La IA ha acelerado la búsqueda de vulnerabilidades
La IA ha acelerado la búsqueda de vulnerabilidades: los defensores tienen menos tiempo
Tras el lanzamiento del modelo Mythos de Anthropic, se han intensificado notablemente los debates sobre los riesgos de la IA para la ciberseguridad. Sin embargo, los objetivos de los ataques no han cambiado en lo esencial: lo que ha cambiado es la escala y la velocidad. La IA encuentra más vulnerabilidades, aumenta la carga de trabajo de los especialistas y, al mismo tiempo, reduce el nivel técnico necesario para explotarlas. Como resultado, las organizaciones disponen de mucho menos tiempo para reaccionar.
Esto cambia la forma de gestionar las vulnerabilidades y toda la superficie de ataque, es decir, todos los sistemas y servicios de una empresa accesibles desde el exterior. El primer informe del proyecto Project Glasswing mostró las capacidades de Mythos, que han suscitado no pocas predicciones alarmantes. Según los datos publicados, en aproximadamente un mes Mythos, junto con unas 50 organizaciones colaboradoras, detectó más de 10.000 vulnerabilidades de gravedad alta y crítica. En más de mil proyectos de código abierto se identificaron, según las estimaciones, 6.202 vulnerabilidades de esos niveles.
Mythos es un hito importante, pero la brecha entre atacantes y defensores ya venía creciendo antes de su aparición. En 2025 se publicaron 48.185 CVE, identificadores de vulnerabilidades conocidas. Es un 20,6 % más que el año anterior. Es probable que el desarrollo de la IA siga impulsando el aumento del número de hallazgos en los próximos años.
Para los especialistas, las consecuencias son evidentes en la práctica: se esperan más ataques sofisticados y novedosos, así como más trabajo para instalar parches y responder a las vulnerabilidades detectadas por la IA. Un análisis de Cloud Security Alliance advierte de que aumentarán el número y la frecuencia de estos ataques, incluidas las acciones autónomas de sistemas maliciosos.
Limitar simplemente el acceso a Mythos y a otros modelos potentes no es una estrategia fiable. Las investigaciones y pruebas de sus autores muestran que los grandes modelos de lenguaje de acceso público también pueden encontrar y explotar vulnerabilidades hasta entonces desconocidas, si los utilizan especialistas en seguridad experimentados.
Un investigador creó un sistema automatizado de búsqueda de vulnerabilidades que funcionaba sin intervención humana. En su primera ejecución, detectó una inyección SQL remota de varias etapas: una forma de interferir en el funcionamiento de un sitio web mediante una consulta a la base de datos especialmente diseñada. La vulnerabilidad afectaba a 300.000 plugins de WordPress; todo el proceso, desde la detección hasta la explotación, estaba automatizado. Un investigador independiente encontró el mismo problema. Se le asignó el identificador CVE-2026-3985 y se divulgó públicamente.
El peligro no se limita a la búsqueda de puntos débiles. La IA también puede automatizar una extorsión de principio a fin. En el caso descrito, un operador bajo el nombre de JadePuffer utilizó un servidor vulnerable de Langflow: obtuvo credenciales, se desplazó por la red y después cifró 1.300 registros de una base de datos. Fue un ataque agéntico de extremo a extremo que empleó un agente de software, un sistema capaz de ejecutar de forma secuencial las tareas asignadas sin supervisión humana constante.
Así es la nueva realidad: las viejas ideas sobre los plazos para gestionar vulnerabilidades ya no sirven. El intervalo entre la detección del problema, la asignación de un número CVE y las medidas de protección se ha reducido drásticamente.
No basta con reaccionar con rapidez. Las empresas deben reducir de antemano su superficie de ataque: si un activo no debería ser accesible desde internet, es mejor cerrarlo antes de que alguien empiece a buscar sus puntos débiles. La defensa se libra en dos frentes a la vez: acortar el tiempo entre la detección y la corrección de una vulnerabilidad, y reducir el número de objetivos accesibles para los atacantes.
Las organizaciones suelen centrarse en corregir los problemas que ya se han detectado, pero también deberían preguntarse: ¿es realmente necesario exponer este servicio al mundo exterior? Reducir la superficie de ataque puede ser complicado, pero cualquier recurso accesible desde internet sin necesidad entraña ahora un riesgo mayor.
Los servicios expuestos —por ejemplo, una base de datos MySQL o la documentación interna de una API privada— son, en la práctica, una invitación a los atacantes. Puede que ni siquiera haga falta una vulnerabilidad con número CVE para atacarlos. Los ataques automatizados pueden aprovechar un simple error de configuración, y hacerlo deprisa.
