La señal profesional más interesante de esta semana no estuvo en el lanzamiento de un producto. Estuvo en una divulgación de seguridad sobre placas madre. Investigadores que presentaron nuevos hallazgos demostraron que los controladores de gestión de placa base —las pequeñas computadoras independientes integradas en las placas madre de la mayoría de los servidores empresariales, que ejecutan su propio sistema operativo y pila de red para que los administradores puedan reiniciar o volver a crear la imagen de una máquina incluso cuando está apagada— pueden recibir puertas traseras de forma remota mediante vulnerabilidades que, en algunos casos, llevan más de una década allí. Se me quedó grabada la forma en que lo expresó uno de los investigadores: una «superficie de ataque paralela, omnipresente, con poca supervisión y pocos parches». Esa frase describe realmente una oportunidad profesional que está a plena vista, y vale la pena desmenuzarla para cualquiera que esté pensando en su próximo paso en este mercado.

Lo que realmente quedó expuesto

Los BMC existen precisamente porque operan fuera de los sistemas a los que todos prestan atención. Son la capa de «luces apagadas»: accesibles y potentes incluso cuando el sistema operativo que está por encima no responde o la máquina está apagada. Por eso son peligrosos cuando se descuidan: una flota de miles de servidores de los mayores fabricantes, que ejecutan firmware que nadie ha examinado de cerca desde que se distribuyó. Nadie creó una aplicación atractiva sobre un BMC. El discurso de nadie para el día de demostraciones fue «parcheamos IPMI». Es, casi por definición, la capa menos glamorosa de la pila, y precisamente por eso se deterioró.

El patrón subyacente al patrón

Pon esa historia junto a otras dos del mismo ciclo de noticias y aparece una forma. El nuevo agente de programación de terminal de Meta, Muse Code, despliega sus propios subagentes para escribir y validar código en repositorios grandes en paralelo; el propio ejemplo de Zuckerberg fue crear seis funciones simultáneamente. Google reconstruyó su cuadro de búsqueda por primera vez en 25 años, integrando AI Overviews y AI Mode en un único punto de entrada conversacional que acepta texto, imágenes, PDF y video. Ambos movimientos vierten más inversión, más personal y más atención de producto en la parte más alta de la pila: la interfaz, la consulta, el código que el usuario o el agente toca directamente.

Mientras tanto, cuando Monday.com citó la IA en su reestructuración y en la reducción de aproximadamente 20% de su fuerza laboral este mes, la presentación ante la SEC nombró específicamente «producto, marketing y salida al mercado» como las funciones que se estaban transformando: la capa del organigrama orientada al cliente, a los resultados y adyacente a los prompts. No es tanto una coincidencia como una dirección de viaje: el capital y la automatización se están concentrando en la parte superior de la pila, donde está el usuario, donde está la demostración y donde el LLM puede generar directamente el artefacto. El piso que está debajo —la infraestructura física y semífísica que tiene que seguir funcionando sin importar qué agente o modelo esté de moda este trimestre— está recibiendo comparativamente menos atención, no más, incluso mientras sigue creciendo el volumen de código y tráfico que se ejecuta sobre ella.

Por qué el piso se comporta de manera diferente

Esto no es un argumento de que el trabajo de hardware e infraestructura sea «a prueba de IA»: nada lo es, y desconfiaría mucho de cualquiera que te venda una ventaja permanente. Pero sí se comporta de manera diferente en tres aspectos que vale la pena nombrar claramente. Primero, es heterogéneo y específico de cada proveedor de una forma que se resiste a los datos de entrenamiento limpios y a la generalización que hacen que los agentes de programación sean buenos, por ejemplo, para refactorizar Python: un error en el BMC del firmware de un fabricante no se generaliza fácilmente al de otro. Segundo, solucionarlo suele requerir criterio sobre el mundo físico —coordinar ventanas de mantenimiento, verificar la procedencia del firmware, decidir si es seguro implementar un parche para toda la flota fuera de banda—, algo en lo que un agente autónomo puede ayudar, pero que las organizaciones, por ahora, se resisten a delegar sin supervisión, precisamente porque el modo de falla es «un servidor con una puerta trasera que sigue teniéndola incluso después de volver a crearle la imagen». Tercero, y de la manera más sencilla: menos personas están eligiendo especializarse aquí. La seguridad del firmware y de la infraestructura de bajo nivel ha sufrido una escasez de talento durante años, mucho antes de esta ola de ansiedad por la contratación en IA, porque es más lenta, menos demostrable y menos de moda que lanzar una función.

Qué hacer realmente con esto

No les estoy diciendo a todos los lectores que se conviertan en ingenieros de firmware para el viernes. Pero si ya trabajas cerca de la infraestructura, la seguridad o la ingeniería de plataformas, esto es un empujón para profundizar en lugar de perseguir la capa en la que todos los demás se están amontonando:

  • Familiarízate con el vocabulario, aunque no seas especialista: BMC, IPMI, Redfish, gestión fuera de banda, certificación de autenticidad del firmware de la cadena de suministro. No necesitas ser experto para ser la persona del equipo que sabe que esta capa existe y pregunta por ella.
  • Si trabajas en seguridad y te estás inclinando hacia el «red teaming de IA» porque es el subcampo de moda, debes saber que también es el más concurrido en este momento. La infraestructura sin parches y sin supervisión que está debajo de la pila de IA de tu empresa es una superficie de riesgo genuinamente poco cubierta y una línea diferenciadora en el currículum.
  • Si ocupas un puesto de producto, marketing o salida al mercado que se siente expuesto —las funciones que de hecho se nombraron en las presentaciones de despidos de este mes—, los puestos de infraestructura y confiabilidad de plataformas son un movimiento lateral legítimo, no un paso atrás. La brecha de habilidades es real y se mide en años de paciencia institucional, no en un bootcamp de seis semanas.
  • No confundas «aburrido» con «seguro para siempre». Esta es una apuesta de escasez relativa, vinculada a dónde se están concentrando la atención y el personal este año, no una garantía permanente. Sigue observando hacia dónde fluye la inversión después.

La lección de que un error de hace una década en una placa madre salga a la luz en 2026 no trata realmente sobre los BMC. Es que las partes de la pila que no entusiasman a nadie son exactamente las partes que acumulan riesgos silenciosamente y, para cualquiera dispuesto a adentrarse en ellas, también acumulan valor silenciosamente.