Un experto de Gartner sugiere que el aumento actual de vulnerabilidades detectadas por IA es positivo, ya que permite limpiar bases de código antiguas. Se prevé que para 2027 disminuya la gravedad de los fallos gracias a que la IA optimizará tanto la detección como la reparación de errores.

Cuando Microsoft entregó más de 970 parches la semana pasada, muchos vieron una pesadilla para el agobiado personal de seguridad. El vicepresidente de investigación de Gartner, Craig Lawson, cree que los trabajadores de infosec podrían ver pronto días mejores a medida que sus cargas de trabajo disminuyan.

Lawson esbozó ese escenario en el Simposio de TI de Gartner en Australia hoy y lo explicó teorizando que el aumento en el volumen de descubrimientos de vulnerabilidades, hecho posible por Mythos de Anthropic y otras IA de búsqueda de errores, podría estar acercándose a encontrar la mayoría de los fallos en las bases de código establecidas.

“Nunca habíamos tenido una situación en la que bases de código masivas fueran auditadas a ese nivel”, dijo, y ofreció la reciente serie de CVE encontrados en OpenBSD —que históricamente ha sido un SO inusualmente seguro y estable— como evidencia de que los cazadores de errores de IA están haciendo limpieza.


“Piensen en cuánta deuda técnica se ha liquidado en productos solo en los últimos seis meses”, afirmó. Lawson señaló el hecho de que los proveedores de seguridad, quienes en teoría saben lo que se necesita para crear productos seguros, también están usando IA para encontrar fallos en sus propios artículos. Esos descubrimientos, sugirió, indican nuevamente que la IA está eliminando vías potenciales para ataques de día cero.


El alto número de CVE reportados en 2026 es una señal positiva. Lawson cree que Mythos y sus semejantes también podrían crear una señal invisible a medida que los proveedores utilicen la IA para detectar más errores en sus futuros lanzamientos.

Por lo tanto, piensa que 2027 podría ver una caída en los números de CVE a medida que los proveedores terminen de limpiar las bases de código antiguas y porque utilicen la IA para probar más exhaustivamente sus próximos lanzamientos.

“2027 podría ser el primer año en que veamos una caída neta, quizás no en el agregado de vulnerabilidades, sino definitivamente en la gravedad de los fallos”, afirmó.

Cree que la IA también hará felices a los defensores al darles mejores herramientas. Hoy en día, dijo, un ejercicio de red-teaming es un evento infrecuente y costoso que generalmente implica la contratación de un proveedor externo. Los cazadores de errores de IA podrían significar que las organizaciones puedan ejecutar un equipo rojo (red team) cada día de manera efectiva.

Y si un ejercicio de red team produce tickets que necesitan solución, cree que la IA ayudará a los analistas a identificar correcciones más rápidamente.

“¿Qué pasaría si pudiera pasar tres minutos yendo a Gemini y diciendo ‘Escribe la sintaxis para una IRule de F5’ que se convierta en un parche virtual? Todo el mundo podría hacer inteligencia de amenazas, enriquecimiento y algunas de esas tareas más difíciles”.

Cuando el personal de infosec realice esas correcciones, Lawson quiere que las organizaciones celebren el impacto de su trabajo.

Hoy en día, dijo Lawson, los centros de operaciones de seguridad miden al personal por el número de tickets que procesan y cierran. Él cree que un enfoque mejor es celebrar el hecho de que los ciberdefensores mantuvieron un hospital abierto o detuvieron un ataque de ransomware. ®

Fuente:
TheRegister