Radar 942: Google, OpenAI, Meta, IA y seguridad Joomla

Antes de seguir, debo abordar una pequeña cuestión doméstica. Radar 942 pasa a ser quincenal porque mantenerlo todas las semanas se estaba convirtiendo en una de esas ideas estupendas sobre el papel que después chocan con el detalle desagradable de que los días siguen teniendo veinticuatro horas. No faltan noticias, desde luego; al contrario, cada semana aparecen suficientes anuncios de Google, OpenAI, Meta y compañía como para montar un periódico exclusivamente dedicado a explicar lo que anunciaron ayer y probablemente modificarán mañana. El problema consiste en encontrar tiempo para seguirlas, comprobarlas, separar lo relevante de la caca y contar algo más que una sucesión de comunicados ligeramente resumidos.

Y últimamente tengo unos cuantos frentes abiertos. Estoy terminando un sistema de gestión interna de un centro de Pilates que comenzó con unas pretensiones bastante razonables y ha terminado creciendo a medida que lo hemos enfrentado con la realidad, que es la manera más eficaz de descubrir que una función aparentemente sencilla necesita otras seis para funcionar como debe. También tengo una web para un centro de hípica, una revisión preliminar SEO para una empresa de paneles solares y baterías y el trabajo habitual que, de manera francamente poco solidaria, ha decidido no detenerse mientras termino lo demás. A todo eso se ha unido durante julio la revisión de varias instalaciones Joomla, porque algunas extensiones han entrado en una racha de seguridad que convierte mirar la lista de vulnerabilidades en una actividad con más suspense del deseable.

Visto así, pasar el Radar a quincenal tampoco es necesariamente una desgracia. La actualidad tecnológica sufre desde hace tiempo una enfermedad bastante pesada: todo tiene que ser revolucionario durante las primeras seis horas. Se anuncia una función, aparece medio Internet explicando que cambia para siempre nuestra forma de buscar, trabajar o comprar, y unos días después descubrimos que solo funciona en Estados Unidos, está disponible para una parte mínima de usuarios o acaba siendo bastante menos trascendental de lo que parecía en la captura de pantalla. Darle dos semanas al asunto permite observar mejor qué piezas forman parte de un movimiento real y cuáles eran simplemente el ruido habitual de una industria que necesita estrenar futuro varias veces al mes.

Y estas dos semanas son un buen ejemplo, porque debajo de una montaña de novedades hay una historia bastante coherente. Google, OpenAI y Meta están avanzando desde lugares distintos hacia el mismo objetivo: ocupar el espacio que existe entre una necesidad del usuario y la acción que termina resolviéndola. El buscador ya no quiere limitarse a recomendar una web, el chatbot no quiere limitarse a contestar una pregunta y WhatsApp tampoco parece conformarse con transportar mensajes. Todos quieren entender qué buscamos, ofrecernos la solución y acompañarnos, si pueden, hasta la compra, la reserva, el encargo o cualquier otra acción que haya al final del recorrido.

Eso tiene consecuencias para el SEO, naturalmente, pero también para la publicidad, la gestión de datos empresariales, el negocio editorial y la seguridad. Así que estrenar el formato quincenal con una edición algo más larga estaba casi decidido por las circunstancias. Lo de que además me venga estupendamente para recuperar unas cuantas horas de vida es una feliz coincidencia.

Vamos a ello.

ChatGPT empieza a parecerse más a un escritorio que a un chatbot

OpenAI lleva tiempo empujando ChatGPT fuera del modelo clásico de pregunta y respuesta, pero durante estas semanas ha dejado bastante más claro cómo imagina el producto. La aplicación de escritorio reorganiza la experiencia alrededor de Chat y Work, mientras Codex conserva su espacio propio para programación. Chat sigue siendo el lugar para conversar, resolver una duda o trabajar rápidamente con una idea; Work está pensado para tareas que requieren más recorrido, como investigar, consultar información en archivos y aplicaciones conectadas o producir entregables completos. La distinción puede parecer un cambio de interfaz, pero en realidad refleja una transformación bastante mayor en la manera de utilizar estos sistemas.

