La IA entierra la seguridad por ocultación: encuentra los fallos que nadie miraba
Los agentes de IA están destapando vulnerabilidades de décadas en productos y código abierto, disparando los parches y el trabajo atrasado de los maintainers.
La idea de que un sistema está a salvo mientras nadie mire dentro de él se ha agotado. Los agentes de IA están peinando productos comerciales y código abierto en busca de bugs, algunos con décadas a la espalda, y el resultado son cifras récord de divulgaciones y parches más una cola de trabajo que muchos proyectos no pueden digerir. La seguridad por ocultación, ese viejo argumento de que la oscuridad protege, ya no se sostiene.
Fallos que llevaban años ahí
Brett Leatherman, director adjunto de la Cyber Division del FBI, lo ilustra con un ejemplo: hay bibliotecas de código abierto presentes en el 80% de los servidores web que llevaban una década a la vista y estresadas por la comunidad, que las daba por seguras. «Los últimos modelos fueron capaces de romperlas y decir: sí, aquí hay vulnerabilidades importantes», afirmó.
El día después del Patch Tuesday más grande de Microsoft, con 974 CVE, Dustin Childs, cazador jefe de bugs del Zero Day Initiative de Trend Micro, decía que esto no admite discusión. Entre los componentes parcheados por Adobe y Microsoft aparecen cosas que nadie miraba: el cliente Telnet, el protocolo RNDIS de Windows, el portmapper de NFS heredado de los Unix de los años 80 o Link Layer Topology Discovery, de la era Vista.
El hueco entre el parche upstream y la versión estable
Del otro lado también hay IA. Los atacantes la emplean para hacer ingeniería inversa de los arreglos y tener un exploit en horas. En un caso reciente, al menos cuatro grupos de espionaje, la mayoría sospechosos de vínculos con China, cerraron la ventana del patch-gap en el Chromium de código abierto: montaron un kit de explotación justo después de que los maintainers publicaran el parche upstream, antes de que la versión estable llegara a los usuarios. Es el patrón que describe la investigación sobre n-days.
El frente que más preocupa son los sistemas de control industrial. John Hultquist, analista jefe del Google Threat Intelligence Group, lo resume así: «Han estado protegidos en buena medida porque la experiencia estaba en la cabeza de un puñado de personas, y eso no va a durar para siempre». Semanas después, cinco agencias estadounidenses avisaron de que unos atacantes habían usado scripts de explotación generados por IA contra PLC de la serie S7 de Siemens expuestos a internet en instalaciones de agua, fabricación y energía. «No es un riesgo teórico: es una amenaza activa».
Encontrarlos nunca fue el problema
Katie Moussouris, fundadora de Luta Security, sostiene que la seguridad por ocultación jamás fue una estrategia ganadora y que la IA solo lo hace más evidente: «está iluminando el extremo equivocado de la seguridad, y no ha alcanzado al lado defensivo». No hay parcheo ni remediación automática. Dos estudios recientes lo respaldan: los parches generados por IA fallan más de la mitad de las veces, y el equipo de investigación de 1Password analizó seis CVE recientes para llegar a la misma conclusión sobre la revisión humana (análisis de 1Password).
Para quien administra sistemas, el efecto inmediato es más trabajo: más CVE que triar, más ventanas de parcheo y menos margen para confiar en que nadie mire. Que la vieja idea se caiga no es la mala noticia; la mala noticia es que la parte defensiva todavía no tiene con qué igualar el ritmo.
