La acelerada identificación de vulnerabilidades de software desconocidas ha acaparado la atención de los medios en los últimos meses, llevando incluso al gobierno de Estados Unidos a crear un centro de coordinación de vulnerabilidades llamado Gold Eagle, destinado a unir esfuerzos en investigación, mitigación y soluciones. Esta situación refleja la presión creciente que enfrentan los defensores cibernéticos, evidenciada por la cantidad de parches que ha enviado Microsoft en sus actualizaciones del Patch Tuesday: 169 CVEs en abril, 118 en mayo, 571 en junio y 622 en julio, incluyendo vulnerabilidades críticas que están siendo explotadas activamente.
Durante el evento Black Hat USA 2026, el profesor asociado Yan Shoshitaishvili y sus estudiantes de la Universidad Estatal de Arizona presentaron una investigación sobre el uso de modelos de inteligencia artificial (IA) para la detección de vulnerabilidades. Shoshitaishvili se refirió a un artículo de Washington Post que informaba que el modelo de última generación de Anthropic, Claude Mythos, había descubierto 479 vulnerabilidades en el núcleo de Linux, un hito que su equipo utilizó como base de comparación. En contraste, usando versiones anteriores de modelos GPT, habían identificado alrededor de 300 fallos.
La diferencia en los resultados se atribuyó a la implementación de flujos de trabajo en Mythos, lo que llevó al equipo a integrar flujos similares en tres modelos de GPT. Esto resultó en la identificación de aproximadamente 600 vulnerabilidades. Después, al entrenar los modelos con las características de vulnerabilidades previamente conocidas, lograron detectar alrededor de 1,000 vulnerabilidades más. Sin embargo, se encontraron con el desafío de reportar estos hallazgos a la misma velocidad a la que eran descubiertos, lo que planteó interrogantes sobre el proceso de divulgación responsable, ya que este a menudo crea más riesgos.
Parchar software de manera oportuna en entornos de producción ha sido un punto crítico para muchos equipos de ciberseguridad. Un crecimiento exponencial en la detección de vulnerabilidades podría llevar a un incremento de software sin parches y, por ende, ofrecer mayores oportunidades a los ciberdelincuentes, o bien a una aplicación de parches sin pruebas, lo que puede causar problemas de compatibilidad.
Desde una perspectiva lógica y optimista, podría ser que estemos acercándonos a un pico en la detección de vulnerabilidades, y que más allá de este pico haya una calma mejorada en la normalidad. Tradicionalmente, la investigación de vulnerabilidades ha sido un proceso intensivo en recursos, con un flujo constante de descubrimientos que ha ido en aumento año tras año. Este aumento podría atribuirse al incremento de investigadores, software y la motivación por descubrir vulnerabilidades incentivadas por programas de recompensas.
El cambio de humanos a IA ofrece una nueva dimensión en la detección, aunque cabe señalar que la IA aún se encuentra en una fase de aprendizaje. Como lo subrayó el equipo de Arizona, ajustar el modelo y sus flujos de trabajo podría revelar aún más vulnerabilidades. Además, debemos considerar el gran volumen de software desarrollado en las últimas tres décadas; ningún esfuerzo humano podría descubrir todas las vulnerabilidades existentes en el actual y antiguo catálogo de software. Sin embargo, la escala de la detección asistida por IA podría eventualmente alcanzar el final de este catálogo, dejando futuras descubrimientos a mejorar el modelo que se utilice para desenterrar estas vulnerabilidades.
Por último, es importante recordar que siempre se está desarrollando nuevo software. La lógica sugiere que cualquier equipo de desarrollo hoy en día debería emplear las capacidades de IA disponibles para eliminar posibles vulnerabilidades antes de lanzar su producto. A medida que los modelos se perfeccionen, la posibilidad de software prácticamente libre de fallos podría convertirse en una realidad. Si esta lógica prevalece, es posible que alcancemos un estado de tranquilidad, donde se encuentren muy pocas vulnerabilidades nuevas. Sin embargo, este escenario podría ser simplemente un sueño o una manifestación de mi optimismo mal situado.
Fuente: WeLiveSecurity by eSet.