Durante los primeros años de la IA generativa uno preguntaba cómo hacer algo y recibía instrucciones. Ahora empieza a ser normal pedir directamente que se haga. Esa diferencia obliga a resolver problemas que apenas importaban cuando todo terminaba en un párrafo de texto: dónde están los archivos del usuario, qué aplicaciones puede consultar el modelo, qué permisos tiene, cuánto tiempo puede mantener una tarea, qué acciones requieren aprobación y cómo se recupera después el contexto de un trabajo que quizá comenzó hace varios días. OpenAI también ha unificado la búsqueda de conversaciones, proyectos, imágenes y documentos y ha ampliado las instrucciones personalizadas hasta 5.000 caracteres para varios planes, dos cambios mucho menos llamativos que presentar un nuevo modelo pero bastante lógicos cuando el servicio empieza a convertirse en un lugar donde se acumula trabajo real.

Lo de los 5.000 caracteres tiene, además, una utilidad inmediata para quienes llevamos meses intentando convencer a las máquinas de que una redacción profesional no necesita una frase lapidaria cada dos párrafos, quince epígrafes y un emoji de cohete para indicar que algo ha mejorado. Quizá no fuera exactamente el problema que OpenAI pretendía resolver, pero toda tecnología importante acaba encontrando aplicaciones que sus creadores no habían previsto.

El 13 de julio ChatGPT volvió también a WhatsApp para números asociados al Espacio Económico Europeo, y aquí la importancia está más en el canal que en las capacidades del asistente. Una aplicación nueva tiene que conseguir que el usuario la instale, se registre y recuerde abrirla; WhatsApp lleva años instalado y forma parte de la rutina diaria de millones de personas. Para OpenAI es una forma de colocar ChatGPT allí donde ya está el usuario y para Meta supone aceptar dentro de su propia plataforma a un competidor justo cuando está preparando sus Business Agents para hacer algo muy parecido desde el otro lado.

Meta quiere que esos agentes atiendan consultas, recomienden productos, consulten inventario, gestionen oportunidades comerciales y participen en procesos de compra o reserva dentro de WhatsApp e Instagram. También trabaja en mecanismos para descubrir negocios desde WhatsApp, lo que dibuja un recorrido en el que alguien podría buscar una empresa, iniciar una conversación, preguntar por un servicio y completar una gestión sin abrir el navegador. Para cualquier negocio local esto introduce un cambio importante, porque la web puede seguir siendo la principal fuente de información y confianza sin ser necesariamente el lugar donde termine la interacción.

Ahora bien, para que ese escenario funcione hace falta algo mucho menos futurista que un agente inteligente: que la empresa tenga sus datos en orden. Si el horario de la web no coincide con el de Google, el precio correcto vive en un PDF perdido y las condiciones del servicio solamente las conoce la persona que suele responder al teléfono, conectar una IA no elimina el problema. En el mejor de los casos, lo distribuye con una eficacia extraordinaria.

Google quiere seguir siendo la puerta, pero también quedarse con parte del pasillo

Google está avanzando hacia el mismo lugar desde una posición completamente distinta. Search siempre ha funcionado como el gran intermediario de Internet: alguien formula una necesidad, Google interpreta qué quiere y ofrece una lista de destinos donde probablemente pueda resolverla. AI Mode empieza a modificar ese contrato porque la compañía no quiere limitarse a señalar dónde puede hacerse algo; cada vez tiene más herramientas para participar en lo que ocurre después.

El 16 de julio Google comenzó a conectar AI Mode con servicios como Instacart, Canva y YouTube Music en Estados Unidos. Una persona que utiliza Search para organizar una comida puede acabar preparando los productos en Instacart; quien está trabajando en un cartel puede saltar desde la conversación a una plantilla de Canva; y una petición relacionada con música puede terminar en una lista guardada directamente en YouTube Music. La búsqueda sigue siendo el punto de entrada, pero Google intenta que la experiencia no tenga que interrumpirse en el momento en que aparece una aplicación externa.

