Bernardo Quintero, fundador de VirusTotal y Google Security Engineering Director

«Gracias a la inteligencia artificial vamos a ser más productivos y quizá en unos años trabajaremos cuatro días en vez de cinco»

-Después de la inauguración del GSEC y todos los premios que ha recibido últimamente, ¿tiene ya patentado el método para superar la timidez?

-Para nada. Lo sigo pasando mal. Sí es cierto que al final la experiencia hace callo y lo llevo un poco mejor. Pero sigo rechazando un montón de entrevistas, eventos, saraos y demás. Sigo más o menos con el mismo porcentaje del 10%.

-Claro, pero como le llegan más propuestas que antes, ese 10% al final equivale a más 'bolos'.

-Yo creía que la inauguración iba a ser el punto álgido y que después se olvidarían un poco de mí, pero no supe prever porque ahora me han invitado a más cosas... Mi mujer me ha dicho que pare ya con el tema de los premios, que ya no tengo sitio donde meterlos en casa. Que yo lo agradezco, ¿eh? La verdad es que siempre nos han tenido mucho cariño. Me siento súper querido, me siento a veces querido de más... Yo es que siempre he sido súper tímido, prefiero estar en segundo plano.

-Pues le ha salido mal. Lo que le viene faltando todavía es una calle, ¿no?

-¡No dé ideas! Aquí detrás del GSEC tenemos la calle Vélez-Málaga y yo ya me siento representado en ella. Y le pusieron mi nombre a un aula de informática en mi antiguo colegio.

-De todas las visitas que han recibido en el GSEC en estos meses, ¿cuál le ha hecho más ilusión?

-Esa pregunta es fácil: la de mi colegio. Hemos tenido visitas de todo tipo, gente más o menos famosa, muchos políticos... pero a mí me sigue llenando más la parte de los niños y las niñas. La visita de mi colegio fue súper emotiva porque vinieron mis antiguos profesores. Y hace poco vino el instituto donde está Celia, mi hija. Hemos hecho hace poco la prueba de traer niños pequeñitos, de 7 u 8 años, y ha sido súper interesante porque a la hora de las preguntas son los más incisivos; te salen por sitios que no te esperas porque no tienen filtro. Pero no sólo vienen chavales; estamos haciendo educación para mayores a través de talleres con la Cruz Roja; tenemos formación muy especializada en temas de ciberseguridad, reuniones con los cuerpos y fuerzas de seguridad y agencias gubernamentales... La verdad es que la demanda en la vertiente de formación del GSEC ha sobrepasado las estimaciones que teníamos.

-Y entre visitas y premios, les ha dado tiempo a desarrollar desde Málaga la nueva solución de ciberseguridad de Google.

-Sí. Es un nuevo producto que nace de la fusión de VirusTotal con la parte de inteligencia que hace Mandiant y con toda la visibilidad que tiene Google de la parte de ciberseguridad. Es un producto súper importante y al final todo el desarrollo se ha realizado desde aquí, desde Málaga. Además hay otra pata, que es una investigación sobre la aplicación de inteligencia artificial al análisis de 'malware', que también lo hemos presentado en la RSA [la conferencia de ciberseguridad de San Francisco] y ahí he estado yo directamente involucrado. Llevo dos años trabajando en eso.

-O sea, que está metido de lleno en la inteligencia artificial.

-Google ahora mismo el foco más importante lo tiene puesto en la IA. Y yo he estado trabajando en dos vertientes: cómo aplicar la inteligencia artificial en nuestro producto, que es la ciberseguridad; y también directamente con el equipo de IA de Google, porque había que tocar un poco la base del modelo para que estuviera mejor preparada a la hora de atacar los problemas específicos de ciberseguridad.

-Con todos estos cambios, ¿ha tenido que pelear para que VirusTotal conserve su espíritu original?

