La validación de exposiciones se vuelve crítica ante el aumento de vulnerabilidades impulsado por IA

En los últimos meses la velocidad y el volumen de descubrimiento de vulnerabilidades ha superado la capacidad de los defensores para gestionarlas. En la primera mitad de 2026 se registraron 35.853 CVE, un incremento del 49 % respecto a 2025. Solo 495 de esos CVE fueron catalogados como explotados en la naturaleza y 116 ya estaban bajo ataque el mismo día de su publicación. Mientras tanto, Anthropic reveló que sus modelos de clase Mythos identificaron 26.153 candidatos a vulnerabilidades en código abierto, de los cuales 421 fueron corregidos por los mantenedores.

Este desbalance obliga a abandonar el modelo tradicional que trata cualquier vulnerabilidad con puntuación alta en CVSS como una emergencia. La gravedad estándar no refleja el contexto de la organización: una misma CVE puede afectar cientos de activos, pero el impacto varía según la exposición, los controles de prevención y la criticidad del negocio. Los equipos necesitan evidencia propia para determinar si una exposición es realmente explotable, en qué activos y con qué consecuencias.

Validar la explotabilidad implica más que ejecutar un escáner de vulnerabilidades. Las pruebas de penetración automatizadas pueden ejecutar exploits reales, encadenar vulnerabilidades, credenciales y configuraciones erróneas, y demostrar el camino de ataque posible. Sin embargo, la cobertura sigue limitada: según un estudio de Omdia, aunque el 95 % de las organizaciones priorizan el pentesting, solo el 32 % de su superficie de ataque se prueba anualmente. Además, muchos CVE recién divulgados aún no disponen de exploit funcional, y ciertos entornos críticos o aislados no pueden someterse a pruebas en vivo.

Para cerrar esa brecha, Picus Security propone un enfoque integrado de tres pilares: validación de explotabilidad, validación de controles de seguridad y pentesting agente. La primera determina si la exposición puede ser explotada en el entorno concreto, incluso sin exploit disponible. La segunda verifica que los mecanismos de prevención y detección bloqueen o alerten adecuadamente. El pentesting agente ejecuta exploits seguros y encadena vectores para medir la profundidad del compromiso.

Cuando estas capacidades se combinan en una única plataforma, el flujo de trabajo se vuelve iterativo: un hallazgo dispara la validación adecuada, la evidencia obtenida ajusta la prioridad de remediación y, una vez aplicado el parche, el proceso se repite para confirmar la mitigación. Gartner ya señala esta tendencia hacia “caminos de ataque validados, respuestas basadas en decisiones y reducción de exposiciones integradas” como esencial para los equipos de seguridad modernos.

El Validation Summit ’26 de Picus Security, programado para el 14‑15 de octubre, reunirá a expertos como Mikko Hyppönen y líderes de empresas como Chanel, Atlassian y la NFL, para compartir casos reales de cómo están implementando este modelo. La agenda incluye una demostración en vivo de una vulnerabilidad recién divulgada que avanza desde la falta de parche y exploit hasta la validación completa y re‑validación post‑remediación.

En conclusión, el desafío ya no es solo descubrir vulnerabilidades, sino validar su explotabilidad y la efectividad de los controles en tiempo real. Adoptar un proceso de validación continuo permitirá a los equipos reducir el ruido, priorizar correctamente y cerrar la brecha entre divulgación y explotación antes de que los atacantes aprovechen la ventana cada vez más estrecha.