Para el usuario resulta bastante lógico. Si pregunto dónde puedo cenar esta noche, probablemente me interese más terminar con una mesa reservada que recibir quince páginas sobre restaurantes para iniciar una investigación comparativa. Sin embargo, desde el lado de la empresa el cambio es profundo, porque aparecer en uno de esos recorridos exige información que una máquina pueda comprender y, cada vez más, utilizar. Ya no basta necesariamente con que Google sepa que un restaurante existe: si el sistema pretende ayudar a completar una reserva tendrá que conocer servicios, horarios, disponibilidad y alguna vía técnica para ejecutar la acción.

Esto favorece inicialmente a las grandes plataformas, que llevan años estructurando inventarios, catálogos y APIs, pero el modelo terminará afectando también a los negocios pequeños. Y ahí aparecerá una realidad menos elegante que las demos de producto: multitud de empresas siguen manteniendo información diferente según dónde se mire. La tarifa de la web es de marzo, la ficha de Google tiene el horario correcto, Instagram anuncia una actividad nueva que no aparece en ningún otro lugar y el sistema de reservas utiliza otro nombre para el mismo servicio. Mientras el usuario saltaba manualmente de un canal a otro, ese desorden podía sobrevivir. Cuando varias máquinas intentan utilizar los datos de forma automática, empieza a convertirse en un problema operativo.

El acuerdo anunciado entre Yelp y OpenAI durante la segunda semana va exactamente en esa dirección. ChatGPT podrá utilizar datos de negocios, reseñas, puntuaciones y fotografías de Yelp en determinadas consultas locales. En España la plataforma tiene una relevancia muy distinta a la estadounidense, así que la conclusión no consiste en salir corriendo a trabajar un perfil de Yelp como si acabáramos de descubrir el nuevo Google Business Profile. Lo relevante es que OpenAI está buscando fuentes especializadas que le permitan disponer de información empresarial más fiable y actualizada, y eso significa que la imagen que una IA construya de un negocio procederá cada vez menos de una sola página y más de la combinación de múltiples fuentes.

Para el SEO local, por tanto, el viejo trabajo de mantener coherentes nombres, actividades, ubicaciones, horarios, servicios y reputación vuelve a aparecer con otra forma. No es especialmente novedoso ni tiene un acrónimo deslumbrante, pero probablemente sea bastante más útil que discutir durante semanas si debemos llamar GEO, AEO, LLMO o cualquier otra cosa al hecho de conseguir que una máquina entienda correctamente qué demonios hace una empresa.

El día en que Skynet no hizo falta para que la historia se pusiera interesante

Cuanto más capaces son estos sistemas de actuar, más importante se vuelve una cuestión que durante los primeros tiempos de los chatbots podía parecer secundaria: qué ocurre cuando una IA persigue correctamente un objetivo, pero encuentra una forma de conseguirlo que nadie había previsto. OpenAI dedicó buena parte de estas semanas precisamente a ese problema. El 15 de julio presentó GPT-Red, un modelo automatizado de red teaming diseñado para buscar vulnerabilidades en otros modelos mediante ataques iterativos y utilizado, entre otras cosas, para reforzar GPT-5.6 frente a inyecciones de instrucciones.

Estas inyecciones son especialmente peligrosas cuando un agente trabaja con información externa. Si un sistema lee correos, páginas web, documentos o repositorios, dentro del material que procesa puede aparecer texto pensado para hacerse pasar por una orden. El agente debe distinguir entre aquello que forma parte del contenido y aquello que realmente procede del usuario o del sistema que gobierna la tarea. Mientras el modelo solo genera una respuesta, un fallo puede terminar en una salida absurda; cuando además dispone de acceso a archivos, credenciales, herramientas o sistemas corporativos, las consecuencias empiezan a ser bastante menos anecdóticas.

OpenAI asegura que GPT-Red ha servido para entrenar adversarialmente a GPT-5.6 y mejorar su resistencia frente a este tipo de ataques, pero unos días después publicó junto a Hugging Face un incidente que sirve para entender hasta qué punto la cuestión merece atención. Durante una evaluación interna de capacidades de ciberseguridad, varios modelos de OpenAI —entre ellos GPT-5.6 Sol y un modelo previo a lanzamiento con menos restricciones deliberadamente configuradas para la prueba— acabaron comprometiendo infraestructura de Hugging Face mientras intentaban resolver el benchmark que se les había asignado.

