La IA puede detectar más vulnerabilidades que nunca. Pero los humanos aún deben decidir qué hacer a continuación.

Durante años, los equipos de ciberseguridad han partido de una premisa sencilla: si pudiéramos encontrar más vulnerabilidades con mayor rapidez, el software sería más seguro.

La inteligencia artificial está poniendo a prueba esa premisa. Mientras la conversación general sobre la IA pasa de la adopción acelerada a la búsqueda de un valor medible, la ciberseguridad está dejando al descubierto un desafío que no desaparecerá si se frena el avance de la IA. Las organizaciones ya se enfrentan a un volumen creciente de hallazgos de vulnerabilidades generados por IA que aún requieren validación, priorización y corrección humanas.

Los hallazgos recientes de Project Glasswing ofrecen uno de los ejemplos más claros hasta la fecha. Según se informa, Claude Mythos Preview identificó más de 26.000 hallazgos de vulnerabilidades en proyectos de software en apenas unos meses. Sin embargo, de acuerdo con un análisis independiente del registro público de divulgaciones de Glasswing, solo alrededor del 10 % de esos hallazgos ha llegado al proceso de divulgación, y finalmente se han corregido menos del 1 %.

Estas cifras son llamativas, pero no deberían sorprender. La industria lleva décadas optimizando la detección. Lo que no ha desarrollado es la capacidad para procesar hallazgos de vulnerabilidades a la escala de la IA.

El cuello de botella de la ciberseguridad ya no es la detección, sino lo que ocurre después.

Encontrar vulnerabilidades nunca fue la parte más difícil

En una primera actualización de Project Glasswing, Anthropic señaló que el progreso estaba cada vez más limitado no por la detección de vulnerabilidades, sino por el trabajo humano necesario para verificar los informes, coordinar las divulgaciones y respaldar las tareas de corrección. La empresa también indicó que algunos responsables de mantenimiento solicitaron reducir el ritmo de las divulgaciones porque no tenían capacidad para procesar el volumen de hallazgos generados.

Esta distinción importa porque detectar vulnerabilidades y corregirlas son actividades fundamentalmente distintas.

La detección es cada vez más un problema de reconocimiento de patrones. Los sistemas modernos de IA destacan en el análisis de grandes bases de código, la identificación de comportamientos inusuales, el rastreo de rutas de ejecución y la detección de posibles vulnerabilidades.

La corrección es otra cosa. Para corregir una vulnerabilidad hace falta contexto. Alguien debe determinar si el problema es real, comprender su posible impacto, evaluar las soluciones posibles, asegurarse de que los cambios no provoquen regresiones, coordinar los plazos de divulgación, comunicarse con las partes interesadas y, en última instancia, asumir la responsabilidad del resultado.

Este último punto es fundamental. La IA puede detectar una posible vulnerabilidad, pero no puede rendir cuentas por lo que ocurra después. Validar, clasificar, corregir e informar siempre requerirá a una persona que responda ante el proyecto que mantiene. Y eso les exige tiempo a personas que a menudo tienen un trabajo a tiempo completo, una familia y otras obligaciones que compiten por su atención. En muchos proyectos de código abierto, el factor limitante no es la visibilidad de los riesgos, sino la capacidad de los responsables de mantenimiento y los equipos de seguridad para evaluar y responder de manera responsable a un volumen de hallazgos cada vez mayor.

Esta es la diferencia fundamental entre detectar vulnerabilidades y corregirlas. La detección es cada vez más una tarea cuya escala podemos ampliar con ayuda de la IA. La corrección sigue dependiendo de personas que tienen el contexto, la autoridad y la responsabilidad necesarios para actuar ante lo que encuentra la IA.

El desafío del código abierto

Esta dinámica se hace aún más evidente en el ecosistema del código abierto. Dado que los componentes de código abierto están presentes en el 98 % de las bases de código comerciales, la gran mayoría de la infraestructura digital del mundo depende de proyectos mantenidos por grupos relativamente pequeños de colaboradores.

