Rob Joyce, experto en ciberseguridad que trabajó en la Agencia de Seguridad Nacional de los Estados Unidos y fuera antiguo asesor de la Casa Blanca en materia de ciberseguridad, expuso durante el Cyber Defense Summit de Google celebrado recientemente en Washington, que la promesa de la detección de vulnerabilidades impulsada por inteligencia artificial no se traduce automáticamente en una mayor protección, ya que el cuello de botella se encuentra en la corrección: encontrar el fallo es solo una parte del problema si la organización no logra aplicar el parche a tiempo.
Según su análisis, una parte del sector confía en que los modelos de lenguaje puedan revisar software a gran escala y adelantarse a los atacantes, pero la práctica demuestra que la capacidad de remediación no mantiene el mismo ritmo que la detección, en lo referente al concurso de la IA.
Joyce añadió que grandes proveedores tecnológicos pueden priorizar y corregir con rapidez, pero una porción relevante del tejido digital opera con componentes sin soporte, heredados o sin personal suficiente para instalar actualizaciones, y apuntó que ese desfase condiciona la eficacia de cualquier avance en la detección.
También indicó que la inteligencia artificial ya adelanta a los equipos humanos en el hallazgo de errores y, como ejemplo, citó un agente denominado XBOW que en junio encabezó la clasificación de informes de vulnerabilidades en HackerOne y se ha mantenido en posiciones destacadas desde entonces.
A su juicio, estas herramientas automatizadas pueden analizar redes de forma continua y descubrir más debilidades de las que puede gestionar cualquier equipo con limitaciones de tiempo y recursos, lo que amplifica la presión sobre los procesos de corrección.
En ese escenario, advirtió que el riesgo crecerá allí donde el software está poco mantenido o carece de soporte, porque la identificación acelerada de fallos no se traducirá en mitigación si no se resuelve el déficit de parcheo.
Durante una conversación con John Hultquist, analista jefe de Mandiant (firma propiedad de Google especializada en ciberseguridad), Joyce alertó de los peligros de conectar agentes de IA al correo electrónico, bases de conocimiento y otros sistemas corporativos, ya que ello también contribuye a incrementar la superficie de ataque, por muy práctico que sea para la gestión del día a día.
El experto explicó que se han observado intrusiones en las que, una vez dentro de la red, los atacantes emplean dichos agentes para localizar información útil de cara a operaciones de ransomware o extorsión, y también mencionó la aparición de software malicioso que ejecuta consultas a modelos sobre datos internos con el objetivo de identificar elementos susceptibles de ser explotados.
En paralelo, estimó que grupos con motivación económica podrían intensificar su interés en atacar sistemas de IA, al detectar oportunidades de beneficio en los entornos donde estos se integran con activos valiosos para las empresas.
Finalmente, Joyce planteó que la combinación de tecnología desatendida y una detección cada vez más rápida podría desembocar en incidentes de gran impacto, lo que forzaría a reconstruir capacidades con criterios más robustos.