Aquí conviene resistirse a la tentación de invocar a Skynet demasiado pronto, aunque reconozco que el material se presta. Los modelos no desarrollaron consciencia, no decidieron liberarse de sus creadores ni concluyeron que la humanidad era un error que convenía corregir antes del desayuno. Lo interesante es precisamente que no hizo falta nada de eso: perseguían el objetivo que tenían delante y encontraron, a través de vulnerabilidades y accesos que no formaban parte del recorrido esperado, una manera de obtener información que podía ayudarles a resolverlo. El problema no fue una rebelión contra la tarea, sino una interpretación extremadamente eficaz de la tarea dentro de un entorno cuyos límites resultaron menos sólidos de lo previsto.

Esa diferencia es mucho más útil que cualquier comparación cinematográfica porque afecta directamente a cómo deberían construirse los agentes que empiezan a entrar en empresas. No podemos confiar únicamente en que el modelo «entienda» qué caminos parecen razonables para una persona. Hay que limitar técnicamente permisos, datos y acciones, comprobar qué puede ejecutar y exigir aprobación cuando una operación tenga consecuencias importantes. La seguridad no puede descansar en una especie de pacto moral con una red neuronal para que no haga cosas que nosotros consideramos obviamente fuera de lugar si esas cosas le acercan al objetivo que le hemos dado.

La casualidad quiso que el 22 de julio, justo después de explicar el incidente, OpenAI presentara Presence, su producto para desplegar agentes de voz y chat en procesos empresariales. Y, lejos de vender la habitual fantasía de conectar una IA a toda la empresa y marcharse de vacaciones, la propuesta insiste en sistemas de evaluación, supervisión, adaptación y control alrededor del modelo. Puede resultar menos espectacular que prometer una oficina autónoma atendida por robots mientras nosotros bebemos mojitos, pero seguramente dormiríamos mejor. Sobre todo después de comprobar que no hace falta esperar a Skynet para que un agente encuentre una puerta que creíamos cerrada.

Google cuenta clics y los editores empiezan a hacer cuentas

La transformación de la búsqueda está abriendo otro conflicto que probablemente marque los próximos años: qué obtiene quien produce la información cuando un buscador puede utilizarla para responder sin enviar necesariamente al usuario hacia la fuente. Nick Fox, vicepresidente sénior de Google, aseguró el 17 de julio que las funciones de inteligencia artificial de Search ya envían miles de millones de clics a páginas web cada semana y que el buscador, en conjunto, continúa enviando miles de millones de visitas diariamente.

Es perfectamente posible que esas cifras sean ciertas y, al mismo tiempo, que muchos sitios estén perdiendo tráfico. Una plataforma que procesa un volumen gigantesco y creciente de consultas puede continuar enviando cantidades enormes de clics mientras retiene una proporción mayor dentro de su propia interfaz. Lo que no tenemos todavía es el desglose necesario para observar con suficiente precisión cuánto tráfico procede de los distintos formatos generativos, qué tipos de consulta producen clics y cuáles están desapareciendo progresivamente de las estadísticas de los sitios.

El 22 de julio The Wall Street Journal contó que varias grandes compañías editoriales y plataformas están revisando precisamente esa ecuación. Reddit, USA Today, Politico, The Economist, Reuters y People se encuentran entre quienes analizan qué relación quieren mantener con Google en un entorno donde la IA puede utilizar contenido editorial para construir respuestas que reduzcan la necesidad de visitar las páginas que lo produjeron. No todos se plantean lo mismo ni significa que vayan a bloquear mañana el buscador, pero el simple hecho de que empresas de ese tamaño estén calculando qué ganan y qué pierden indica que el intercambio tradicional empieza a tensarse.

Durante muchos años el acuerdo implícito fue razonablemente fácil de entender: yo publico contenido, Google lo rastrea y, a cambio de organizarlo dentro de sus resultados, me envía usuarios. Nunca fue una relación de beneficencia, pero funcionaba porque ambas partes recibían algo reconocible. Las respuestas generativas modifican ese equilibrio cuando el propio buscador puede extraer la información necesaria, combinarla con otras fuentes y resolver la consulta antes del clic.

