Cuando la IA comienza a descubrir vulnerabilidades de forma automática: después de Mythos, la ciberseguridad está entrando en la era de la “co-evolución ofensiva y defensiva”

Cuando la IA comienza a descubrir vulnerabilidades de forma automática: después de Mythos, la ciberseguridad está entrando en la era de la “coevolución ofensivo-defensiva”

Durante la última década, la lógica central de la seguridad empresarial se ha basado en construir defensas en torno a “amenazas conocidas”: mejores registros, respuestas más rápidas, una gestión de vulnerabilidades más completa y un control de permisos más estricto. Pero desde que la IA de frontera ha empezado a entrar en el descubrimiento de vulnerabilidades, el análisis de código y la evaluación de seguridad, esta lógica se está desmoronando. El cambio al que se enfrenta la industria de la seguridad no es simplemente la incorporación de una nueva herramienta, sino la reescritura de la estructura de velocidad en la generación de amenazas, la detección de vulnerabilidades y la verificación defensiva.

Según informó CSO Online, en la conferencia Infosecurity Europe de Londres, expertos del sector advirtieron a los equipos de seguridad empresarial que se preparen para el próximo impacto de los modelos de IA de frontera. Anthropic está ampliando su programa Project Glasswing para ofrecer acceso al Claude Mythos a más organizaciones seleccionadas; al mismo tiempo, también se ha informado de que OpenAI está proporcionando sus herramientas de ciberseguridad a varios grandes bancos del Reino Unido. En apariencia, estas iniciativas parecen movimientos de los proveedores para ampliar sus pilotos empresariales, pero desde una perspectiva industrial indican un cambio más profundo: la IA está pasando de “ayudar a los humanos a hacer seguridad” a una fase de “reconfigurar la seguridad en sí misma”.

El descubrimiento de vulnerabilidades se está modelando

La industria de la seguridad ha dependido durante mucho tiempo de la experiencia del personal especializado, de las cadenas de herramientas y del juicio manual. Tanto en las pruebas de penetración como en la priorización de vulnerabilidades, en esencia se requiere una gran inversión de mano de obra. La incorporación de modelos de IA de frontera está cambiando cada eslabón de esa cadena.

Mythos de Anthropic es visto por el sector como una señal estructural: no solo puede ayudar a descubrir vulnerabilidades, sino que también podría, gracias a una comprensión más amplia del código, una mayor capacidad de análisis del comportamiento y un mayor grado de automatización, identificar rutas de riesgo que las pruebas tradicionales suelen pasar por alto. En el informe se menciona que Mythos incluso podría “encadenar” con mayor facilidad varias vulnerabilidades de gravedad media para convertirlas en un riesgo de alto impacto. Esto es crucial, porque los ataques reales a menudo no dependen de un único fallo fatal, sino de la acumulación de varios problemas aparentemente insignificantes.

Esto significa que los equipos de seguridad ya no se enfrentan solo a un CVE aislado o a un parche puntual, sino a una amenaza dinámica de “combinaciones de vulnerabilidades”. Los sistemas tradicionales de puntuación de vulnerabilidades empiezan a parecer torpes en este contexto: la gravedad de una vulnerabilidad individual puede no ser alta, pero en una cadena de ataque su valor puede amplificarse mediante el modelo. En otras palabras, la IA no solo acelera el descubrimiento, sino que también está cambiando la economía de las propias vulnerabilidades.

En el lado defensivo, la ventaja está surgiendo de la “confrontación a escala”Desde la perspectiva del defensor, la IA de vanguardia no es solo una fuente de riesgo; también puede ser una herramienta de transferencia de costos. Un responsable relevante del Centro Nacional de Ciberseguridad del Reino Unido (NCSC) señaló en una conferencia que las organizaciones pueden aprovechar la IA para escribir mejor código, encontrar vulnerabilidades y trasladar más costos al atacante. El significado detrás de esta formulación es muy realista: si los atacantes pueden usar la IA para enumerar activos más rápido, encontrar debilidades y generar cadenas de ataque, entonces los defensores también deben usar capacidades de automatización de escala similar para verificar, clasificar, corregir y volver a probar.

