¿Es este el nuevo normal cibernético?
Una oleada reciente de vulnerabilidades de software de alto impacto, incluidos exploits asistidos por IA en infraestructuras centrales como PHP, hace que muchos ingenieros se pregunten si los 0-days constantes son ahora el “nuevo normal” cibernético. Los comentarios están divididos: algunos ven un pico temporal mientras los modelos de lenguaje exploran rápidamente décadas de código heredado en busca de fallos latentes, mientras que otros piensan que la “suciedad” generada por IA y las cadenas de explotación más rápidas mantendrán la presión alta indefinidamente. En todos los puntos de vista, hay amplio acuerdo en que la seguridad debe desplazarse a la izquierda —hacia lenguajes seguros en memoria, arquitecturas más simples, auditoría automática basada en LLM y parcheado más rápido— porque atacantes y defensores ahora tienen acceso a las mismas herramientas potentes.
Pregunta general: ¿“nuevo normal” o pico temporal?
- Algunos sostienen que esto es una “fiebre del oro” transitoria: los LLM están despejando una larga acumulación de errores, así que la tasa de nuevas vulnerabilidades de alto impacto debería bajar eventualmente una vez que el código se escanee y reescriba de forma más sistemática.
- Otros ven un auténtico “nuevo normal” (o algo peor por venir): explotación cercana a cero-day en múltiples frentes, con ventanas entre la divulgación y la explotación masiva reduciéndose drásticamente.
- Una tercera postura: esto es solo el viejo normal llevado al máximo; los worms, las CAs defectuosas y el software descuidado siempre han existido, pero los LLM aceleran tanto el hallazgo como la explotación.
El doble papel de la IA: atacante y defensora
- Los atacantes ahora pueden realizar de forma barata revisión de código, fuzzing, desarrollo de exploits y OSINT con LLMs. Esto hace que errores oscuros, “teóricos”, sean prácticamente explotables.
- Los defensores también pueden usar LLMs: pentesting continuo, revisiones automáticas de código, actualizaciones de dependencias y escaneo de código heredado. Algunos informan de menos incidencias reportadas por clientes y mejores resultados en pentests tras adoptar herramientas LLM.
- Debate sobre la divulgación coordinada: las pistas sobre un fallo pueden ser suficientes para que los atacantes hagan que los LLM reconstruyan rápidamente el exploit, debilitando los modelos tradicionales de embargo.
Seguridad del código generado por IA
- Un bando: el código generado por IA es “notoriamente terrible” en seguridad, y puede introducir fácilmente SQLi, XSS, falta de autenticación, malas configuraciones y patrones de despliegue inseguros, especialmente cuando los desarrolladores confían ciegamente en los bots y omiten la revisión.
- Otro bando: los modelos frontera modernos pueden producir código muy defensivo y detectar muchos problemas de alta prioridad, especialmente cuando se usan en flujos de varios pasos de “generar → revisar → auditar” con indicaciones explícitas de seguridad.
- Preocupaciones:
- “Vibe coding” e inundación de código sin supervisión humana.
- Que la IA elija bibliotecas obsoletas o sin mantenimiento, o que reimplemente en lugar de reutilizar las endurecidas.
- Dependencia excesiva de estudios antiguos sobre modelos más viejos.
Vulnerabilidades finitas vs infinitas
- Algunos afirman que existe un conjunto finito de fallos graves por base de código; una vez que los LLM agoten lo que pueden encontrar, todo se calmará.
- Otros responden que los cambios continuos, las especificaciones complejas y los sistemas Turing-completos siguen generando nuevas vulnerabilidades; solo sistemas formalmente verificados o radicalmente simplificados podrían limitar esto de forma significativa.
Cambios en la práctica y arquitectura del software
- Llamamientos a:
- Lenguajes seguros en memoria (por ejemplo, dejar atrás C/C++), arquitecturas más simples, menos dependencias y superficies de ataque más pequeñas.
- Tratar el escaneo de seguridad con LLM como las pruebas/CI: un paso estándar antes del lanzamiento.
- Posiblemente más versiones LTS o solo de seguridad y sistemas más estáticos/simples; algunos incluso hablan de desconectar sistemas críticos.
- Escepticismo sobre si los incentivos actuales (velocidad, recorte de costes, “sacar la versión ya”) respaldarán la disciplina necesaria.
Otros temas recurrentes
- Cerrar el código fuente (p. ej., al estilo del NHS) se considera una protección débil: la decompilación y el fuzzing asistido por IA siguen funcionando.
- Preocupación de que los equipos pequeños y los que no son “grandes actores” sufran desproporcionadamente con los ciclos de divulgación rápidos y opacos.
- Amplio consenso en que la conciencia humana sobre seguridad es baja, la falta de inversión es crónica y, sin cambios culturales o regulatorios, los LLM amplificarán tanto las fortalezas como las debilidades.