Durante años estuve convencido de que FreeHand era la mejor herramienta de dibujo vectorial para el diseño gráfico editorial, y la verdad es que hasta el día de hoy sigo pensando lo mismo. Era entretenido ver el logo de Macromedia cuando se abría la aplicación, fue la primera herramienta que aprendí a usar en la universidad para trabajar con vectores, y en esa época se jactaba de ser el estándar de la industria, así que trabajar con ella daba cierto estatus de profesional. Recuerdo muy bien que mi primer trabajo comercial, el diseño de una revista anual para un colegio en La Serena, lo hicimos con un colega en FreeHand, componiendo cada página ahí para después generar los archivos digitales finales que terminaron convertidos en placas de impresión. Hojear esa primera revista recién salida de imprenta fue una sensación que no voy a olvidar nunca.
En abril de 2005 Adobe anunció que compraría Macromedia por unos 3,4 mil millones de dólares, y cualquiera que trabajara con FreeHand sabía en el fondo lo que eso significaba, aunque la prensa especializada dijera otra cosa. En mayo de 2006 Adobe prometió que seguiría dando soporte al programa, y el 15 de mayo de 2007 anunció el fin de su desarrollo. Un año después Terry Hemphill, gerente de producto de Illustrator, lo dijo sin pelos en la lengua: “FreeHand no va a resurgir, es hora de seguir adelante”.
Y tuvimos que seguir adelante, porque en Illustrator estaban los archivos, los clientes y las ofertas de trabajo, y no porque fuera mejor. Un grupo de usuarios incluso demandó a Adobe por prácticas antimonopólicas en 2011, y el caso terminó en un acuerdo con descuentos y la promesa de incorporar las mejores ideas de FreeHand en Illustrator. Para los usuarios fue horrible, porque tuvimos que acostumbrarnos a instalar más de 1GB para hacer un par de cosas más de las que hacía FreeHand, que ocupaba una fracción de ese peso.
Esta anécdota me volvió a la mente estas últimas semanas, por una razón que no tiene nada que ver con mi trabajo en diseño.
Está circulando un término nuevo en los círculos de programación y vibecoding, REA, que significa ingeniería inversa asistida por IA. Partió en el mundo de los videojuegos, donde aficionados empezaron a usar agentes y herramientas como Ghidra para recompilar el código base de consolas populares función por función, y así crear clones que interpretaban exactamente los mismos bytes que el cartucho original, lo que simplificó la emulación y además permitió fusionar juegos que no tenían nada en común.
Hace dos semanas la cosa se puso seria. Entre el 30 de septiembre y el 1 de octubre, un proyecto llamado ArtCraft publicó siete aplicaciones de código abierto escritas en Rust, desarrolladas en su mayoría por agentes de IA que ejecutaban Claude Opus 5.5, y cada una es una reimaginación “de sala limpia” de un producto de Adobe: PhotoCraft para Photoshop, FilmCraft para Premiere Pro, LightCraft para Lightroom, PrintCraft para Acrobat, EffectCraft para After Effects, DesignCraft para InDesign y VectorCraft para Illustrator. El mismo Illustrator que acabó con FreeHand tuvo a su propio verdugo en más o menos una semana, las ironías de la vida.
Eso sí, no son productos 100% funcionales ni sin fallas, y el proyecto es honesto al respecto: PhotoCraft se autodenomina una versión alfa inicial, coincide píxel por píxel con el resultado de Photoshop en 115 de 170 archivos de prueba y estiman que podría cubrir entre el 25 y el 35 % de lo que un profesional necesita en su trabajo diario. En realidad ni siquiera es ingeniería inversa en sentido estricto, porque el equipo reconstruyó cada programa a partir de su comportamiento actual, sin descompilar ni usar el código de Adobe. Igual el mensaje quedó claro, porque si siete de las herramientas creativas más complejas del mercado pueden esbozarse en una semana, cabe preguntarse ¿qué vendrá después?.