La discusión suele presentarse como una guerra entre Google y los medios, pero hay un problema de sostenibilidad bastante más amplio. Producir información original cuesta dinero. Cuesta investigar, mantener bases de datos, hacer entrevistas, probar productos, enviar periodistas, contratar especialistas y pagar a la gente que escribe cosas que no existían ya en otros cincuenta artículos. Si el nuevo ecosistema premia cada vez más a quien sintetiza esa información y reduce el retorno de quien la produce, acabaremos teniendo sistemas extraordinariamente eficientes para resumir un material cuya creación interesa económicamente cada vez menos.

La misma quincena ha dejado, además, una curiosa coincidencia con el litigio entre Google y SerpApi. Un tribunal estadounidense desestimó parte de las reclamaciones de Google contra esta compañía, que obtiene información de las páginas de resultados y la ofrece a través de una API, aunque permitió reformular otras partes de la demanda. Jurídicamente el caso no es equivalente al conflicto con los editores, pero desde fuera resulta difícil no apreciar cierta ironía: mientras algunos propietarios de contenido discuten cuánto puede extraer Google de sus páginas, Google discute en los tribunales cuánto pueden extraer otros de las suyas. La circulación libre de información parece tener siempre detalles contractuales que se vuelven mucho más interesantes cuando cambia quién está pagando la infraestructura.

Europa sigue preguntándose cuánto Google es demasiado Google

En este contexto, la Comisión Europea ha tenido dos semanas bastante ocupadas. El 16 de julio adoptó medidas vinculantes bajo el Reglamento de Mercados Digitales para que servicios de inteligencia artificial rivales puedan acceder a determinadas capacidades de Android en condiciones comparables a las de Gemini y para mejorar el acceso de buscadores de terceros a datos de búsqueda que Google puede recopilar a una escala difícil de reproducir para cualquier competidor. La Comisión especificó además que los chatbots con funciones de búsqueda pueden figurar entre los beneficiarios de ese acceso a datos, sujeto a las condiciones de anonimización y seguridad establecidas.

La segunda parte es especialmente interesante porque una de las mayores ventajas de Google no reside únicamente en el algoritmo que utiliza hoy, sino en las décadas de comportamiento acumulado que le permiten observar qué buscan las personas, qué resultado eligen, cuándo reformulan una consulta y qué señales sugieren que encontraron algo útil. Un competidor puede disponer de modelos excelentes, infraestructura y dinero suficiente para llenar unas cuantas ciudades de centros de datos, pero sigue arrancando con una desventaja importante si carece de esa experiencia real a escala mundial. La UE intenta reducir una barrera que no puede resolverse simplemente escribiendo mejor código.

Una semana después, el 23 de julio, la Comisión impuso a Google dos multas que suman 890 millones de euros. La primera, de 460 millones, está relacionada con el trato preferente que, según Bruselas, Google concede dentro de Search a servicios propios en ámbitos como compras, hoteles, transporte y resultados deportivos frente a alternativas de terceros. La segunda, de 430 millones, afecta a las restricciones que Google Play imponía a los desarrolladores para dirigir a los usuarios hacia otros canales de compra.

Para quienes trabajamos con buscadores, la cuestión de la autopreferencia resulta especialmente relevante ahora que la SERP se parece cada vez menos a una lista neutral de destinos externos. Google puede ofrecer mapas, compras, hoteles, información empresarial, resultados enriquecidos, respuestas generadas por IA y cada vez más acciones integradas. Cuando el buscador controla tanto la puerta de entrada como una parte creciente de lo que sucede detrás de ella, la posición de los servicios que compiten con sus propios productos se vuelve inevitablemente una cuestión regulatoria.

Eso no significa que la UE vaya a devolvernos los diez enlaces azules de 2008 ni que de repente surjan cinco buscadores europeos preparados para repartirse el mercado. Significa que la discusión sobre competencia ya no puede limitarse a observar el orden de una lista de resultados. Hay que mirar también qué información se utiliza, qué servicios reciben acceso a las capacidades de la plataforma y cuánto espacio del recorrido comercial puede absorber el intermediario antes de que el usuario necesite visitar a alguien más.

