Garantizar un ecosistema sin igual

Durante más de dos décadas, Roblox se ha marcado como misión conectar a mil millones de personas con optimismo y civismo. Esa misión se basa en la confianza: la confianza en que la plataforma es segura para los más de 120 millones de usuarios activos diarios¹ que crean, juegan y construyen comunidades. Mantener esa confianza requiere un programa de seguridad diseñado para afrontar un reto que no tiene precedentes reales en el sector.

La mayoría de los equipos de seguridad de las empresas protegen el código que escriben sus propios ingenieros, los sistemas que gestionan sus propios equipos y los datos que genera su propio negocio. En Roblox, eso es solo una parte del panorama. Nuestra plataforma se nutre de millones de creadores externos, una economía virtual en tiempo real y una infraestructura que abarca centros de datos propios, entornos de nube efímeros y servicios internos. Todo ello funciona simultáneamente y requiere una protección constante. Los retos de seguridad que esto plantea son realmente diferentes a cualquier otro en el ámbito tecnológico. A continuación, comparto cómo abordamos esos retos, qué hemos creado para hacerles frente y hacia dónde nos dirigimos.

Un ecosistema sin igual

Además de proteger el código creado por nuestros propios equipos, el modelo de negocio de Roblox implica ejecutar código no fiable escrito por millones de creadores externos. Cada día, Roblox ejecuta scripts de creadores que pueden ser nuevos, inexpertos y, en ocasiones, con la intención de eludir nuestras protecciones. Por eso, nuestro modelo de seguridad debe partir de la base de que cualquier fragmento de código podría ser malicioso o susceptible de ser explotado. El entorno de pruebas (sandbox), el aislamiento y la supervisión en tiempo de ejecución no son aquí meros extras; son los cimientos sobre los que se sustenta toda la plataforma.

La infraestructura sobre la que se asienta la plataforma es igualmente compleja. Proteger Roblox implica mantener una visibilidad constante de las amenazas y la aplicación coherente de las políticas en entornos que no podrían ser más diferentes: desde centros de datos propios con perímetros fijos hasta instancias efímeras en la nube que se crean y desaparecen en cuestión de segundos. Esto requiere una automatización y una gobernanza del dominio capaces de operar a ambas velocidades simultáneamente. Y, a diferencia de la seguridad empresarial tradicional, donde los activos principales son los datos y los sistemas internos, la superficie de ataque de Roblox incluye una economía en funcionamiento: millones de artículos virtuales que se venden a cambio de una moneda con valor monetario real, propiedad intelectual generada por los usuarios de la que dependen los creadores para su sustento, y una infraestructura de chat que da servicio a decenas de millones de personas. 

Si se produce una brecha de seguridad, no se trata solo de un incidente relacionado con los datos, sino de un perjuicio directo para personas reales y para ingresos reales. Esa realidad determina cada decisión que tomamos. Nuestro objetivo principal es convertir a Roblox en la plataforma de juegos más segura a gran escala: una plataforma en la que los creadores y los jugadores puedan desenvolverse sin tener que preocuparse en ningún momento por la ciberseguridad. Medimos el progreso en función de los incidentes evitados, así como de la rapidez con la que los equipos pueden lanzar productos de forma segura, del grado de adopción de nuestras plataformas internas y de la investigación que aportamos a la comunidad en general.

La seguridad como facilitadora, no como guardiana

El modelo de seguridad empresarial basado en el cumplimiento normativo ha llegado a su fin. Los equipos de seguridad que se limitan a imponer requisitos y dejan que sean los socios quienes se encarguen de su implementación están abocados al fracaso. No porque a los ingenieros no les importe la seguridad, sino porque resulta ineficaz que miles de ingenieros implementen manualmente controles de seguridad a medida. Si la propia plataforma no está protegida de forma predeterminada, la seguridad no puede escalar.

Roblox invierte el modelo basado en el cumplimiento normativo creando productos internos que hacen que la vía segura sea la más fácil, sin eximir de responsabilidad a los desarrolladores. En la práctica, eso significa que las claves secretas se renuevan automáticamente, por lo que ningún ingeniero tiene que acordarse de actualizar una credencial. Nuestra estrella polar es trabajar para lograr una comunicación de servicio a servicio autenticada de forma predeterminada, sin que los ingenieros tengan que configurarla ellos mismos. Los cuadros de mando de seguridad ofrecen a cada equipo una visión en tiempo real de su estado de seguridad. La opción segura ya está disponible: el cuadro de mando solo muestra si se está utilizando y en qué aspectos se podría mejorar.

Adopción reflexiva de la IA en un panorama en rápida evolución

Mientras el sector debate cómo gestionar las herramientas de IA —algunas empresas las aprueban sin controles, otras las bloquean directamente—, Roblox está haciendo algo diferente. Abordamos la adopción de la IA como un problema de ingeniería y seguridad que hay que resolver, y compartimos lo que aprendemos con la comunidad en general. En Roblox, una adopción reflexiva significa que probamos, creamos controles y, a continuación, confiamos y supervisamos. 

Antes de dar luz verde a las herramientas de código de IA a nivel interno, por ejemplo, creamos un entorno aislado. Ese tipo de validación rigurosa rige la forma en que se aprueba cada nueva herramienta de IA para su uso interno. El objetivo no es ralentizar el proceso, sino asegurarnos de que, a medida que avanzamos rápidamente, no generemos riesgos que sean invisibles hasta que sea demasiado tarde. De esta forma, estamos adquiriendo experiencia práctica precisamente en las habilidades que el sector se apresura ahora a contratar: la demanda de competencias en ciberseguridad relacionadas con la IA se ha multiplicado por 2,5 desde 2020².

Nuestro compromiso con la comunidad

La seguridad de la información es, en esencia, un problema de defensa colectiva. Ninguna empresa tiene murallas lo suficientemente altas como para repeler por sí sola a un adversario motivado, y el sector solo se fortalece cuando los profesionales comparten lo que han aprendido. El panorama de amenazas seguirá evolucionando —la IA está acelerando las amenazas y la actividad de los actores maliciosos— al igual que el enfoque de Roblox para hacerles frente. Lo que no cambiará es nuestro compromiso con los creadores que nos confían su trabajo y su sustento, con los jugadores que acuden cada día esperando una experiencia segura y con la comunidad de seguridad en general de la que nos enorgullece formar parte.

La seguridad a esta escala, con tanta complejidad, no tiene una meta final. Pero nuestra filosofía es coherente: crear sistemas en los que la seguridad sea la norma, no la excepción. Invertir en la investigación y las herramientas que sigan el ritmo de un panorama de amenazas en constante evolución. Y compartir lo que aprendemos para que todo el sector se fortalezca.