¿Qué nos dice la llegada de los modelos de inteligencia artificial de frontera sobre el futuro de la descubierta de vulnerabilidades?

Cuando Claude Mythos fue anunciado en abril, rápidamente se convirtió en uno de los puntos de conversación más grandes en la era de la ciberseguridad de la inteligencia artificial. Desarrollado por Anthropic, el nuevo modelo de lenguaje grande demostró capacidades cibernéticas sin precedentes y provocó reacciones que lo clasificaron como un avance tecnológico importante junto con advertencias de que la ciberseguridad puede estar entrando en un período de perturbación sin precedentes.

Según Anthropic, el modelo puede descubrir de forma autónoma un gran número de vulnerabilidades de día cero, identificando fallos en sistemas operativos y navegadores importantes, incluyendo ejemplos que habían permanecido sin descubrir durante décadas. También fue capaz de encadenar debilidades individuales en exploits multietapa que funcionan.

Su impacto ha sido tan dramático que, para el 12 de junio, el gobierno de los Estados Unidos ordenó a Anthropic que suspendiera todo acceso a la tecnología para cualquier nacional extranjero en todo el mundo, incluyendo empleados de Anthropic que son nacionales extranjeros. Esto se consideró ampliamente como una reacción a las preocupaciones de que las capacidades ofensivas de la inteligencia artificial pueden haber alcanzado un punto en el que el acceso sin restricciones podría crear riesgos inaceptables, incluso incontrolables.

Bajo Proyecto Glasswing, el programa de divulgación y remediación de Anthropic, el acceso actualmente está restringido a alrededor de 50 organizaciones, incluyendo AWS, Apple, Google, Microsoft, CrowdStrike, Cisco y la Fundación Linux, entre otros. A estas empresas se les ha dado una ventana para parchear sistemas críticos antes de que las vulnerabilidades identificadas por Mythos se divulguen públicamente a partir de julio en adelante. En ese momento, la industria realmente entra en un nuevo territorio.

Cruzando el Rubicón

Muchos estarían de acuerdo en que la llegada de los modelos de inteligencia artificial de frontera significa que el Rubicón de la seguridad ha sido cruzado. Y sea claro: el problema central no es necesariamente el surgimiento de un modelo particular, sino la posibilidad (o incluso la probabilidad) de que el descubrimiento de vulnerabilidades y el desarrollo de exploits en sí mismo puedan estar entrando en una nueva era, con la inteligencia artificial capaz de operar a una escala y velocidad más allá de la de los investigadores humanos.

Si eso resulta ser el caso, las implicaciones se extienden mucho más allá de vulnerabilidades específicas; afectan las suposiciones sobre las cuales los procesos de gestión y remediación de vulnerabilidades han sido tradicionalmente construidos. En particular, los procesos actuales de gestión de vulnerabilidades fueron desarrollados en una era en la que los investigadores humanos limitaban el ritmo de descubrimiento. La inteligencia artificial tiene el potencial de cambiar fundamentalmente esa ecuación.

Una consecuencia probable es un aumento significativo en el número de vulnerabilidades que entran en el ecosistema de seguridad. Los volúmenes de CVE ya han aumentado dramáticamente en los últimos años, y los equipos de seguridad ya están bajo una creciente presión incluso antes de que se sienta el impacto total de los modelos de inteligencia artificial de frontera.

En este contexto, el descubrimiento de vulnerabilidades en sí mismo puede ya no ser el factor limitante. En cambio, el cuello de botella se desplaza a la triage y la remediación. El desafío se complica por el hecho de que los plazos de explotación han estado disminuyendo durante años, y en algunos casos, los exploits ahora aparecen antes de que los parches estén disponibles, dejando a las organizaciones con poco tiempo para reaccionar.

La preparación operativa se convierte en la prioridad

Entonces, ¿cómo se ve un enfoque actualizado y adecuado para la gestión de vulnerabilidades? En primer lugar, debe tratarse como una capacidad operativa continua porque, como está, la ventana entre el descubrimiento y la implementación de parches es a menudo demasiado lenta. Los equipos de seguridad necesitan entender qué vulnerabilidades son realmente explotables y qué sistemas están afectados.

A medida que aumenta el volumen de hallazgos y disminuye el tiempo para explotar, la operativización de la inteligencia artificial para la seguridad se volverá esencial. Los equipos que aprovechan las capacidades de detección avanzadas de la inteligencia artificial (manejando los costos de tokens) y automatizan la detección, la triage y la remediación estarán mejor posicionados para minimizar las ventanas de exposición y los impactos negativos en los negocios. Esto no se trata de descubrir la mayor cantidad de vulnerabilidades; se trata de identificar y remediar los problemas más importantes rápidamente.

En segundo lugar y más importante, los modelos de inteligencia artificial de frontera) son herramientas para la defensa cibernética. Los miembros de Glasswing pueden utilizar los modelos para detectar y solucionar vulnerabilidades previamente no detectadas, idealmente con acceso avanzado para tener una ventaja sobre los atacantes cuando inevitablemente tengan acceso a las capacidades de inteligencia artificial de frontera también. Los modelos de inteligencia artificial de frontera son una herramienta de detección valiosa; sin embargo, no resuelven automáticamente los aspectos operativos de cómo gestionar las exploraciones de inteligencia artificial (qué es necesario para explorar, cuándo, cómo orquestar la exploración, qué hacer con los hallazgos, cómo gestionar los costos de tokens, etc.). No importa qué modelo se esté utilizando (y mejorarán con el tiempo), los equipos de seguridad necesitan ser capaces de operativizar las capacidades de inteligencia artificial de frontera para la ciberseguridad más rápido de lo que los atacantes pueden aprovechar las capacidades para la explotación.

El desafío a largo plazo que enfrentan las organizaciones es, por lo tanto, no prepararse para un solo modelo o una ola particular de divulgaciones, sino si los modelos operativos existentes pueden adaptarse a un mundo en el que las vulnerabilidades se descubren y se utilizan a una velocidad sin precedentes. Si se equivocan, las organizaciones se enfrentan a un mundo de problemas.