Esto empujará la seguridad empresarial de una respuesta “intensiva en mano de obra” hacia una “confrontación continua asistida por máquinas”. Los equipos de seguridad ya no serán solo el departamento que actúa después de que ocurre un incidente, sino que deberán, como un equipo de ingeniería, realizar verificaciones continuas, pruebas de regresión y gestión de prioridades de riesgo. Las hardening access controls y las incident response exercises mencionadas en el informe también muestran que las capacidades de seguridad básicas siguen siendo importantes, solo que su significado ha cambiado: ya no son elementos de cumplimiento en una lista de mejores prácticas, sino las condiciones mínimas de supervivencia en la era de la IA.

Por qué “son of Mythos” merece cautela

Gunter Ollmann, CTO de Cobalt, utilizó “son of Mythos” en la conferencia para describir una nueva generación de herramientas de seguridad de IA de vanguardia que podría aparecer a continuación. Esta expresión no es una exageración retórica, sino una evaluación del ritmo de evolución de la industria: cuando la primera generación de herramientas acaba de abrirse de forma restringida, la siguiente generación suele ya estar en camino, y será más barata, más fácil de usar y más generalizada.

Esto impacta al sector de la seguridad en dos niveles.

Primero, la difusión de capacidades. Los modelos de seguridad de vanguardia a los que hoy solo se puede acceder con aprobaciones estrictas, listas blancas y relaciones de colaboración, en el futuro podrían extenderse a más empresas, equipos subcontratados e incluso al ecosistema de atacantes en general con un umbral de acceso mucho menor.

Segundo, la aceleración del ritmo. El ciclo de iteración de los productos de seguridad ya es más lento que el de los atacantes, y cuando el propio modelo empiece a reescribir la velocidad de descubrimiento de vulnerabilidades, los procesos empresariales de parcheo, auditoría y revalidación se verán obligados a acelerarse. Lo realmente aterrador aquí no es un solo modelo, sino que, una vez que se forme una “competencia continua impulsada por modelos”, cualquier organización que no entre en esa curva quedará rápidamente rezagada en capacidades.

El modelado de amenazas tradicional está perdiendo determinismo

La postura de la Cloud Security Alliance también revela un cambio más profundo: cuando múltiples vulnerabilidades pueden encadenarse automáticamente, la “mapa de debilidades conocidas” relativamente estable del modelado de amenazas tradicional empieza a perder determinismo. Antes, las empresas podían asumir que ya habían identificado la mayoría de los riesgos clave y construir su defensa en torno a ellos; pero en un entorno de detección de vulnerabilidades asistida por IA, esa suposición se vuelve cada vez más frágil.Eso no significa que los sistemas de puntuación de vulnerabilidades hayan dejado de ser válidos por completo, sino que su posición central está disminuyendo. Las empresas necesitan pasar de la “gestión de vulnerabilidades” a la “gestión de rutas de ataque”, y de “parchear” a “controlar la explotabilidad”. Esto también explica por qué cada vez más debates sobre seguridad empiezan a hacer hincapié en el control de identidad, el privilegio mínimo, los perímetros de acceso y los simulacros de respuesta, y no solo en los resultados de los escaneos.

La industria de la seguridad está pasando de un mercado de herramientas a un mercado de modelos

Si se sitúa este acontecimiento en un panorama tecnológico más amplio, se observa que la industria de la seguridad está atravesando una fase de plataforma. En el pasado, el mercado de seguridad estaba compuesto por una gran cantidad de herramientas verticales: escáneres, WAF, EDR, SIEM, ASM y servicios de pruebas de penetración, cada uno resolviendo un eslabón distinto. Pero la aparición de modelos de IA de vanguardia está haciendo que estas capacidades comiencen a concentrarse en la capa de modelos de propósito general.

Esto trae dos consecuencias.

En primer lugar, las capacidades de seguridad pueden “modelizarse como un modelo base”. Modelos como Claude o GPT no necesariamente reemplazarán a los productos de seguridad especializados, pero absorberán parte del trabajo de análisis de alta frecuencia, estandarizado y reutilizable.

En segundo lugar, las startups de seguridad deben redefinir su diferenciación. La competencia futura no será solo “quién tiene la base de datos de vulnerabilidades más completa”, sino quién puede conectar las capacidades del modelo con el entorno empresarial, los límites de cumplimiento normativo, los flujos de respuesta ante incidentes y escenarios de validación reales. En otras palabras, si una startup no cuenta con un circuito cerrado de datos y una integración en el flujo de trabajo, es muy fácil que quede desplazada por la plataforma de modelos.

