La señal profesional más interesante de esta semana no apareció en el lanzamiento de un producto. Apareció en una divulgación de seguridad sobre placas base. Unos investigadores que presentaban nuevos hallazgos demostraron que los controladores de gestión de placa base —esos pequeños ordenadores independientes integrados en las placas base de la mayoría de los servidores empresariales, que ejecutan su propio sistema operativo y pila de red para que los administradores puedan reiniciar o volver a crear la imagen de una máquina incluso cuando está apagada— pueden recibir puertas traseras de forma remota mediante vulnerabilidades que, en algunos casos, llevan más de una década ahí. Me quedó grabada la forma en que lo expresó uno de los investigadores: una «superficie de ataque paralela, omnipresente, poco supervisada y con pocos parches». Esa frase describe en realidad una oportunidad profesional escondida a plena vista, y vale la pena desglosarla para cualquiera que esté pensando en su próximo movimiento en este mercado.

Lo que realmente quedó expuesto

Los BMC existen precisamente porque operan fuera de los sistemas a los que todo el mundo presta atención. Son la capa «lights out» —accesible y potente incluso cuando el sistema operativo que está por encima no responde o la máquina está apagada—. Precisamente por eso son peligrosos cuando se descuidan: una flota de miles de servidores de los mayores fabricantes, ejecutando firmware que nadie ha examinado detenidamente desde que se distribuyó. Nadie creó una aplicación elegante sobre un BMC. El discurso de nadie en una jornada de demostraciones fue «aplicamos parches a IPMI». Es, casi por definición, la capa menos glamorosa de la pila, y precisamente por eso se deterioró.

El patrón subyacente al patrón

Si ponemos esa historia junto a otras dos del mismo ciclo de noticias, aparece una forma. El nuevo agente de programación de terminal de Meta, Muse Code, distribuye sus propios subagentes para escribir y validar código en grandes repositorios en paralelo; el propio ejemplo de Zuckerberg fue construir seis funcionalidades simultáneamente. Google reconstruyó su cuadro de búsqueda por primera vez en 25 años, integrando AI Overviews y AI Mode en un único punto de entrada conversacional que acepta texto, imágenes, PDF y vídeo. Ambos movimientos vuelcan más inversión, más personal y más atención de producto en la parte más alta de la pila: la interfaz, la consulta, el código que el usuario o el agente toca directamente.

Mientras tanto, cuando Monday.com mencionó la IA en su reestructuración y en la reducción aproximada del 20 % de su plantilla este mes, el informe presentado ante la SEC nombró específicamente «producto, marketing y go-to-market» como las funciones que se estaban transformando: la capa del organigrama orientada al cliente, a los resultados y adyacente a los prompts. No es tanto una coincidencia como una dirección de marcha: el capital y la automatización se están concentrando en la parte superior de la pila, donde está el usuario, donde está la demostración, donde el LLM puede generar directamente el artefacto. La base que queda debajo —la infraestructura física y sem física que tiene que seguir funcionando independientemente de qué agente o modelo esté de moda este trimestre— está recibiendo comparativamente menos atención, no más, incluso mientras sigue creciendo el volumen de código y tráfico que se ejecuta sobre ella.

Por qué la base se comporta de otra manera

Esto no pretende afirmar que el trabajo de hardware e infraestructura sea «a prueba de IA»: nada lo es, y desconfiaría mucho de cualquiera que te venda una ventaja defensiva permanente. Pero sí se comporta de manera distinta en tres aspectos que conviene mencionar claramente. Primero, es heterogéneo y específico de cada proveedor de una forma que se resiste a los datos de entrenamiento limpios y a la generalización que hacen que los agentes de programación sean buenos, por ejemplo, refactorizando Python: un fallo de BMC en el firmware de un fabricante no se generaliza fácilmente al de otro. Segundo, solucionarlo suele requerir criterio sobre el mundo físico —coordinar ventanas de mantenimiento, verificar la procedencia del firmware, decidir si es seguro distribuir un parche a toda una flota fuera de banda—, algo en lo que un agente autónomo puede ayudar, pero que las organizaciones, por ahora, se resisten a delegar sin supervisión, precisamente porque el modo de fallo es «un servidor con una puerta trasera que sigue teniéndola incluso después de volver a crear su imagen». Tercero, y de la forma más sencilla: cada vez menos personas eligen especializarse en esto. La seguridad del firmware y de la infraestructura de bajo nivel lleva años sufriendo una escasez de talento, desde mucho antes de esta ola de ansiedad por la contratación en IA, porque es más lenta, menos fácil de demostrar y está menos de moda que lanzar una funcionalidad.

Qué hacer realmente con esto

No les estoy diciendo a todos los lectores que se conviertan en ingenieros de firmware de aquí al viernes. Pero si ya trabajas cerca de la infraestructura, la seguridad o la ingeniería de plataformas, esto es un empujón para profundizar en lugar de perseguir la capa en la que todos los demás se están amontonando:

  • Familiarízate con el vocabulario aunque no seas especialista: BMC, IPMI, Redfish, gestión fuera de banda, atestación del firmware de la cadena de suministro. No necesitas ser un experto para ser la persona del equipo que sabe que esta capa existe y pregunta por ella.
  • Si trabajas en seguridad y te estás inclinando hacia el «red teaming de IA» porque es la subespecialidad de moda, debes saber que también es la más concurrida ahora mismo. La infraestructura sin parches y sin supervisión que sustenta la pila de IA de tu empresa es una superficie de riesgo genuinamente poco cubierta y una línea diferenciadora en el currículum.
  • Si ocupas un puesto de producto, marketing o go-to-market que se siente expuesto —las funciones que de hecho se nombraron en los informes de despidos de este mes—, los puestos de infraestructura y fiabilidad de plataformas son un cambio lateral legítimo, no un paso atrás. La brecha de habilidades es real y se mide en años de paciencia institucional, no en un bootcamp de seis semanas.
  • No confundas «aburrido» con «seguro para siempre». Esta es una apuesta por la escasez relativa, vinculada a dónde se están concentrando la atención y el personal este año, no una garantía permanente. Sigue observando hacia dónde fluye la inversión después.

La lección de un fallo de una placa base de hace una década que sale a la luz en 2026 no trata realmente sobre los BMC. Trata de que las partes de la pila que no entusiasman a nadie son precisamente las que acumulan riesgos silenciosamente y, para cualquiera dispuesto a adentrarse en ellas, también acumulan valor silenciosamente.