Si la explotación lleva horas, también hay que acortar el tiempo que transcurre desde la detección hasta la resolución del problema. La búsqueda y corrección de vulnerabilidades requieren contexto y continuidad. Las pruebas de penetración, o pentests, ofrecen una evaluación exhaustiva de un sistema concreto, pero solo muestran su estado en un momento determinado. Realizar estas pruebas con frecuencia suele ser caro. Los escáneres automáticos permiten revisar los sistemas periódicamente, pero no siempre son capaces de entender hasta qué punto un problema detectado es importante para una empresa concreta.
La IA puede ayudar en este punto. Los pentests tradicionales no desaparecerán de la noche a la mañana, pero los modelos ya empiezan a complementar el trabajo de los especialistas en seguridad y los ingenieros. Pueden avisar inmediatamente de nuevos riesgos, realizar una revisión después de cada gran lanzamiento de producto por una fracción del coste de un pentest manual, investigar los hallazgos y confirmarlos con los mismos métodos que utilizan los expertos. La integración con las herramientas de trabajo ayuda a dirigir el problema más rápidamente a las personas adecuadas.
Para los equipos desbordados, la IA puede ser una forma de seguir el ritmo de las amenazas: comprobar si un hallazgo es real, reducir los falsos positivos y proporcionar a los especialistas el contexto necesario. Pero la práctica aún está tomando forma. Todavía hay que actualizar los enfoques de los pentests que utilizan los auditores, las aseguradoras y los organismos responsables de velar por el cumplimiento de la normativa. Sin embargo, ya está claro que las pruebas continuas deben convertirse en la norma.
Mythos y otros modelos de lenguaje castigan a quienes siguen trabajando con el calendario de ayer. Los fundamentos de la defensa no han cambiado: reducir la exposición de los sistemas, comprobar los riesgos reales y evitar que los especialistas pierdan el tiempo con ruido innecesario. Lo que sí ha cambiado es lo principal: queda mucho menos tiempo para actuar correctamente.
El material original se preparó para el canal TechRadar Pro Perspectives. Las opiniones expresadas pertenecen a su autor y no coinciden necesariamente con la posición de TechRadar Pro o Future plc.
PEREC.RU
Durante mucho tiempo, la ciberseguridad vivió a un ritmo cómodo: primero alguien encontraba una vulnerabilidad, después aparecía una descripción y, por último, la organización empezaba a reunirse para debatir prioridades. Ahora, ese ritual se parece a leer las instrucciones de emergencia cuando las llamas ya están delante. La IA no inventó la lentitud humana: simplemente la ha vuelto visible y cara.
Resulta especialmente reveladora la fe en que basta con impedir que el atacante acceda a un modelo concreto. Es como vigilar la puerta mientras se dejan las ventanas abiertas: las herramientas de acceso general ya saben hacer muchas cosas, y un usuario experimentado puede convertir sugerencias en un ataque operativo. Las prohibiciones son cómodas porque basta con anunciarlas; bastante menos cómodo es cerrar servicios antiguos, revisar configuraciones y comprobar periódicamente la propia infraestructura.
Las empresas pueden caer en la tentación de comprar otro escáner automático y dar el asunto por resuelto. Pero una máquina que entrega una lista de alarmas sin contexto empresarial puede convertirse fácilmente en una cara fábrica de correos que nadie tiene tiempo de leer. La IA es útil no porque sustituya al especialista con un botón espectacular, sino cuando verifica el hallazgo, explica su importancia y asigna la tarea a una persona capaz de solucionar el problema.
Hay además una idea menos tecnológica, pero incómoda: parte del riesgo no la crean hackers geniales, sino servicios expuestos de más y configuraciones olvidadas. Una base de datos innecesariamente abierta a internet no es una compleja partida de ajedrez, sino unas llaves dejadas bajo el felpudo. Es más fácil vender protección contra ese descuido que convencer a la dirección de que no exponga el servicio al exterior.
A partir de ahora chocarán dos velocidades. En un lado, la búsqueda, comprobación y explotación automatizadas; en el otro, los presupuestos, las aprobaciones y un equipo que tiene que distinguir una amenaza real de otra falsa alarma. Los proveedores de soluciones, naturalmente, ofrecerán un acelerador, preferiblemente por suscripción. Pero ninguna licencia sustituye la decisión de cerrar los accesos innecesarios y hacerse cargo de las correcciones.
Es probable que las pruebas continuas se conviertan en una práctica habitual, y que las normas para auditores y aseguradoras alcancen a la tecnología con la gracia de siempre: la de un armario con ruedas de una oficina pública. Saldrán ganando las organizaciones que utilicen la IA para potenciar el trabajo de las personas, no como coartada para no hacer nada. A las demás les tocará el conocido informe posterior al incidente: todos los sistemas estaban configurados conforme a los procedimientos; lo que pasa es que los procedimientos quedaron obsoletos antes de que se aprobaran.
