La IA acelera los ciberataques y obliga a replantear la defensa empresarial

A medida que los modelos de IA de frontera, la generación más avanzada de sistemas de IA, hacen que los ataques cibernéticos sean más rápidos y sofisticados, las organizaciones recurren cada vez más a empresas de ciberseguridad para mejorar sus defensas. En una conversación con el socio principal de McKinsey, Martin Harrysson, la CEO de HackerOne, Kara Sprague, exploró cómo la IA está cambiando el panorama de riesgo y por qué el verdadero desafío ya no es encontrar vulnerabilidades, sino remediarlas antes de que los atacantes puedan actuar.

Martin Harrysson: Estamos en un momento en el que la IA remodela muchas partes de la tecnología. ¿Cómo entró en el campo de la tecnología y qué es estructuralmente diferente en ciberseguridad hoy en día en comparación con antes del aumento de la IA?

Kara Sprague: Comencé mi carrera en McKinsey, asesorando a clientes en toda la pila de tecnología, y luego pasé a la industria en F5, que se centra en la entrega de aplicaciones y la seguridad. Ahora soy CEO de HackerOne, trabajando con algunas de las compañías más grandes del mundo para encontrar y corregir las debilidades de seguridad antes de que puedan ser explotadas.

Hoy, se ven tres cosas que suceden a la vez. En primer lugar, la superficie de ataque crece porque se están implementando más modelos y sistemas de IA en más empresas, y la generación de código de IA acelera el ritmo al que las empresas construyen e implementan software. En segundo lugar, esa superficie de ataque es más vulnerable porque la seguridad para los despliegues de IA sigue siendo incipiente, y el código generado por la IA todavía tiende a ser menos seguro que el código generado por el ser humano. Y en tercer lugar, los atacantes son cada vez más capaces porque adoptan y arman rápidamente las capacidades de IA de frontera.

La defensa está detrás, y tomará tiempo ponerse al día. Las operaciones de seguridad empresarial tendrán que reequipar la velocidad. Y eso no se trata solo de adoptar nuevas tecnologías. Se trata de repensar el modelo operativo, el talento y la gobernanza. El flujo de trabajo de encontrar para arreglar debe reinventarse con la IA a la vanguardia.

Martin Harrysson: ¿Deberían los directivos ver el panorama actual como un cambio radical en el riesgo o una aceleración de las tendencias existentes?

Kara Sprague: Yo lo llamaría una aceleración de las tendencias que han sido visibles durante algún tiempo. El tiempo entre el descubrimiento y la explotación de la vulnerabilidad, por ejemplo, ha ido disminuyendo constantemente de más de dos años en 2018 a menos de un día de hoy.

Lo que se siente nuevo en las últimas semanas, después del anuncio de a principios de abril de Anthropic. Es el cambio de paso en las capacidades ciberespecíficas. Los modelos ahora pueden crear exploits efectivos que encadenan múltiples vulnerabilidades, lo que significa que incluso los atacantes no sofisticados pueden identificar y apuntar a problemas críticos.

Martin Harrysson: La compresión en las líneas de tiempo y la aparición de nuevos vectores de ataque es significativa. ¿Qué tan bien se mantienen las organizaciones?

Kara Sprague: En HackerOne, tenemos una visión amplia en todo el mercado porque trabajamos con cerca del 20 % de la Fortune 500 y casi el 40 % de la Fortune 50. Lo que vemos en toda nuestra plataforma es que los informes de vulnerabilidad han aumentado un 76 % interanual. Podría asumir que esos informes son solo más ruido. Lo hemos visto en el pasado, pero eso no es lo que se ve ahora. La señal, la proporción de informes que se convierten en hallazgos válidos, se ha mantenido estable, lo que significa que el aumento también se refleja en vulnerabilidades reales.

Los defensores están luchando para mantenerse al día con las amenazas. Los retrasos están creciendo. La brecha entre las nuevas amenazas y la capacidad de respuesta todavía se mide en meses, y a veces años.

Realmente depende de la rapidez con que las organizaciones de seguridad puedan reequipar sus operaciones para la velocidad. Hay planes emergentes para lo que parece, por ejemplo, el reciente trabajo de la Alianza de Seguridad en la Nube para construir operaciones de seguridad preparadas para los mitos —pero cerrar esa brecha requerirá cambios significativos en la forma en que operan las organizaciones.

Martin Harrysson: En términos prácticos, ¿qué pasos pueden tomar las organizaciones para cerrar la brecha de defensa que está describiendo?