Para las empresas, no es una cuestión de pruebas piloto, sino de gobernanza

Muchas empresas verán las herramientas de seguridad de IA de vanguardia como un piloto opcional: dárselas al equipo rojo para probarlas, dejar que el equipo de seguridad las ejecute primero y observar los resultados en un entorno limitado. Pero esta forma de pensar subestima la profundidad del cambio. La entrada de la IA en el descubrimiento de vulnerabilidades y en las operaciones de seguridad implica que las empresas deben rediseñar su marco de gobernanza: quién puede acceder al modelo, cómo se aíslan los datos, cómo se verifican los resultados generados, quién asume la responsabilidad por falsos positivos y falsos negativos, y si las sugerencias del modelo pueden entrar directamente en el flujo de reparación en producción.

En esencia, este tipo de cuestiones ya excede el ámbito de la compra de herramientas y entra en el terreno de la gobernanza técnica y la asignación de responsabilidades. Especialmente en finanzas, infraestructuras críticas y grandes entornos en la nube, una vez que la salida del modelo entra en la cadena de decisiones de seguridad, surgen nuevos requisitos de cumplimiento y auditoría.

La tendencia más amplia: la IA convierte la “seguridad” en una carrera de infraestructuras

Desde la perspectiva de la competencia tecnológica global, la difusión de este tipo de modelos de seguridad de vanguardia no es solo una actualización del software empresarial, sino una carrera conjunta de potencia de cálculo, modelos, datos y procesos de seguridad. Quien consiga integrar antes la IA en el descubrimiento de vulnerabilidades, la revisión de código, la gestión de identidades y la automatización de respuestas, tendrá más probabilidades de obtener ventaja en la curva futura de costes de seguridad.

Al mismo tiempo, las capacidades de seguridad con IA repercutirán a su vez en los mercados de computación en la nube, chips y software empresarial. Los modelos más complejos implican mayores necesidades de inferencia, un mayor coste computacional y un mayor acoplamiento a la infraestructura; y, una vez que estas capacidades se conviertan en la norma de la seguridad empresarial, los proveedores de modelos dejarán de ser solo vendedores de la capa de aplicación y pasarán a integrarse más profundamente en el núcleo de la pila tecnológica empresarial.Esta es también la razón por la que la expresión “son of Mythos” tiene un significado simbólico: no apunta a un producto concreto, sino al umbral de un nuevo orden. En ese orden, la ofensiva y la defensa ya no son un enfrentamiento entre humanos y herramientas, sino una competencia continua impulsada por modelos. Para las empresas, la cuestión ya no es si deben o no usar IA, sino cómo, antes de que lleguen atacantes armados con IA, elevar su propio sistema de defensa al mismo ritmo.

Conclusión

La IA de vanguardia está empujando la ciberseguridad, de un sector centrado en la experiencia y las reglas, hacia uno centrado en los modelos, la capacidad de cómputo y la validación continua. Los movimientos de Anthropic y OpenAI son solo el comienzo. Lo que realmente merece atención no es si un modelo determinado es más potente, sino si los supuestos básicos de la industria de la seguridad siguen siendo válidos.

Si la detección de vulnerabilidades, la construcción de cadenas de ataque y la verificación de seguridad empiezan a acelerarse con IA, entonces lo que empresas, reguladores y proveedores de servicios de seguridad tendrán enfrente no serán “más amenazas”, sino una “realidad más rápida”. En ese entorno, lo que queda rezagado no son las herramientas, sino la comprensión de la velocidad por parte de las organizaciones.

Descripción SEO La IA de vanguardia está entrando en los eslabones centrales de la detección de vulnerabilidades y las operaciones de seguridad. Este artículo analiza Anthropic Mythos, las herramientas Cyber de OpenAI, la automatización de cadenas de ataque, la actualización defensiva de las empresas y la reconfiguración de la industria de la ciberseguridad, y examina cómo la IA está cambiando la gestión de vulnerabilidades, las pruebas red team, la gobernanza del cumplimiento y la competencia tecnológica global.

URL de la fuente de información https://www.csoonline.com/article/4180920/beware-the-son-of-mythos-security-experts-warn.html