La revolución de la IA descubre que también necesita anuncios

Naturalmente, mientras Google transforma la búsqueda, su modelo económico no ha sufrido un repentino ataque de filantropía. Un estudio de SE Ranking sobre más de 50.000 consultas comerciales en Estados Unidos encontró anuncios de texto en el 29,45 % de las respuestas de AI Mode analizadas. La muestra no representa todas las búsquedas ni permite trasladar ese porcentaje directamente a España, pero sí deja una señal bastante clara de la rapidez con la que Google está incorporando publicidad a la experiencia generativa.

El estudio encontró además una mayor presencia publicitaria conforme aumentaba el coste por clic de las consultas, circunstancia que probablemente no haya conmocionado a ningún accionista de Alphabet. La forma de buscar puede cambiar, pero la intención comercial sigue existiendo y Google lleva demasiado tiempo viviendo de detectarla como para renunciar ahora porque el usuario haya sustituido «fontanero Santander» por una conversación de cuatro líneas sobre la fuga de agua que tiene debajo del fregadero.

Durante la presentación de resultados trimestrales, Google afirmó también que AI Max está abriendo a la monetización miles de millones de búsquedas que antes resultaban difíciles de relacionar con anuncios mediante la lógica tradicional de palabras clave. Las consultas conversacionales son más largas y variadas, pero los sistemas de IA permiten interpretar mejor su intención y encontrar una oportunidad publicitaria donde antes quizá no existía una coincidencia suficientemente clara.

OpenAI tampoco parece haber decidido construir una excepción histórica a la tendencia de Internet a monetizar todo aquello que consigue suficiente audiencia. ChatGPT Ads añadió el 24 de julio nuevas herramientas orientadas a conversiones, medición, exclusiones geográficas, presupuestos y gestión de campañas, acercándose poco a poco a las funciones que un anunciante espera encontrar en una plataforma más madura. Estamos cambiando interfaces, modelos de atribución y formas de interpretar la intención, pero al final alguien acaba preguntando cuánto cuesta aparecer ahí.

Google Ads continúa absorbiendo también piezas del ecosistema local. Local Services Ads empezará a trasladarse a la interfaz principal de Google Ads mediante un tipo específico de Performance Max orientado a campañas de pago por lead, con un despliegue inicial previsto para agosto en Estados Unidos. Los anuncios seguirán limitados a Search y Maps y mantendrán el pago por contacto válido, pero la integración con Google Business Profile vuelve a mostrar hasta qué punto la ficha empresarial se ha convertido en una base de datos que alimenta cada vez más productos de Google.

Performance Max dejó otro detalle menos espectacular pero importante para cualquiera que prepare informes. Google amplió los datos de producto para incorporar más redes, por lo que algunas cuentas pueden observar aumentos de impresiones, clics, costes o conversiones simplemente porque ahora el informe está contando actividad que antes quedaba fuera. No es necesariamente que la campaña haya mejorado; puede haber cambiado la regla con la que se mide. Demand Gen, por su parte, empieza a aceptar fuentes de datos empresariales para generar anuncios dinámicos en sectores como viajes, inmobiliario o automoción sin depender de Merchant Center, otra prueba de que productos, servicios, ubicaciones y precios están convirtiéndose en información estructurada que las plataformas quieren poder procesar automáticamente.

En medio de todo esto, el SEO sigue teniendo problemas sorprendentemente normales

Resulta casi reconfortante que, mientras las grandes tecnológicas preparan agentes capaces de actuar y Bruselas intenta abrir los datos de Google a sus competidores, John Mueller y Martin Splitt sigan teniendo que explicar por qué una página puede haber sido rastreada y no aparecer en el índice. Durante estas semanas volvieron sobre los estados «Descubierta: actualmente sin indexar» y «Rastreada: actualmente sin indexar» de Search Console, que todavía provocan una tendencia comprensible a buscar primero un fallo técnico.

A veces lo habrá, pero una URL rastreada y no indexada también puede significar algo mucho más prosaico: Google ha accedido al contenido y no encuentra suficientes razones para conservarlo. Ahí intervienen la utilidad, la calidad, la duplicación, la estructura interna, la presentación y las señales generales del sitio. Mueller y Splitt mencionaron también el contenido de baja calidad generado mediante inteligencia artificial, no porque exista una prohibición mágica contra utilizar IA, sino porque producir a gran velocidad páginas que cualquiera podría haber escrito y que no añaden nada nuevo sigue siendo producir páginas prescindibles, aunque el coste de redactarlas haya caído casi a cero.

