología y seguridad que ofrece una solución conjunta en el mercado.

“Los atacantes ya están poniendo estas capacidades en práctica”, escribieron las compañías en el comunicado conjunto. “Los defensores no deberían tener que esperar para hacer lo mismo”.

Cómo se llevarán a cabo las evaluaciones

Bajo el programa, la plataforma de Method y sus operadores de seguridad mapearán, sondearán y probarán de forma segura los activos expuestos a Internet de las organizaciones participantes para identificar rutas de ataque. Modelos de frontera y de peso abierto impulsarán las evaluaciones, que, según las compañías, están diseñadas para ayudar a los defensores a comprender cómo podrían los atacantes con las mismas capacidades abordar sus sistemas.

Palantir Foundry, AIP y la Ontología para la Ciberseguridad proporcionarán la infraestructura segura para que Method integre y entregue los hallazgos y facilite la colaboración. Según el comunicado, AIP permite validar flujos de trabajo de evaluación automatizados y repetibles para estas misiones de alto impacto, mientras que la Ontología contextualiza los hallazgos en términos de impacto real en la misión para enfocar las acciones de respuesta.

Las evaluaciones emularán el comportamiento real de adversarios dentro del alcance y las reglas de compromiso definidas por los participantes, con salvaguardas y supervisión humana para evitar interrupciones, según las compañías. Expertos en seguridad revisarán los hallazgos y ofrecerán orientación de endurecimiento basada en información adversaria.

Elegibilidad, controles y registro

El sitio del programa indica que cualquier organización estadounidense de infraestructura crítica en los sectores de energía, transporte, comunicaciones, salud pública o gestión hospitalaria, y cualquier municipio responsable del suministro de agua o de la seguridad, califica para evaluaciones gratuitas.

Según el sitio, el nivel gratuito consiste en evaluaciones de equipo rojo autónomo semi‑frecuentes de la superficie de ataque externa de una organización, con orientación estratégica de endurecimiento entregada directamente, más la posibilidad de interactuar mensualmente con un experto en seguridad para revisar dicha orientación. La salida toma la forma de guía de endurecimiento informada por adversarios, como ajustar un control de red o eliminar accesos permisivos, entregada con evidencia adjunta.

Cada organización participante define su propio alcance objetivo de activos permitidos y no permitidos y puede establecer reglas de compromiso granulares que indiquen qué acciones pueden realizarse, en qué momentos y con qué nivel de aprobación humana. El alcance y las reglas pueden modificarse después del registro mediante un portal que almacena todas las configuraciones y resultados del participante. El sitio afirma que los hallazgos de los participantes están controlados por acceso y que los detalles nunca se hacen públicos más allá de un ingeniero de soporte.

El registro comienza con la presentación de un formulario, tras lo cual un ingeniero de Method evalúa la elegibilidad. Los participantes calificados firman un acuerdo de equipo rojo antes de ser incorporados al programa.

Más allá del nivel gratuito, las grandes empresas pueden contactar directamente a los socios operativos del programa para obtener programas comerciales pagos dedicados, construidos sobre el mismo modelo, según indica el sitio. Las agencias gubernamentales pueden usar Cardinal como plataforma técnica para iniciativas de seguridad más amplias, como ofrecer un programa de evaluación continua para sus propios sistemas o terceros autorizados, basado en financiamiento federal u otro modelo económico acordado. Las compañías declararon que su objetivo es proporcionar capacidades a los defensores ahora mientras demuestran un modelo escalable, y esperan que Cardinal pueda ofrecer a las agencias gubernamentales un vehículo técnico probado para dirigir esas capacidades a los sistemas dentro de sus mandatos. La resiliencia cibernética nacional, añadieron, requerirá una colaboración urgente entre la industria y el gobierno.

Las empresas detrás del programa

Method se describe a sí misma como constructora de sistemas cibernéticos autónomos para el Gobierno de EE. UU y las empresas Fortune 500, y el sitio web de la compañía declara una misión de proporcionar resiliencia cibernética al Gobierno de EE. UU y a empresas críticas. El sitio indica que Method desarrolla productos de seguridad de espectro completo para armar a los operadores cibernéticos con una ventaja decisiva, y enumera dos: Bastion, que mapea, valida y controla la totalidad de recursos y posibles rutas de ataque en el contexto del negocio del cliente, y Reaper, que planifica y ejecuta operaciones de equipo rojo y ejercicios de emulación de adversarios sobre infraestructura autónoma y de comando‑y‑control definida por software. Method enumera a OpenAI, Palantir, Andreessen Horowitz, General Catalyst y Blackstone como socios.

El comunicado invita a las organizaciones que protegen sistemas críticos o servicios públicos a solicitar una evaluación de seguridad a través del sitio del Programa Cardinal. Señala a Lisa Gordon como contacto de prensa de Palantir y a MR Snell como contacto de Method Security.