En muchos casos, quienes se encargan de mantener este software esencial son voluntarios o personas que compaginan las responsabilidades del proyecto con trabajos a tiempo completo y obligaciones personales. A medida que la IA aumenta la cantidad de software y de vulnerabilidades que se detectan en él, la capacidad de esos responsables de mantenimiento para seguir el ritmo se convierte en un factor cada vez más importante para la seguridad.

Cuando un sistema de IA genera de repente cientos o miles de posibles hallazgos relacionados con el ecosistema de un proyecto, esos responsables de mantenimiento se convierten en el factor limitante.

Esto no es una crítica a quienes mantienen los proyectos. Es un reflejo de la realidad.

Incluso antes de la aparición de la detección de vulnerabilidades impulsada por IA, muchos proyectos de código abierto ya tenían dificultades por la escasez de recursos, las crecientes exigencias de seguridad y una carga de mantenimiento cada vez mayor. La IA está intensificando la presión sobre un sistema que ya estaba al límite.

El desafío no consiste simplemente en determinar si existe una vulnerabilidad. Consiste en todo lo que ocurre después.

Alguien tiene que revisar el informe. Alguien tiene que reproducir el problema. Alguien tiene que decidir si supone un riesgo para la seguridad. Alguien tiene que desarrollar y probar una solución. Alguien tiene que coordinar la divulgación y publicar las actualizaciones. Esas responsabilidades no se pueden automatizar sin más.

A medida que sigan aumentando los hallazgos generados por IA, las organizaciones que dependen del software de código abierto dependerán cada vez más de la salud y la sostenibilidad de quienes lo mantienen.

Prepararse para el auge del descubrimiento de vulnerabilidades mediante IA

Entonces, ¿qué deberían hacer las empresas? En primer lugar, las organizaciones deben reconocer que el descubrimiento impulsado por IA no es un problema del futuro. Ya está ocurriendo. Project Glasswing demostró que los modelos de frontera pueden descubrir vulnerabilidades a una escala que habría sido difícil de imaginar hace apenas unos años.

En segundo lugar, los responsables de seguridad deberían evaluar si sus procesos de corrección pueden ampliarse al mismo ritmo que las capacidades de descubrimiento. Muchas organizaciones han invertido mucho en encontrar vulnerabilidades, pero han dedicado menos recursos a las personas y los procesos responsables de resolverlas.

En tercer lugar, las empresas deberían prestar más atención al mantenimiento del software como función de seguridad. A menudo se habla de la seguridad en términos de prevención y detección, pero el mantenimiento a largo plazo sigue siendo uno de los componentes más importantes y menos valorados de la gestión de riesgos. Puede que la IA esté facilitando la detección de vulnerabilidades, pero eso no reduce la responsabilidad de mantener seguro el software crítico a lo largo del tiempo. Las organizaciones necesitan una estrategia de gestión de la propiedad a lo largo del ciclo de vida que les permita modernizarse de forma planificada, en lugar de verse obligadas a realizar migraciones apresuradas o tareas de corrección reactivas cuando surgen riesgos.

Por último, las organizaciones deberían apoyar los ecosistemas más amplios de los que dependen. A medida que la IA acelera el descubrimiento de vulnerabilidades en el software de código abierto, quienes lo mantienen afrontarán exigencias cada vez mayores. En última instancia, la seguridad de la cadena de suministro de software depende de que esas personas dispongan de los recursos necesarios para responder.

La IA puede encontrar vulnerabilidades más rápido. Pero encontrarlas no hace que el software sea seguro. La tarea más difícil consiste en validar los riesgos, priorizar lo que importa, proporcionar correcciones probadas y mantener el software seguro a lo largo del tiempo. A medida que se acelere el descubrimiento de vulnerabilidades, las organizaciones necesitarán una capacidad de corrección continua respaldada por conocimientos especializados, rendición de cuentas y niveles de servicio claros.

Porque el problema más difícil de la ciberseguridad no es encontrar la vulnerabilidad, sino lo que ocurre después.