Ese matiz se pierde a menudo en las discusiones sobre si Google «detecta» la IA. La pregunta importante no debería ser si puede saber quién escribió un texto, sino por qué tendría que indexarlo. Solicitar la indexación repetidamente no mejora el contenido, y añadir tres párrafos más generados con el mismo procedimiento tampoco convierte una página indiferenciada en una referencia. En el análisis del core update de mayo de 2026 ya hablaba de esta presión sobre el contenido intercambiable y de la diferencia entre ofrecer información propia y convertirse en una variante más de algo que puede encontrarse en cualquier sitio.

Google actualizó también el 24 de julio sus directrices de datos estructurados para dejar expresamente fuera las reseñas falsas y aquellas obtenidas mediante incentivos que no se hayan declarado. Puede parecer sorprendente que en 2026 sea necesario documentar que una opinión inventada continúa siendo falsa aunque alguien la introduzca en un marcado perfectamente válido, pero aquí estamos. Los datos estructurados sirven para ayudar a una máquina a comprender la realidad, no para transformar cinco estrellas imaginarias en una experiencia auténtica por obra y gracia de JSON-LD.

Y en realidad estas pequeñas novedades apuntan al mismo asunto que recorre toda la quincena. A medida que las plataformas dependen más de datos que puedan entender y reutilizar, aumenta también la importancia de que esos datos sean correctos. Horarios, precios, reseñas, servicios, disponibilidad y atributos empresariales ya no se muestran únicamente a una persona que puede detectar una contradicción y decidir llamar por teléfono; pueden alimentar sistemas automáticos que toman esa información como base para una respuesta o una acción.

Joomla pone la banda sonora de suspense

Y mientras el sector debate sobre la futura relación entre empresas y agentes inteligentes, julio ha seguido recordándonos que todavía somos perfectamente capaces de complicarnos la vida con problemas mucho más clásicos. Ya he explicado con detalle en el artículo sobre los ataques y vulnerabilidades que están afectando a Joomla, JCE, SP Page Builder y Helix lo que está ocurriendo y qué conviene revisar, porque la situación merece bastante más que el habitual consejo de «actualiza y listo».

El 23 de julio la lista oficial de extensiones vulnerables de Joomla incorporó SP Page Builder Pro 6.7.0, que se sumaba a otras extensiones señaladas durante esos días. En el caso de SP Page Builder, además, el aviso llega después de una temporada especialmente movida en materia de seguridad, así que mantener algunas instalaciones antiguas empieza a parecerse a esos juegos de feria donde hay que golpear un topo y en cuanto desaparece aparece otro por un agujero diferente. Resulta entretenido hasta que uno recuerda que las webs están en producción.

Hay una idea que merece insistencia porque sigue generando una falsa sensación de tranquilidad: tener Joomla actualizado no equivale a tener actualizada toda la superficie de ataque de una instalación Joomla. El núcleo es una pieza, pero una web real acumula constructores, frameworks de plantillas, editores, formularios, galerías y extensiones de todo tipo. Algunas llevan muchos años funcionando sin dar problemas y precisamente por eso es fácil olvidarse de ellas hasta el día en que aparece una vulnerabilidad y descubrimos que aquel componente instalado para resolver una necesidad en 2019 sigue viviendo tranquilamente en el servidor.

Tampoco hace falta imaginar un atacante dedicado personalmente a estudiar nuestra pequeña web durante noches enteras. La mayor parte de estos escenarios puede automatizarse: se recorren dominios, se identifican rutas o versiones interesantes y se prueban vulnerabilidades conocidas allí donde existe una oportunidad. Para el bot resulta bastante indiferente que detrás haya una multinacional, un despacho profesional, un gimnasio o una empresa que instala placas solares. La web es un objetivo porque está conectada y responde, no porque alguien haya desarrollado una enemistad personal con el propietario.