-Como sabe, VirusTotal era el punto neutral de la industria de la ciberseguridad y Google es muy sensible con nuestra misión original, nos respeta mucho. Es cierto que de un tiempo a esta parte Google Cloud se está metiendo más en la comercialización de productos de seguridad, así que es un actor importante en el mercado. Mientras, VirusTotal tiene un rol mucho más neutro dentro de la industria. Pero lo estamos balanceando bien. Y en Málaga tenemos esa doble vertiente: tenemos que seguir cuidando de VirusTotal como comunidad y como punto neutral que reparte un poco a toda la industria; y también estamos desarrollando la parte de Google Threat Intelligence. Aquí ya no hacemos sólo Virustotal, estamos trabajando en más proyectos relacionados con 'ciber': Google Threat Intelligence, Chronicle, la parte de inteligencia artificial... Nos hemos diversificado. Y éste también era uno de los objetivos de montar una oficina en Málaga, que tuviéramos participación en todos los proyectos que tengan que ver con ciberseguridad dentro de Google.

-¿Cuántos empleados tiene ahora el GSEC Málaga y cuál es la proyección de crecimiento?

-Ahora somos 65. En este edificio yo creo que llegaremos a ser cien o ciento y poco. Vamos creciendo de forma muy orgánica. Este año, por ejemplo, creo que saldrán diez vacantes. O sea, que nos acercaremos a esos cien teóricamente a los dos o tres años.

-¿Y después?

-Bueno, el alcalde tiene muchas ganas de que crezcamos y ya nos está ofreciendo posibles ubicaciones para otra oficina, pero le he dicho que vamos despacito.

-Pero el recorrido de Google en Málaga no se agota en este edificio, entonces.

-No. De hecho, desde que se inauguró el edificio tenemos mucha demanda interna de otros equipos de Google que se quieren mudar a Málaga, ya no solamente relacionados con ciberseguridad sino de todo tipo. Ahora mismo tenemos restringido el acceso solamente a temas de ciberseguridad, pero la demanda es brutal.

-Esas vacantes que van saliendo, ¿se cubren con talento local o tienen que buscar fuera?

-La mayor parte sigue siendo local. Nuestro 'pool' de talento es la Universidad de Málaga. Venimos haciendo el Diploma de Experto Universitario en Ingeniería Inversa e Inteligencia Malware, participamos también en el nuevo Grado de Ciberseguridad e IA y tenemos muy buena relación tanto con el equipo de Javier López del grupo de investigación NICS Lab, que es muy potente en ciberseguridad, como con Manuel Enciso, de la Escuela de Informática. Yo creo que el 80% de la plantilla somos andaluces y la principal universidad que aporta talento es la Universidad de Málaga. Es cierto que de vez en cuando aparece un rol que es muy específico o que necesita más experiencia en tecnología de Google y puede ser que ese lo ocupe algún compañero que viene de fuera de Málaga, pero son los menos. Y mi previsión es seguir creciendo con talento local.

-¿Eso quiere decir que la Universidad de Málaga lo está haciendo bien para crear cantera de profesionales de la ciberseguridad?

-Hemos contado siempre con la ventaja de que Javier López también ha sido un pionero; empezó a la vez que nosotros, en el año 98 él estaba ya publicando temas de ciberseguridad, y tiene un equipo muy potente en el NICS Lab. De hecho, hemos estado años trabajando prácticamente codo con codo porque cuando nos mudamos del chalet de El Candado al edificio Ada Byron de la UMA, ellos estaban en la segunda planta y nosotros en la tercera. A partir de ahí hemos montado muchas cosas juntos. Y Manolo Enciso está también súper volcado y cualquier iniciativa o idea que proponemos nos cogen el guante. Yo estoy súper contento con la Universidad de Málaga y siempre digo que en todo este crecimiento que hemos tenido dentro de Google, mi principal socio en Málaga ha sido la UMA. A Google lo que más le interesa de cara a invertir en una localización es el talento que se pueda captar en esa localización y ese talento ha venido por parte de la Universidad.

