Alex Stamos, director de seguridad de Cognition, advierte que la inteligencia artificial está reduciendo el costo de los ciberataques mientras la defensa sigue siendo cara. En una entrevista con The Verge, el ejecutivo anticipó una etapa difícil para la seguridad digital y planteó que encontrar errores con IA será insuficiente si las organizaciones no pueden corregirlos y vigilar sus sistemas a un costo asumible.
Stamos describió ese periodo como una "edad oscura" de la ciberseguridad, aunque no espera que sea permanente. Su preocupación es que los atacantes puedan usar IA para buscar vulnerabilidades y acelerar partes de sus operaciones contra un volumen de software que las empresas han acumulado durante décadas.
En la conversación con Nilay Patel, publicada el 7 de noviembre, Stamos explicó que detectar fallas en el software es solo una parte de las tareas de un responsable de seguridad. También hay que identificar intrusiones y decidir cómo contenerlas sin interrumpir innecesariamente las operaciones de una empresa.
La entrevista completa está disponible en el canal de Decoder.
Los ataques cambian de escala
Según Stamos, los modelos de IA pueden asumir tareas que antes requerían más tiempo y conocimientos especializados. Eso no significa que todos los ataques estén completamente automatizados: el ejecutivo reconoció que algunas labores todavía requieren habilidades humanas.
Google Threat Intelligence Group también informó en septiembre que había observado a distintos actores usar herramientas con IA para investigar objetivos, validar vulnerabilidades y obtener credenciales. Su informe documenta esos usos; no atribuye a la IA todas las brechas recientes ni demuestra que todos los ataques funcionen sin intervención humana.
Para Stamos, la diferencia de costos es central. Si los atacantes pueden ampliar sus operaciones con herramientas cada vez más accesibles, dice, los defensores necesitan alternativas más económicas para revisar software y responder a las alertas.
La distancia entre encontrar una falla y corregirla
Un experimento de OpenAI ofrece una medida concreta del trabajo que puede automatizarse y de los recursos que todavía exige. La compañía informó el 4 de noviembre que, en una ejecución de octubre, su sistema generó pruebas funcionales para 948 vulnerabilidades distintas de escalamiento de privilegios locales en el núcleo de Linux y preparó propuestas de corrección.
Esas fallas podían permitir que un usuario con acceso local obtuviera privilegios de administrador. No son, por definición, 948 vías de entrada remota. El costo de la ejecución fue de 1,213,430 dólares en créditos de API, según OpenAI. Investigadores humanos revisaron los resultados antes de comunicar los hallazgos a los responsables del núcleo; generar un parche no equivale a que ya esté instalado en todos los sistemas.
Stamos sostiene que el problema alcanza también al código empresarial antiguo, que puede quedar fuera de las revisiones con los modelos más avanzados por su costo. Para él, reducir ese gasto importa tanto como mejorar la capacidad de encontrar fallas.
Hay otra forma de abordar parte del riesgo. Anthropic informó en octubre que usó su modelo Claude para examinar 25 proyectos de código abierto y detectar 493 problemas relacionados con su superficie de ataque. La empresa propone limitar el acceso a funciones que una instalación no necesita: eso puede dificultar que se alcance una vulnerabilidad, aunque no elimine el error que existe en el código.
Pruebas de ataque y límites para los agentes
Stamos defiende que las organizaciones prueben sus propias defensas mediante equipos que simulan ataques autorizados, conocidos como red teams, y con herramientas de IA. A su juicio, esperar a que una falla se use contra la empresa deja la iniciativa a los atacantes.
Pero también advirtió que las pruebas automatizadas sobre sistemas reales pueden provocar problemas y que las empresas deben asumir y administrar ese riesgo. Para la vigilancia diaria propone combinar sistemas de detección menos costosos con modelos de IA que ayuden a investigar las alertas más relevantes.
El ejecutivo dijo que las acciones defensivas automáticas necesitan límites y supervisión humana. Puso como ejemplo restringir el número de cuentas que un sistema puede desactivar antes de pedir una autorización, para evitar que una respuesta equivocada termine afectando a toda la empresa.
Cognition, donde Stamos dirige la seguridad, también tiene interés comercial en esa automatización: la empresa presentó en octubre una actualización de Devin Security para identificar, priorizar y preparar correcciones de vulnerabilidades. Stamos llegó a la compañía en septiembre con funciones que incluyen tanto protegerla como contribuir al desarrollo de productos de seguridad.
Gerardo Pavez
El caso de Linux muestra la distancia entre producir una corrección candidata y conseguir que llegue, revisada, a los sistemas que la necesitan. La advertencia de Stamos es que esa brecha de tiempo y costo seguirá importando incluso si la IA acelera la búsqueda de errores.