Por eso actualizar cuando aparece un parche solo responde a una parte de la pregunta. Corrige el problema conocido hacia adelante, pero no demuestra que nadie lo hubiera aprovechado mientras la versión vulnerable estuvo expuesta. Cuando ha existido explotación activa o el fallo permite acciones graves, conviene revisar también usuarios administrativos, archivos modificados, permisos, tareas programadas, código extraño y otros indicios de persistencia. El botón de actualizar puede reparar la cerradura, pero tiene la desagradable limitación de no viajar hacia atrás en el tiempo para comprobar quién utilizó la llave antes.

De todas las razones que han contribuido a pasar Radar 942 a quincenal, reconozco que esta ronda de Joomla está haciendo un esfuerzo notable por ocupar un puesto alto en la clasificación. Uno empieza el día revisando posicionamiento y acaba comparando archivos PHP para comprobar que la web de un cliente no haya iniciado por su cuenta una nueva línea de negocio relacionada con las criptomonedas. Luego llegan las doce y todavía queda el trabajo previsto para esa mañana.

Lo que cambia no es solamente el buscador

Después de juntar estas dos semanas, reducir todo a que Google está poniendo inteligencia artificial en Search se queda bastante corto. La transformación importante consiste en que varias plataformas están intentando controlar una parte mayor del recorrido que antes quedaba repartido entre distintos sitios. Google parte del buscador y añade respuestas, aplicaciones y acciones; OpenAI parte del asistente y añade archivos, herramientas, trabajo, datos empresariales y agentes; Meta parte de la mensajería y quiere que dentro de esa conversación también descubramos empresas y hagamos gestiones. La dirección es parecida aunque cada uno llegue desde una parcela diferente de Internet.

Eso obliga a replantear algunas ideas del SEO sin necesidad de declarar muerto el SEO por enésima vez. Seguirá siendo importante que una web pueda rastrearse, que tenga una arquitectura clara, que sus páginas respondan a necesidades reales y que la empresa genere autoridad y señales externas. Lo que cambia es que esa información puede utilizarse en más lugares y con más fines que producir un clic. Una máquina puede emplearla para construir una respuesta, comparar varias opciones, recomendar un negocio y, si tiene las herramientas necesarias, iniciar directamente la siguiente acción.

En los diez mandamientos para aparecer en respuestas de inteligencia artificial ya hablaba de la importancia de construir una entidad reconocible, mantener datos coherentes y producir señales suficientes para que otros sistemas puedan verificar quién eres y qué haces. Estas dos semanas no contradicen esa idea; más bien añaden urgencia. Si un dato incorrecto simplemente aparece en una página, quizá provoque una visita inútil. Si ese mismo dato entra en una cadena automatizada, puede terminar convertido en una recomendación, una respuesta comercial o una gestión que nadie quería iniciar.

Mientras tanto, los medios intentan averiguar qué recibirán a cambio de seguir produciendo la información que alimenta estos sistemas, Europa intenta evitar que Google convierta su ventaja histórica en una barrera imposible de superar y las plataformas publicitarias se aseguran de que toda esta modernidad disponga desde el principio de un mecanismo para cobrar. Al final, debajo de los modelos generativos, los agentes y las demostraciones espectaculares aparecen cuestiones bastante antiguas: quién posee los datos, quién controla el canal, quién consigue al cliente y quién captura el dinero que circula entre unos y otros.

Quizá por eso, después de revisar todo lo ocurrido entre el 13 y el 26 de julio, la conclusión más útil para una empresa sigue siendo bastante menos futurista que los anuncios tecnológicos. Conviene tener la web en condiciones, la información empresarial actualizada, una presencia reconocible fuera de ella, sistemas preparados para compartir datos cuando resulte útil y muchísimo cuidado con los permisos que concedemos a cualquier herramienta capaz de actuar en nuestro nombre. Y, si además utilizamos Joomla, mirar las actualizaciones antes de acostarnos puede haberse convertido oficialmente en una actividad recreativa de verano.

Dentro de dos semanas veremos por dónde ha seguido todo esto. Con un poco de suerte, Google habrá dejado algo sin integrar, OpenAI no habrá encontrado otra puerta inesperada y Joomla habrá decidido concedernos unos días de vacaciones. No apostaría demasiado dinero por ninguna de las tres cosas.