-Ahora que es el 20 aniversario de VirusTotal, ¿se plantea cómo sería si no les hubiera comprado Google?

-Buena pregunta. No tengo ni idea. El caso es que en 2011, antes de la venta, ya habíamos tenido otra oferta, pero nosotros teníamos claro que la casa ideal donde seguir creciendo era Google. Nosotros teníamos el hándicap de que VirusTotal era un producto dentro de Hispasec Sistemas y allí teníamos tres socios más que también querían tener cierto retorno de la inversión que habían hecho en ese producto. Con lo cual, yo creo que en aquel momento sí o sí se iba a producir una adquisición, teníamos muchos candidatos. Lo que nosotros decidimos es con quién irnos.

-¿Y cómo será la VirusTotal de dentro de veinte años?

-Yo creo que seguiremos creciendo. Al final, nuestro modelo es básicamente el 'crowdsourcing', es decir, reunir en un punto un montón de fuentes que dan veredicto sobre temas de ciberseguridad, ya no solamente a nivel de ficheros, sino también de URL, de dominios, de direcciones IP... Ese modelo de coger muchas fuentes y hacer una especie de agregador que contenga toda esa inteligencia, para que la gente que tenga cualquier contenido sospechoso pueda enviarlo y obtener el veredicto de un montón de herramientas diferentes, sigue sirviendo para cualquier otro paradigma. De hecho, ahora lo estamos viendo con la inteligencia artificial. VirusTotal también da veredictos basado en IA. Tú mandas un fichero y ya te da el veredicto basado en modelos conocidos como ChatGPT, Gemini o Llama3. La gente valora mucho eso, que en un mismo punto se pueda tener el veredicto de un montón de herramientas diferentes. El futuro va por ahí: ir adaptándonos a la propia evolución de la ciberseguridad; de las amenazas y de las nuevas soluciones que salgan.

-¿Qué enseñanza le gustaría que sacaran los jóvenes malagueños de la historia de VirusTotal?

-Me gustaría que VirusTotal sirviera de ejemplo de que apostando por algo en lo que crees, echándole pasión, tiempo y dedicación se pueden conseguir cosas desde Málagaa. Antes, cualquiera que quisiera triunfar en tecnología sabía que tenía que irse fuera. Y yo creo que eso ha cambiado. De hecho, ahora estamos en una etapa en la que en Málaga estamos repatriando a gente que en su día se fue. Y es muy interesante porque vienen con mucho aprendizaje, con una mente súper global de trabajar en empresas muy grandes, en proyectos globales, y ahora pueden aplicarlo aquí.

-¿Quien está sacando más partido de la inteligencia artificial, los buenos o los malos?

-Siempre los malos. Las regulaciones a ellos no les afectan, por lo tanto ellos son los primeros que adoptan cualquier nueva tecnología. Nosotros vamos un poquito a rebufo, en el sentido de que sí tenemos que cuidar el cumplimiento de regulaciones. Pero yo soy optimista. Estamos yendo bastante rápido en aplicar la inteligencia artificial a la ciberseguridad. De hecho, el primer producto de inteligencia artificial aplicada a un caso concreto de uso en Google Cloud fue desarrollado en Málaga: Code Insight, que era un primer análisis de malware basado en inteligencia artificial, que lanzamos desde VirusTotal el año pasado.

-Está el mundo de la tecnología para sentarse a mirar y comer palomitas. Hay una carrera desatada entre las principales empresas, con Google y OpenAI ahí en cabeza, por liderar el desarrollo de la IA. ¿Quién ganará?

