Puntos clave
- Es probable que Mythos acelere la detección de vulnerabilidades a una escala y velocidad que superen a los flujos de trabajo tradicionales de corrección, que dependen del trabajo humano.
- Los aspectos fundamentales de la seguridad, como la aplicación de parches, las copias de seguridad en sistemas aislados y una gestión rigurosa de las vulnerabilidades, siguen siendo clave, pero es posible que ya no basten por sí solos.
- El principal reto es pasar de la detección a la capacidad de actuar, ahora que el volumen de vulnerabilidades está aumentando hasta superar los límites operativos actuales.
- La resiliencia de la IA depende de la capacidad de recuperar sistemas coherentes —no solo datos— en todos los modelos, flujos de trabajo y permisos.
- Las organizaciones que se adapten de forma proactiva durante esta fase inicial probablemente estarán en una posición mucho mejor que aquellas que tarden en actuar.
Hace unas semanas, me encontraba en una sala con un grupo de CIO y CISO cuando la conversación derivó hacia Mythos y el Proyecto Glasswing. La energía se notó al instante: se trata de personas que han vivido muchos ciclos de expectación, y esto les llamó la atención. Las reacciones se dividieron en dos bandos. Uno: las categorías de amenazas no son nuevas; las organizaciones con una gestión sólida de vulnerabilidades y copias de seguridad aisladas de confianza estarán mejor posicionadas que aquellas que carecen de ellas. Dos: la velocidad es diferente —no solo lo que Mythos puede detectar, sino la rapidez con la que los atacantes podrían aprovechar la IA para lanzar ataques a la velocidad de una máquina, y cómo eso afecta a los cálculos en los que se basan la mayoría de los programas de gestión de vulnerabilidades—. Ambos tenían razón. Por eso merecía la pena escribir sobre esa conversación.
Qué cambia Mythos… y qué no
Mythos es el modelo de IA de Anthropic para la detección autónoma de vulnerabilidades. Es capaz de encontrar y encadenar exploits críticos en los principales sistemas operativos con una tasa de éxito que, según se cree, no tiene precedentes reales en este ámbito.
El Proyecto Glasswing —el consorcio de empresas creado para probar y reforzar sus sistemas antes de que Mythos o tecnologías similares lleguen a manos de los adversarios— es la señal de que esto es real, ya está aquí y de que el margen de tiempo para adelantarnos es escaso. La visión que da prioridad a los fundamentos se mantiene: los parches son importantes, las copias de seguridad prácticamente aisladas son importantes, la disciplina en la gestión de vulnerabilidades es importante. Nada de eso cambia con Mythos. Lo que cambia es el ritmo de producción al otro lado de esos programas. La pregunta que surge tras el caso Glasswing no es si tienes un programa de gestión de vulnerabilidades. Es si está diseñado para hacer frente a hallazgos que llegan poco a poco… o como un tsunami. La mayoría de los programas se diseñaron para el goteo. Evaluaciones periódicas, colas de priorización basadas en CVSS, ciclos de parches y pruebas que se miden en semanas. Esa cadencia tenía sentido cuando el ritmo de los hallazgos se ajustaba al ritmo de los procesos dirigidos por personas. La capacidad de la clase Mythos rompe esa suposición: el volumen de hallazgos explotables puede superar lo que la mayoría de las organizaciones pueden procesar a través de los flujos de trabajo con los que cuentan hoy en día. El problema no es la detección. Es la capacidad de actuar, y lo que ocurre cuando la brecha entre el descubrimiento y la corrección se amplía más rápido de lo que puedes cerrarla.
Cuando la prevención se ve limitada, la resiliencia pasa a primer plano
Cuando los plazos de prevención se acortan, la cuestión de la resiliencia pasa a ser prioritaria. Si no puedes garantizar que vas a aplicar todos los parches antes de que se produzca un ataque —y cada vez es más difícil hacerlo—, las preguntas importantes cambian: ¿Con qué rapidez detectas el problema? ¿Cómo lo contienes? Y, cuando te recuperas, ¿a qué estado concreto vuelves exactamente?