Adobe está lejos de estar muerto y FreeHand es la razón. Su protección nunca estuvo en que nadie pudiera leer el código de Illustrator, sino en la enorme cultura de diseño que se construyó alrededor, con archivos, hábitos, clientes e imprentas, y todo el mercado usa o comparte archivos creados por Adobe. Se puede reconstruir o copiar un programa, pero no se cambian de un día para otro veinte años de una industria que guarda todo en formato .ai. Inkscape, por ejemplo, existe hace años y es gratuito, pero abrir archivos de Illustrator, trabajar vectores con eficiencia y exportar a una veintena de formatos vectoriales sin guardar como ai sigue quedando fuera de su alcance.
La pregunta que me da vueltas es quién será el siguiente, y mi apuesta es que donde haya dinero, o sea los bancos, aunque no de la forma que sugieren los titulares. Nadie necesita una copia de una app bancaria, porque sin todo lo que viene de la API no tiene ningún valor, y lo que alguien quiere de ella es leerla y buscar sus vulnerabilidades.
En este tipo de apps de uso diario, que el código fuera difícil de leer era, subjetivamente, parte de la protección que el banco te vende dentro de sus servicios financieros.
Una app de banca móvil es un archivo que cualquiera puede descargar, un APK de Android es en términos simples un zip con código compilado adentro, y herramientas como JADX lo convierten de nuevo en código legible desde hace años, así que lo que cambió fue el esfuerzo, porque ahora un agente puede encargarse de la parte latera de seguir las llamadas, leer el código descompilado y señalar dónde algo podría estar mal.
En su informe de 2025, la empresa de seguridad Ostorlab analizó más de 500 de las aplicaciones bancarias más populares y encontró secretos codificados, o sea claves de API, tokens o credenciales escritas directamente en el código, en más de la mitad de ellas (https://www.linkedin.com/posts/mobile-banking-app-security-research-2025-ugcPost-7369056751557586950-5wX8/). Es como poner tres cerraduras en la puerta principal y dejar la llave en un macetero, confiando en que nadie se va a tomar la molestia de buscarla, y REA plantea justamente revisar el macetero, levantar el tapete y preguntarle a los vecinos por la llave, pero en una tarde.
Hace unos años lideré el desarrollo de una aplicación transaccional en el sector de las AFP, así que el tema no me es ajeno, y puedo imaginar que sumar este posible riesgo al bochorno reputacional que están viviendo hoy las AFP en Chile por el colapso del fondo E sería la tormenta perfecta. Por muy alarmista que suene todo esto de la REA, un atacante puede descargar el APK de un banco o una AFP y hacer que un agente lo lea esta tarde, y el banco puede hacer lo mismo durante la mañana. Con autorización, un alcance definido y como parte de una rutina de seguridad real, la misma técnica que tiene a la gente preguntándose si Adobe está muerto, puede reforzar o corregir una aplicación financiera antes de que alguien más lo haga.
Por lo mismo conviene ponerle paños fríos al FOMO IA y mirarlo con evidencia. Un estudio publicado en septiembre por Chang Liu, Edward Raff y Kristopher Micinski advierte que los descompiladores basados en modelos de lenguaje (LLMs), como los que se usan con Ghidra, alteran silenciosamente el comportamiento del software y ocultan vulnerabilidades críticas aunque el código generado parezca limpio.
Además la investigación muestra que medir el éxito del código recompilado por IA solo por su compilabilidad es engañoso, porque hasta un 10% de las fallas reales de seguridad pueden desaparecer del análisis sin dejar rastro, y en pocas palabras el agente puede entregarte una versión más limpia de la aplicación en la que estás buscando una falla para acceder de forma fraudulenta.
En Tinet hablamos harto de entender qué hay dentro de sistemas que nadie ha documentado por completo y de cómo seguritizarlos en esta nueva era de la creación de software.
Adobe no necesitó leer el código de FreeHand para sacarlo de carrera, le bastó con presionarlo, reducir su cuota de mercado y finalmente comprarlo. Los bancos no pueden darse ese lujo, porque sus aplicaciones están en millones de teléfonos, a disposición de cualquiera que quiera descargarlas y jugar con ellas.
Ya no importa mucho si alguien lo va a intentar sino quién las leerá primero, y por la seguridad de mis ahorros prefiero que sean los bancos.