-Para mí, la inteligencia artificial ha sido un renacer de la informática. Yo llevo programando desde los diez años y he visto una evolución paulatina. Pero esto para mí ha supuesto un salto exponencial. Todo este auge de la inteligencia artificial generativa se fraguó dentro de Google. En el año 2013 hubo un proyecto que era pasar de lenguaje natural a matemáticas; se llamó Word2vec. Estábamos intentando mejorar las búsquedas semánticas y las traducciones. Después en el 2017 dimos un salto con una tecnología nueva que se llamó Transformers, que básicamente tenía en cuenta mucho contexto a la hora de elegir qué palabra iba a continuación de un texto. La inteligencia artificial generativa está basada en probabilidades: en base a un contexto, ver qué palabra es la que más probabilidad tiene de ir a continuación. Intentando solucionar esos problemas se descubre que cuando eso se mete en redes neuronales con millones de parámetros, resulta que se emula el pensamiento humano basado en el lenguaje natural. Que ocurra esto es algo bastante común dentro de la ciencia y la investigación. Por ejemplo, la penicilina: un día Fleming se dejó cerca de una ventana una plaqueta y cuando volvió al cabo del día encontró un moho que se estaba comiendo la bacteria. Algo parecido ha pasado con el tema de la inteligencia artificial generativa. Estábamos intentando mejorar la búsqueda semántica y las traducciones y en un momento dado, se descubre que este tipo de modelos con tantos billones de parámetros no sólo entienden muy bien el lenguaje natural, sino que pueden emular el pensamiento. A raíz de ahí ha surgido toda esta eclosión que vemos ahora. Luego es cierto que OpenAI sacó ChatGPT, que es lo que ha disparado el boom. En definitiva: creemos que es algo totalmente transformador y ahora mismo hay un montón de empresas que estamos trabajando en este tema.

-¿Cuál es su postura respecto a la IA? ¿Es de los 'tecnooptimistas' que creen que va a cambiar el mundo a mejor o cree que hay riesgos y que hay que ponerle límites?

-Yo siempre he sido bastante conservador en cuanto a la tecnología. No soy mucho de 'hypes': cuando salió el 'blockchain' yo era uno de los principales detractores, y lo mismo con los NFT. Y, por cierto, creo que tenía razón. Con la IA generativa me ha pasado al contrario. Por eso decía que para mí fue un renacer. Yo pensaba que ya en lo que me quedaba de vida no iba a ver algo súper transformativo, pero cuando empecé a ver lo que se estaba haciendo con IA generativa en Google dije: aquí sí hay algo que puede cambiar el mundo. Puede transformarlo todo. Y me enganché y empecé otra vez a programar porque me pareció fascinante. En cuanto a si tenemos que ponerle cortapisas o no, yo creo que sí o sí esto ha venido para quedarse y que tenemos que abrazarlo. En Europa tenemos un hándicap: somos los número uno regulando, pero en innovación no. Con la regulación tienes que ir con brocha muy fina para que no frene la innovación. Tenemos el caso extremo de China, que va muy rápido porque básicamente no tiene ningún tipo de regulación y utiliza a su población como conejillos de indias. En Estados Unidos siempre han sido potentes en innovación y tienen cierta regulación, pero son bastante flexibles. Y en Europa tenemos el hándicap de que somos muy conservadores a la hora de regular. Con un buen fin, que al final es proteger a los ciudadanos, pero creo que muchas veces nos pegamos un tiro en el pie por el exceso de regulación.

-¿No le dan miedo o al menos vértigo algunas posibilidades? El director ejecutivo de Google, Sundar Pichai, ha dicho que en el futuro habrá personas que se enamoren de una IA.

-Bueno, sí, se podrían llegar a establecer relaciones con un algoritmo. Yo creo que a día de hoy ocurre que la gente se enamora de cosas virtuales. ¿Y por qué no te puedes enamorar, aparte de una persona, de otro ente? ¿Acaso no nos enamoramos en cierto modo de nuestras mascotas? ¿Dónde ponemos la barrera?

-Pero detrás de un algoritmo no hay nada. Es simulación.

