Análisis de descubrimiento de vulnerabilidades con IA: comprobación de velocidad de VulnCheck

El robot cazador de errores no necesariamente está derribando la puerta. Puede que solo esté tocando el timbre de gestión de vulnerabilidades hasta que se agote la batería. Patrick Garrity, de VulnCheck, informa de un fuerte aumento en el volumen de divulgación de CVE entre los principales proveedores de software, exactamente el tipo de gráfico que hace que los equipos de seguridad abran en silencio un segundo café. Lo interesante es lo que los datos aún no prueban: que las fallas descubiertas por IA se estén explotando más rápido que las tradicionales. Esa distinción importa porque el discurso sobre seguridad de IA tiene la sutileza de un soplador de hojas en una biblioteca. El volumen de descubrimientos y la velocidad de explotación están relacionados, pero no son la misma máquina. Uno llena la cola. El otro determina si la cola se prende fuego.

VulnCheck: la manguera de

CVE se hidrató de forma sospechosa VulnCheck informa que los volúmenes de divulgación de CVE han subido con fuerza en lo que va del año entre varios proveedores, incluidos Chrome con +563,2%, VMware con +180,9%, Apache con +170,3%, Mozilla con +156,9%, HPE con +132,3% y F5 con +113,8%. VulnCheck también dice que la emisión de CVE en GitHub subió +476,07% en lo que va del año, y GitHub indica que el aumento está repartido entre muchos informantes y proyectos, en lugar de concentrarse en una sola fuente. Esa es una pista importante, porque el patrón se parece menos a un heroico duende de los bugs y más a un efecto amplio de herramientas.

VulnCheck es cuidadoso con la causalidad, algo refrescante en una industria donde una tostadora puede recibir la etiqueta de agéntica si tiene un archivo YAML. La firma dice que los aumentos son coherentes con un uso más amplio del descubrimiento de vulnerabilidades asistido por IA, pero la señal todavía está emergiendo y no todos los aumentos pueden atribuirse directamente a la IA. También señala ejemplos públicos de Mozilla, Microsoft, Apache, Curl y Palo Alto donde se están usando modelos de IA para encontrar, validar o clasificar vulnerabilidades, con resultados mixtos según el proyecto.

La conclusión práctica no es que la máquina se haya convertido en un auditor perfecto. Es que el costo marginal de hurgar en el código está bajando, y la cantidad de hurgadas parece estar subiendo. Piénsalo como fuzzing con un analista junior que nunca duerme, alucina de vez en cuando y todavía necesita que alguien con más experiencia pregunte, con educación, si el hallazgo se puede reproducir.

Cloud Security Alliance: la automatización de exploits es real, pero no mezcles

los cubos La Cloud Security Alliance sostiene en su documento de la AI Safety Initiative que la ventana general de explotación se está comprimiendo. Según la CSA, el tiempo medio hasta la explotación de una vulnerabilidad divulgada cayó de aproximadamente 32 días en 2022 a cerca de 5 días para la actividad de explotación de 2023, y los datos de 2025 mostraron que el 32,1% de los exploits recién rastreados aparecieron en la fecha de divulgación pública del CVE o antes. La CSA también dice que los sistemas de IA pueden generar código de exploit de prueba de concepto funcional para CVE publicados en tan solo 10 a 15 minutos, a aproximadamente un dólar por intento.

Son afirmaciones serias, y los defensores no deberían archivarlas como lectura para antes de dormir, a menos que disfruten dormir como un clúster de Kubernetes durante una caída regional. Pero responden a una pregunta distinta de la del análisis de volumen de divulgación de VulnCheck. La CSA describe una presión amplia de weaponization alrededor de CVE publicados, mientras que VulnCheck señala un aumento en los volúmenes de divulgación coherente con el descubrimiento asistido por IA. Probar que las fallas descubiertas por IA se desplazan por sí mismas hacia la explotación más rápido requiere telemetría consciente de la procedencia que separe con claridad cómo se encontró un bug de cómo se comportaron después los atacantes.

El ejemplo de CVE-Genie de la CSA hace que el punto sea más claro. El documento dice que el marco multiagente reprodujo el 51% de todos los CVE publicados en 2024 y 2025 con exploits verificables, a un costo promedio de 2,77 dólares por CVE. Eso sugiere que la validación de exploits puede abaratarse, pero aun así no significa automáticamente que cada bug encontrado por IA se convierta en una intrusión real más rápida. La automatización puede acelerar el laboratorio sin redibujar el mapa de la calle.

VulnCheck y la

CSA juntos apuntan a un problema de clasificación

Lee VulnCheck y la CSA uno junto al otro, y la lección para los defensores es casi molestamente práctica: el primer impacto de la IA puede ser la inflación del backlog, mientras que la historia de velocidad sigue siendo desigual y dependiente del contexto. VulnCheck dice explícitamente que está menos claro si los aumentos en el volumen de divulgación se mantendrán o si se trata de un pico temporal mientras los modelos de IA de frontera se aplican a distinto código. Esa incertidumbre no es un encogimiento de hombros. Es un dato para planificar.

Los equipos de seguridad deberían tratar los hallazgos asistidos por IA como cualquier otra fuente de señales de alto volumen: exigir reproducibilidad, mapear hallazgos a activos expuestos, verificar la explotabilidad y priorizar según el radio de impacto operativo. Si un informe carece de una reproducción funcional, claridad sobre las versiones afectadas o una ruta creíble hacia el impacto, no debería superar en prioridad a un problema aburrido pero conocido y explotado solo porque una IA llevaba bata de laboratorio al encontrarlo. El modelo es un detector de metales, no un juez.

Los datos de compresión de la CSA siguen defendiendo ciclos de decisión de parches más rápidos, especialmente una vez que un CVE es público y el código de exploit se vuelve barato de probar. Pero los datos de VulnCheck desaconsejan ordenar por pánico cada CVE tocado por IA en la parte superior del montón. La postura sensata es una clasificación consciente de la procedencia: registrar si la IA ayudó a encontrar, validar o clasificar el bug, pero tomar la decisión de parcheo según la exposición, la evidencia de explotación, los activos afectados y la confianza.

Qué observar a continuación

La próxima señal útil no será otro comunicado de prensa afirmando que el robot encontró un bug. Serán conjuntos de datos que conecten procedencia del descubrimiento, calidad de la divulgación, disponibilidad de exploits y momento de explotación real. Si el descubrimiento asistido por IA sigue elevando el volumen de CVE sin un aumento correspondiente y medible en la velocidad de explotación de esas mismas fallas, los defensores necesitarán mejor automatización de entrada más que sirenas más ruidosas.

Para los constructores, esto es una invitación a hacer que la gestión de vulnerabilidades sea menos teatral y más medible. Agrega campos para el método de descubrimiento. Rastrea falsos positivos. Separa la validación de la explotabilidad. La pila de bugs se está haciendo más alta, pero la respuesta no es adorar la pila. Es construir una pala mejor, preferiblemente una que no alucine una calificación de severidad crítica porque el nombre de una función sonaba picante.