El equipo CERT-In de India emitió nuevas directrices que exigen corregir vulnerabilidades críticas en sistemas expuestos a internet en un plazo de 12 horas. Esta medida responde al uso de la inteligencia artificial por parte de atacantes para acelerar y automatizar el descubrimiento de fallos y la ejecución de ciberataques. La agencia recomienda adoptar estrategias de Zero Trust, defensa en profundidad y una gestión de parches continua para mitigar estos riesgos evolucionados.

El Equipo de Respuesta a Emergencias Informáticas de la India (CERT-In) ha emitido nuevas directrices que exigen a las organizaciones parchear vulnerabilidades de seguridad críticas en sistemas expuestos a Internet en un plazo de 12 horas tras ser señaladas, siempre que sea "factible", para protegerse contra posibles amenazas derivadas del abuso de herramientas de inteligencia artificial (IA) y modelos de lenguaje extenso (LLM) para automatizar el descubrimiento y la explotación de vulnerabilidades, y mejorar la escala y velocidad de los ciberataques.

"La ciber-explotación asistida por IA reduce el tiempo necesario para que los adversarios identifiquen, conviertan en arma y exploten vulnerabilidades, servicios expuestos, identidades débiles, APIs inseguras y sistemas mal configurados", afirmó el CERT-In en un plan de 38 páginas publicado el lunes.

"A medida que las organizaciones se vuelven cada vez más dependientes de la infraestructura digital interconectada, los ecosistemas en la nube, las cadenas de suministro de software, las tecnologías operativas y las plataformas habilitadas por IA, el impacto potencial de las ciberamenazas impulsadas por IA sigue aumentando en todos los sectores".

Dado que los actores de amenazas comienzan a depender cada vez más de la IA para una amplia gama de tareas, incluyendo el descubrimiento de la superficie de ataque, el análisis de exploits, contenido de phishing convincente e incluso la generación de malware, pueden comprimir significativamente los plazos de preparación de los ataques y eludir los controles de seguridad tradicionales.

Además, los propios sistemas habilitados por IA pueden convertirse en objetivos de ataques maliciosos mediante la inyección de prompts, vulnerabilidades de fuga de datos, técnicas de jailbreaking, manipulación de modelos, envenenamiento de datos de entrenamiento, robo de modelos y compromisos en el pipeline de orquestación, socavando eficazmente su confidencialidad e integridad.

CERT-In ha advertido que las organizaciones deben esperar que los plazos de explotación se colapsen significativamente y que los ataques se vuelvan autónomos, lo que requiere la adopción de medidas de ciberseguridad reforzadas que impliquen una evaluación continua de las amenazas, la reducción proactiva de la exposición y la preparación operativa.

Principios defensivos para reducir la exposición

Algunos de los principios defensivos descritos por la agencia de ciberseguridad para reducir la exposición y responder mejor a las ciberamenazas asistidas por IA se enumeran a continuación:

• * Asume la brecha y prepárate para la detección, contención y recuperación rápida de escenarios de compromiso.
• * Adopta un enfoque de Zero Trust imponiendo la verificación continua y el acceso de privilegio mínimo.
• * Implementa una estrategia de defensa en profundidad con controles en capas en toda la infraestructura para eliminar puntos únicos de falla y minimizar el impacto general de una brecha exitosa.
• * Monitoriza y reduce la exposición a las vulnerabilidades de seguridad.
• * Integra un paradigma de seguridad por diseño en los sistemas, aplicaciones y flujos de trabajo de IA.
• * Mantén la continuidad operativa durante incidentes cibernéticos y escenarios de interrupción.
• * Protege los datos sensibles y operativamente críticos durante todo su ciclo de vida.
• * Reduce los riesgos de la cadena de suministro de software derivados de software de terceros, modelos de IA y dependencias mediante SBOM, validación de procedencia y evaluaciones.
• * Prueba la efectividad de la seguridad frente a amenazas evolutivas mediante red teaming, evaluaciones de vulnerabilidades, pruebas de penetración y auditorías independientes.
• * Prioriza los controles basados en la criticidad operativa y la exposición a las amenazas.
• * Establece mecanismos de gobernanza formales respecto al uso de sistemas de IA.
• * Mantén la visibilidad de los sistemas de IA, las integraciones y el comportamiento operativo.

"Las organizaciones deben implementar controles técnicos en capas, basados en el riesgo y validados continuamente para reducir la exposición a las ciberamenazas asistidas por IA", dijo CERT-In. "Los controles deben priorizar la protección de los sistemas orientados a Internet, las aplicaciones empresariales críticas, las identidades, los entornos de nube, las APIs, los datos sensibles, los sistemas habilitados por IA y la infraestructura operativa".

La agencia también insta a las organizaciones a adoptar "prácticas continuas de gestión de parches y vulnerabilidades basadas en el riesgo" para reducir la exposición derivada de fallos de seguridad, configuraciones erróneas, APIs inseguras, servicios accesibles públicamente e identidades débiles. Con este fin, las vulnerabilidades explotadas conocidas que afecten a sistemas críticos y orientados a Internet deben remediarse en un plazo de 12 horas cuando sea aplicable.

Otros plazos de remediación basados en el riesgo

Otros tiempos de remediación basados en el riesgo son los siguientes:

• * Vulnerabilidades críticas expuestas externamente: En un plazo de 1 día.
• * Vulnerabilidades explotadas conocidas que afecten a sistemas internos: En un plazo de 1 día, a menos que se implementen y documenten otras mitigaciones.
• * Vulnerabilidades internas críticas que afecten a sistemas de alto valor: En un plazo de 3 días.
• * Vulnerabilidades de severidad alta: En un plazo de 5 días basándose en la priorización del riesgo.

En escenarios donde no haya parches disponibles inmediatamente, se aconseja implementar mitigaciones temporales como el aislamiento, la restricción de acceso, la protección WAF/API, el monitoreo mejorado o la desactivación de funciones hasta que se lance la solución.

"Dada la naturaleza rápidamente evolutiva de las ciberamenazas asistidas por IA, las organizaciones deben reevaluar continuamente la exposición, validar los controles de seguridad, fortalecer las capacidades de resiliencia y mejorar la preparación operativa mediante auditorías, monitoreo, pruebas y gobernanza de ciberseguridad coordinada", afirmó CERT-In.

El plan llega un mes después de que CERT-In publicara un aviso advirtiendo sobre las crecientes capacidades cibernéticas de los modelos de IA de frontera de Anthropic y OpenAI, afirmando que su "naturaleza de doble uso" podría "bajar la barrera de entrada para los actores cibernéticos maliciosos y ser aprovechada para acelerar la ejecución de ataques, automatizar los flujos de trabajo de explotación y escalar las campañas cibernéticas".

"Mantenerse al día con los desarrollos cibernéticos impulsados por IA de frontera es fundamental para mantener la ciber-resiliencia", añadió. "Los controles de ciberseguridad básicos siguen siendo críticos y deben aplicarse rigurosamente".

Fuente:
THN