-Este es un punto muy interesante, porque para mí la inteligencia artificial generativa ha sido una cura de humildad. Todavía no emula perfectamente el razonamiento humano, pero de alguna manera ya somos conscientes de que esto piensa.

-¿Piensa o parece que piensa?

-Emula el pensamiento humano. Tú tienes conversaciones con 'chatbots' que si a ti no te dicen que detrás un algoritmo, te creerías que es una persona. El tema del lenguaje natural lo tienen totalmente superado. Ahora, el tema de qué es inteligencia es un debate filosófico. Siempre hemos creído que el humano tiene «algo más». Pero cuando yo veo a esto razonar, o emular el razonamiento, pues me cabe la duda. Quizás la inteligencia humana no es más que un modelo de billones de parámetros basado en neuronas, en química, y tenemos ciertos datos de entrada que nos vienen por el ADN y después todo lo que vamos captando a nuestro alrededor es lo que nos va formando como personas.

-Es cierto que siempre se ha dicho que el arte y la creatividad es lo que nos distingue como humanos, pero precisamente la primera demostración de poder de la inteligencia artificial nos está llegando por ahí.

-Exactamente. Es que esto de la IA generativa nos ha sorprendido totalmente. Siempre habíamos pensado que el día que la IA viniera a quitarnos el trabajo sería en las tareas más mecánicas. Pero de buenas a primeras, se ha ido a la capa superior: la de las tareas intelectuales y creativas. El 'machine learning' y el 'deep learning' hacían dos cosas muy bien: clasificación y caracterización. La IA generativa es: yo te entreno con un montón de datos y a partir de ahí tú generas contenido totalmente nuevo. Le puedes decir: crea un cuento o pinta un cuadro. Y eso emula mucho, mucho, lo que es la mente humana a la hora de crear. Por eso digo que para mí ha sido una cura de humildad. Yo ya estoy más cercano a pensar que los humanos no tenemos nada especial; simplemente tenemos un cerebro con millones de parámetros.

-Pero nosotros tenemos sentimientos.

-Los sentimientos se pueden emular también. Ahora mismo la IA todavía no llega a emular completamente a la mente humana en su capacidad de adaptación y de profundidad a la hora de realizar múltiples tareas. Eso sería llegar a lo que llamamos inteligencia artificial general. ¿Llegaremos a corto o medio plazo? No lo sabemos. Sabemos que nos falta poco; quizá es un 10% lo que nos falta, pero ese 10% se puede disparar a un montón de años. Pero estamos mucho más cerca. Yo pensaba que nunca iba a ver la inteligencia artificial general, la veía como algo futurista. Ahora, con el gran avance que hemos dado, yo espero verla. No sé si dentro de diez o veinte años, pero algún día tendrá la misma capacidad que nosotros y en un momento dado nos superará. Y no es malo. Yo soy optimista: al final seremos una sociedad más productiva.

-¿Una sociedad en la que no trabajaremos? ¿Es de los que piensan que habrá una renta universal?

-Yo creo que a corto plazo vamos a ser más productivos. De hecho las empresas que estamos integrando la inteligencia artificial somos ya más productivas, yo mismo me siento mucho más productivo a la hora de programar y de generar contenido porque siempre tengo ahí un asistente que me va echando una mano y las tareas rutinarias salen mucho más rápido. ¿Esto a qué puede llevarnos? A que quizá dentro de cinco años, en vez de trabajar cinco días a la semana trabajemos cuatro porque somos muy productivos. Puede sonar raro, pero lo de tener semanas laborales de cinco días tampoco es de hace tanto. Creo que empezó en 1926, con Ford y la industrialización, precisamente gracias a que la productividad aumentó.

-Con eso de la semana de cuatro días igual sí convence a la gente de que la IA es positiva para la humanidad.

