✨︎ Resumen (TL;DR):
- Alex Stamos advierte que los atacantes pueden escalar sus operaciones con IA y pide alternativas más económicas para revisar software y responder alertas.
- OpenAI reportó pruebas funcionales para 948 vulnerabilidades del núcleo de Linux; esa ejecución costó 1,213,430 dólares en créditos de API.
- Detectar una falla no garantiza corregirla: todavía hacen falta revisión humana, correcciones instaladas y límites para las acciones automáticas.
Alex Stamos, director de seguridad de Cognition, advirtió en una entrevista con The Verge que la inteligencia artificial está reduciendo el costo de los ciberataques mientras defenderse sigue siendo caro. El ejecutivo describió esta etapa como una “edad oscura” de la ciberseguridad y explicó que encontrar vulnerabilidades con IA no basta si las empresas no pueden corregirlas ni vigilar sus sistemas sin que el costo se vuelva insostenible.
Stamos no espera que ese periodo sea permanente. Su preocupación es que los atacantes usen IA para buscar vulnerabilidades y acelerar partes de sus operaciones contra el volumen de software que las empresas han acumulado durante décadas.
Los modelos de IA pueden asumir tareas que antes exigían más tiempo y conocimientos especializados. Eso no significa que todos los ataques estén completamente automatizados: el ejecutivo reconoció que algunas labores todavía requieren habilidades humanas.
En la conversación con Nilay Patel, publicada el 7 de noviembre, Stamos explicó que detectar fallas en el software es apenas una parte del trabajo de un responsable de seguridad. También debe identificar intrusiones y decidir cómo contenerlas sin interrumpir innecesariamente las operaciones de una empresa. La entrevista completa está disponible en el canal de Decoder.
La IA cambia la escala de los ataques
Google Threat Intelligence Group informó en septiembre que había observado a distintos actores usar herramientas de IA para investigar objetivos, validar vulnerabilidades y obtener credenciales.
El informe documenta esos usos, pero no atribuye a la IA todas las brechas recientes ni demuestra que todos los ataques funcionen sin intervención humana.
Para Stamos, la diferencia de costos es central. Si los atacantes pueden ampliar sus operaciones con herramientas cada vez más accesibles, los defensores necesitan alternativas más económicas para revisar software y responder a las alertas.
Encontrar una falla no la corrige
OpenAI informó el 4 de noviembre que, durante una ejecución realizada en octubre, su sistema generó pruebas funcionales para 948 vulnerabilidades distintas de escalamiento de privilegios locales en el núcleo de Linux y preparó propuestas de corrección.
Esas fallas podían permitir que un usuario con acceso local obtuviera privilegios de administrador. No son, por definición, 948 vías de entrada remota.
La ejecución costó 1,213,430 dólares en créditos de API, según OpenAI. Investigadores humanos revisaron los resultados antes de comunicar los hallazgos a los responsables del núcleo de Linux.
Generar una corrección candidata no significa que ya esté instalada en todos los sistemas que la necesitan. El caso muestra la distancia entre producir una respuesta técnica y conseguir que llegue, después de una revisión, a los equipos afectados.
Stamos también señaló el problema del código empresarial antiguo. Ese software puede quedar fuera de las revisiones con los modelos más avanzados si el costo de usarlos es demasiado alto. Para él, reducir ese gasto importa tanto como mejorar la capacidad de encontrar fallas.
Reducir accesos limita la superficie de ataque
La reducción de la superficie de ataque es una estrategia que limita el acceso a funciones que una instalación no necesita.
Anthropic informó en octubre que usó su modelo Claude para examinar 25 proyectos de código abierto y detectar 493 problemas relacionados con su superficie de ataque. La empresa propone restringir el acceso a las funciones innecesarias de una instalación.
La medida puede dificultar que alguien alcance una vulnerabilidad, aunque no elimina el error que existe en el código.
Probar defensas sin ceder el control
Stamos defiende que las organizaciones prueben sus propias defensas con equipos autorizados que simulan ataques, conocidos como red teams, y con herramientas de IA. Esperar a que una falla se use contra la empresa deja la iniciativa en manos de los atacantes.
También advirtió que las pruebas automatizadas sobre sistemas reales pueden provocar problemas. Las empresas deben asumir y administrar ese riesgo antes de ejecutarlas.
Para la vigilancia diaria, propone combinar sistemas de detección menos costosos con modelos de IA que ayuden a investigar las alertas más relevantes.
Las acciones defensivas automáticas necesitan límites y supervisión humana. Como ejemplo, planteó restringir el número de cuentas que un sistema puede desactivar antes de pedir una autorización, para evitar que una respuesta equivocada termine afectando a toda la empresa.
Cognition también desarrolla esta automatización
Cognition también tiene un interés comercial en este enfoque. En octubre, la empresa presentó una actualización de Devin Security para identificar, priorizar y preparar correcciones de vulnerabilidades.
Stamos llegó a Cognition en septiembre. Sus funciones incluyen proteger a la empresa y contribuir al desarrollo de productos de seguridad.
El caso de Linux concentra la tensión que señala: la IA puede acelerar la búsqueda de errores y producir una corrección candidata, pero todavía hace falta revisarla y conseguir que llegue a los sistemas que la necesitan. La brecha de tiempo y costo seguirá importando, incluso si los modelos aceleran el hallazgo de fallas.