Kara Sprague: Para hacer frente a ese aumento en el descubrimiento de vulnerabilidades lideradas por la IA, se necesita acelerar significativamente la validación y la remediación a escala.

La experiencia humana es fundamental para implementar estas capacidades con éxito. En HackerOne, casi el 90 % de nuestra comunidad global de investigadores de seguridad utiliza modelos de frontera para encontrar problemas novedosos y esquivos, y prueban soluciones para garantizar que remedien completamente la exposición.

Martin Harrysson: ¿cómo ve el papel de los investigadores humanos evolucionando a medida que la IA se vuelve más capaz?

Kara Sprague: Los investigadores humanos están cambiando de la caza manual de errores a un trabajo más estratégico y de nivel superior. La IA se está haciendo cargo del descubrimiento de vulnerabilidades comunes y de alto volumen, mientras que los investigadores se centran cada vez más en la construcción de herramientas y sistemas que utilizan la IA para encontrar problemas más profundos y complejos, como fallas lógicas, debilidades arquitectónicas y nuevas rutas de ataque.

Puede comparar las correcciones de código autónomas con los automóviles autónomos: Para sistemas críticos, la tolerancia al error es esencialmente cero. Aunque la IA puede proponer correcciones de manera confiable en proyectos de campo, no puede desenredar de manera segura problemas arquitectónicos complejos y heredados. La fijación de esos sistemas requiere una supervisión humana experta.

En última instancia, esa evolución llevará al mercado a colocar una prima mucho más alta en la identificación de vulnerabilidades complejas y de alto impacto y guiar las soluciones críticas, al tiempo que disminuirá los pagos por problemas de menor complejidad manejados de forma autónoma por la IA.

Martin Harrysson: ¿Dónde tienden las organizaciones a descomponerse a medida que se acelera el descubrimiento de vulnerabilidades? ¿Qué se necesita para priorizar y actuar de manera efectiva?

Kara Sprague: Las organizaciones tienden a romperse en los puntos de transferencia. El flujo de trabajo típico: encontrar un problema, presentar un ticket, clasificar, priorizar y parchear, implica múltiples transferencias, que crean retrasos en el trabajo que esperan ser procesados. Esos retrasos no se mantienen en volumen. Las organizaciones que se desempeñan bien son las que acortan o minimizan esos traspasos y aseguran que los hallazgos lleguen con suficiente contexto.

Eso es complicado. A medida que el ritmo de descubrimiento y explotación se acelera, los límites tradicionales entre AppSec, DevOps y SecOps se vuelve más difícil de sostener. La separación de esas funciones también crea traspasos adicionales entre equipos, ralentizando los tiempos de respuesta. En cambio, las organizaciones pueden avanzar hacia flujos de trabajo más integrados con datos y prioridades compartidos. Con el tiempo, eso podría significar cambiar la seguridad de una función separada que inspecciona el software después de que se construye para algo integrado directamente en la forma en que se desarrolla y ejecuta el software.

Martin Harrysson: Dados esos desafíos en torno a los datos, las herramientas y la alineación organizacional, ¿qué separará a las organizaciones que hacen eso bien de las que no lo hacen?

Kara Sprague: La mayor diferencia será la rapidez con que las organizaciones pueden eliminar sus retrasos y el grado en que pueden comprimir sus flujos de trabajo de encontrar para arreglar. Muchos todavía operan como si tuvieran tiempo entre el momento en que se descubre una vulnerabilidad y cuando se explota, pero con la IA, ese tiempo se ha ido.

Las organizaciones que hacen eso bien lo tratan como un problema basado en el tiempo. Los que se quedan atrás siguen gestionando el volumen, generando más hallazgos de los que pueden actuar. Aquí es donde la priorización es importante. Los sistemas tradicionales de puntuación de vulnerabilidad proporcionan una visión estandarizada de la gravedad, pero no reflejan el riesgo real en un entorno específico. La misma vulnerabilidad puede tener implicaciones muy diferentes dependiendo de si un activo está orientado a Internet, qué datos procesa y qué controles están en su lugar.

La priorización efectiva depende del contexto: combinar una comprensión del activo, cómo se puede explotar una vulnerabilidad y la capacidad de la organización para remediar. Sin eso, incluso las vulnerabilidades bien identificadas se pueden priorizar incorrectamente.

Al final, la ventaja no irá a la organización que encuentra más vulnerabilidades, sino a la que puede reducir su exposición al riesgo más rápido.