-También creo que va a tener un impacto negativo a corto plazo en ciertos trabajos. Profesiones relacionadas con el lenguaje natural, por ejemplo, traductores, a corto plazo creo que van a ir a menos porque los modelos de lenguaje han llegado a un nivel de calidad muy alto. También los roles de trabajo administrativo, de 'call centers'... pueden estar en riesgo. Eso quiere decir que las personas que se dediquen a eso tendrán que evolucionar y hacer otro tipo de tareas. En el resto de trabajos, la IA nos sirve como asistente. De momento no nos sustituyen, pero sí nos van a ayudar a ser más productivos. Y, a la vez, se van a crear otro tipo de puestos de trabajo. O sea, que vamos a seguir teniendo que trabajar a corto y medio plazo.

-Con esta perspectiva, ¿qué consejo le daría a alguien que está planteándose su futuro profesional?

-Primero, vocación. Siempre lo he dicho, y ahora mucho más que nunca.

 -¿Y si su vocación es ser traductor?

-En la inteligencia artificial generativa hay especialistas en traducciones y lenguaje porque son muy importantes a la hora de pasar ese lenguaje natural a matemáticas. O sea, que hay vida más allá de los roles que tenemos hoy. Según un estudio que ha hecho Google, el 60% de los empleos actuales se va a ver impactado en el sentido de que van a tener que adoptar la IA. Y habrá un pequeño porcentaje que se verán afectados de forma más directa porque la IA podrá sustituirlos. Pero después se van a crear otras nuevas oportunidades de trabajo que a día de hoy no existen. Así que la gente que estudia carreras de lengua sigue siendo necesaria; de hecho, forman parte de los equipos de IA.

-O sea, seguir la vocación sí, pero buscando el encaje en este nuevo mundo dominado por la tecnología.

-Sí, porque al final la tecnología es transversal y la IA se va a meter prácticamente en todos los sectores y en todos los tipos de trabajo que tenemos hoy día. Los menos impactados serán los más físicos. La construcción, la fisioterapia, la jardinería... Pero todo lo que sea trabajo con ordenador se va a ver impactado por la IA.

-Por su biografía, parece que se mueve por desafíos. Le dijeron que no se podía crear una 'newsletter' diaria de ciberseguridad y lanzó 'Una al día', que fue el germen de Hispasec. Después se apostó sendas botellas de whisky: primero a que vendería VirusTotal a Google y, después, a que traería Google a Málaga. Y ahora, ¿qué?

-Soy bastante 'picado', creo que todos lo somos en esta oficina... Cuando planteo algo y veo que la gente no termina de creerlo o me dicen que no, para mí es un incentivo muy grande. Pero no me considero ambicioso: he ido día a día y aprovechando las olas que vienen. Es cierto que en momentos dados he tenido la osadía de hacer disparos a la luna y decir «Voy a intentar venderle esto a Google» o «Voy a hacer que Google venga a Málaga». Son retos que me tomo en plan juego. Me atraen los desafíos, resolver problemas. Al final, en el espíritu de un ingeniero está tener impacto a través de resolver problemas. Eso es lo que me llama la atención, no tanto el decir: voy a crear una oficina más grande o a tener más gente reportándome o a subir en la carrera profesional. De hecho, yo por mí me iría un poco más atrás: que los de mi equipo sigan creciendo dentro de Google y yo volver a la trinchera, a resolver proyectos, a tener un equipo pequeño y a hacer innovación, que es la parte que más me gusta. Pero ojo, no me quejo, en Google han tenido mucha sensibilidad conmigo. Si miras mi calendario, tengo muchas horas libres porque estoy haciendo trabajo de desarrollo, cuando lo normal en un director es tener muchas reuniones. De hecho, yo aquí ya tiro mucho de mi equipo: la gestión del GSEC la lleva Paloma; y en ingeniería coordina Juan. Ellos han cogido toda la parte que yo no estoy haciendo porque me gusta hacer investigación y desarrollo.