Esta última pregunta es más difícil de lo que parece, especialmente para las organizaciones con interacciones progresivas entre agentes. Un sistema de IA no es solo datos. Es una versión del modelo, un proceso de entrenamiento, una base de datos vectorial, un conjunto de identidades y permisos de los agentes; todo ello debe reflejar el mismo estado operativo para constituir algo en lo que realmente se pueda confiar. La mayoría de las organizaciones pueden restaurar componentes individuales. Muy pocas pueden demostrar que lo que han restaurado tiene sentido.
Recuperar un sistema de IA no es un problema de restauración de datos. Es un problema de coherencia, y la brecha entre ambas cosas es precisamente donde la mayoría de las empresas corren actualmente riesgo. Este es el hilo conductor que vincula a Mythos con el debate más amplio sobre la resiliencia de la IA. No es que Mythos plantee un nuevo tipo de riesgo que requiera un nuevo marco.
Lo que ocurre es que Mythos comprime la línea temporal de tal manera que las brechas existentes salen a la luz más rápidamente, dejando menos margen para solucionarlas antes de que algo salga mal, lo que aumenta la probabilidad de que algo salga mal antes de que una organización pueda corregir adecuadamente las vulnerabilidades.
La ventana está abierta. Pero no va a seguir así.
Glasswing se diseñó para dar ventaja a los defensores. Las organizaciones que aprovechen este margen de maniobra de forma deliberada —poniendo a prueba la capacidad de sus programas de gestión de vulnerabilidades ante grandes volúmenes, llevando su infraestructura de resiliencia basada en IA a un nivel en el que puedan defenderse y considerando la recuperación como algo que debe poder demostrarse antes de que se produzca un incidente, y no como algo que haya que improvisar durante el mismo—, estarán en una posición mucho mejor que aquellas que se limiten a esperar. Los principios básicos siguen siendo los mismos. Lo que es nuevo es la urgencia.
«La empresa proactiva: por qué la resiliencia de la IA exige un sistema de registro» —el último informe de preparación de Commvault— analiza las deficiencias en la infraestructura de resiliencia de la IA que determinan si las organizaciones pueden dar respuesta a las difíciles cuestiones relacionadas con la recuperación cuando el ritmo de las amenazas lo exige.
Preguntas frecuentes
P: ¿Qué es Mythos y por qué es importante?
R: Mythos es un modelo de IA diseñado para la detección autónoma de vulnerabilidades, capaz de identificar y encadenar exploits entre sistemas a una velocidad sin precedentes. Su importancia radica en cómo acorta el tiempo que transcurre entre el descubrimiento de una vulnerabilidad y su posible explotación, lo que aumenta la presión sobre los defensores.
P: ¿Mythos cambia los fundamentos de la ciberseguridad?
R: No, las prácticas básicas como la aplicación de parches, las copias de seguridad y la gestión de vulnerabilidades siguen siendo importantes. Lo que está cambiando es el volumen y la velocidad de las amenazas, lo que ejerce presión sobre los procesos actuales, que se diseñaron para flujos de trabajo más lentos y predecibles.
P: ¿Por qué pueden tener dificultades los programas actuales de gestión de vulnerabilidades?
R: Muchos programas se diseñaron pensando en un flujo constante de hallazgos, no en el aumento repentino que permite el descubrimiento basado en la IA. Por eso, las organizaciones se enfrentan a una brecha cada vez mayor entre la identificación de vulnerabilidades y su corrección efectiva.
P: ¿Qué significa «resiliencia» en el contexto de los sistemas de IA?
R: La resiliencia va más allá de la restauración de datos: implica recuperar todo un sistema de IA en un estado coherente y fiable. Esto incluye que los modelos, los procesos de entrenamiento, las bases de datos vectoriales y los controles de acceso estén todos correctamente alineados.
P: ¿Por qué la recuperación está cobrando más importancia que la prevención?
R: A medida que los plazos de prevención se acortan debido a que los ataques se producen cada vez más rápido, resulta poco realista aplicar todos los parches a tiempo. Esto hace que la atención se centre ahora en la rapidez con la que las organizaciones pueden detectar, contener y recuperarse de los incidentes.
P: ¿Cómo pueden empezar a prepararse las organizaciones?
R: Las organizaciones pueden someter a pruebas de estrés sus procesos de gestión de vulnerabilidades, modernizar su infraestructura de resiliencia y validar sus capacidades de recuperación. Actuar en esta fase temprana supone una ventaja estratégica significativa.
Tim Zonca es vicepresidente de gestión de carteras en Commvault.
