Las herramientas de inteligencia artificial están acelerando el descubrimiento de vulnerabilidades en softwares utilizados por gran parte de internet. El cambio puede ayudar a los equipos de defensa a corregir fallos antiguos, pero también reduce el intervalo disponible para aplicar actualizaciones antes de que los delincuentes intenten explotar los mismos problemas.
Un reportaje de Reuters publicado este viernes, 23 de octubre, reunió la evaluación de siete profesionales de ciberseguridad. Coinciden en que el ritmo de descubrimiento y desarrollo de códigos de explotación se ha vuelto más rápido, aunque difieren sobre hasta qué punto esto se traducirá en ataques realmente exitosos.
Más fallos encontrados, en menos tiempo
La empresa de inteligencia de amenazas VulnCheck informó que el número anual de registros de vulnerabilidades creció un 100%. La compañía atribuye este salto a una combinación entre herramientas de IA para localizar fallos y la ampliación de la capacidad de las organizaciones autorizadas a registrar nuevos CVE.
El servicio de VulnCheck para la recepción de hallazgos registró un aumento de diez veces en los envíos en un año. Según la empresa, el 51% de los investigadores que enviaron informes declararon haber utilizado IA para encontrar la vulnerabilidad.
Estas cifras no significan que la IA sea la única causa del crecimiento. Más investigadores, más programas de divulgación responsable y una mayor capacidad de registro también elevan la cantidad de fallos documentados. El dato central es que tareas antes limitadas a especialistas ahora pueden automatizarse y ejecutarse continuamente.
El caso de PHP
La alerta ganó urgencia tras la divulgação de fallos críticos en PHP, un lenguaje presente en muchos sitios web y aplicaciones. OpenAI informó que un investigador de su iniciativa Patch the Planet encontró una de las vulnerabilidades utilizando un modelo de IA, mientras que la empresa Wiz identificó de forma independiente ambos problemas.
Los mantenedores de PHP lideraron la preparación de las correcciones, con el apoyo de investigadores y proveedores de infraestructura. Se orientó a las organizaciones a identificar versiones vulnerables e instalar las actualizaciones aplicables.
Según Reuters, algunos operadores de sitios web gubernamentales en Europa y otras regiones prefirieron retirar servicios de internet mientras no podían actualizar sus sistemas. La medida buscó reducir la exposición durante el período transcurrido entre la divulgación pública y la aplicación del parche.
La ventana de los defensores se ha reducido
En el modelo tradicional, localizar un fallo complejo y transformar el hallazgo en un método funcional de ataque podía requerir semanas o meses. Los sistemas de IA logran analizar grandes bases de código sin interrupción y ayudar en la creación de pruebas en horas, comprimiendo ese cronograma.
VulnCheck organiza el riesgo en cinco frentes: descubrimiento de vulnerabilidades, desarrollo de explotación, coordinación automatizada de ataques, expansión de la superficie expuesta por nuevas herramientas y riesgos propios de sistemas avanzados.
El problema no está solo en encontrar más errores. La misma automatización que ayuda a los equipos de seguridad a revisar código puede hacer que las técnicas ofensivas sean accesibles para personas con menos conocimientos especializados. Esto exige correcciones más rápidas, inventarios actualizados de software y una coordinación anticipada entre mantenedores, proveedores de nube u organismos públicos.
Más alertas no significan necesariamente más intrusiones
Los expertos consultados por Reuters hicieron una salvedad importante: una vulnerabilidad divulgada no equivale a un ataque exitoso. Algunos fallos descubiertos por la IA aparecen en condiciones raras o son difíciles de transformar en un método confiable de intrusión.
En el caso reciente de PHP, empresas de monitoreo observaron intentos agresivos de explotación. Al mismo tiempo, investigadores consultados por Reuters informaron que parte de los intentos iniciales no logró producir una herramienta funcional. Había informes aún no concluyentes sobre posibles compromisos de seguridad.
Este contraste evita dos conclusiones precipitadas. La primera sería minimizar el riesgo porque no todos los intentos funcionan. La segunda sería afirmar que cada nuevo fallo producirá una ola de ataques. El efecto más probable a corto plazo es el aumento de emergencias de corrección e interrupciones preventivas.
Qué deben hacer las organizaciones
La respuesta recomendada sigue basándose en prácticas conocidas: mantener un inventario de versiones, dar seguimiento a las alertas de los proyectos utilizados, aplicar correcciones con prioridad y reducir la exposición de servicios innecesarios. Copias de seguridad probadas, monitoreo de tráfico y planes de respuesta también cobran mayor importancia cuando el tiempo para reaccionar disminuye.
La IA puede favorecer a ambos lados de la contienda. Para los defensores, encuentra problemas antes invisibles y ayuda a preparar pruebas y correcciones. Para los atacantes, puede acelerar la búsqueda de objetivos y la adaptación de técnicas. El resultado dependerá de quién logre actuar primero y de qué tan bien se coordine la divulgación de los fallos.
Fuentes
- Reuters — entrevistas con profesionales de ciberseguridad
- VulnCheck — análisis sobre descubrimiento y explotación de vulnerabilidades con IA
- OpenAI — coordinación de la respuesta a los fallos de PHP
Imagen de archivo: racks de servidores en un centro de datos. Crédito: Iqdata.center/Wikimedia Commons, licencia CC BY-SA 4.0.
