El paso de los recuentos de CVE a la gestión de vulnerabilidades basada en el riesgo en la era de la IA

La inteligencia artificial está reduciendo rápidamente la ventana entre el descubrimiento de una vulnerabilidad y su explotación activa, forzando un cambio fundamental en cómo los equipos de ingeniería gestionan la deuda de seguridad. A medida que el volumen de software se expande y la automatización de ataques mejora, el seguimiento tradicional basado en hojas de cálculo de las Common Vulnerabilities and Exposures (CVE) ya no ofrece una imagen precisa del riesgo organizacional.

Qué ha ocurrido

El modelo tradicional de gestión de vulnerabilidades ha permanecido prácticamente inalterado durante años: escanear código, identificar CVEs, asignar puntuaciones de severidad mediante el Common Vulnerability Scoring System (CVSS) y entregar la lista a los desarrolladores para su remediación. Este enfoque asumía que la severidad técnica correlacionaba directamente con el riesgo empresarial. Sin embargo, el panorama actual revela una brecha creciente entre el número de vulnerabilidades que los equipos de seguridad pueden identificar y el número que pueden investigar y corregir significativamente.

Esta brecha se amplía porque la IA está acelerando tanto la producción de software como la sofisticación de los ataques. Aunque la densidad de vulnerabilidades por línea de código podría disminuir, el sheer volumen de software generado aumenta la exposición general. Simultáneamente, los atacantes utilizan la IA para automatizar tareas que antes requerían un esfuerzo manual significativo, combinando vulnerabilidades de formas impredecibles para crear nuevas rutas de ataque. El resultado es que las organizaciones se ahogan en datos pero carecen de contexto, lo que lleva a lo que algunos expertos llaman "teatro de CVE", donde los equipos miden actividad en lugar de una reducción real del riesgo.

El problema central es que una CVE indica que existe una falla identificada públicamente, pero no señala si esa falla es explotable en un entorno específico. Dos organizaciones pueden tener la misma CVE, pero si una tiene el componente vulnerable detrás de múltiples capas de seguridad sin exposición externa, mientras que la otra lo ejecuta en una aplicación de producción expuesta a Internet, sus perfiles de riesgo son muy diferentes. Tratarlas por igual desperdicia recursos de ingeniería en elementos de bajo riesgo mientras deja exposiciones críticas sin abordar.

Cómo funciona

Para cerrar esta brecha, los programas de seguridad deben pasar de la puntuación estática de severidad a una evaluación de riesgo contextual y continua. Esto comienza reduciendo la huella de vulnerabilidad antes del despliegue mediante el uso de imágenes base endurecidas y bibliotecas de lenguaje curadas. El código propio se protege mediante Static Application Security Testing (SAST) y escaneo asistido por IA, mientras que las debilidades de configuración se abordan utilizando marcos como Security Technical Implementation Guides (STIGs). Estas listas de verificación automatizadas identifican problemas como privilegios excesivos o autenticación débil, que pueden ser tan peligrosos como las vulnerabilidades de código.

Crucialmente, el foco cambia hacia el escaneo de lo que realmente se está ejecutando en producción, ya que los registros y repositorios solo reflejan el riesgo percibido. Los entornos de producción cambian constantemente, por lo que se requiere visibilidad continua. Las herramientas realizan análisis de alcanzabilidad para determinar si una ruta de código vulnerable se ejecuta realmente y si el sistema es accesible externamente. Este contexto ambiental permite a los equipos distinguir entre vulnerabilidades teóricas y aquellas que presentan amenazas inmediatas y accionables.

Finalmente, las prioridades de remediación se establecen combinando señales de inteligencia de amenazas, como el catálogo Known Exploited Vulnerabilities de CISA y el Exploit Prediction Scoring System (EPSS), con datos de exposición en producción. Esto crea un modelo dinámico que responde qué vulnerabilidad debe corregirse primero, en este entorno específico y por qué, en lugar de depender de una lista estática ordenada por puntuación CVSS.

Detalles clave

• La IA acelera el desarrollo de exploits, reduciendo el tiempo entre la divulgación de la vulnerabilidad y el ataque activo.
• Las puntuaciones CVSS miden la severidad técnica pero no tienen en cuenta la exposición ambiental ni la probabilidad de explotación.
• El "teatro de CVE" ocurre cuando los equipos priorizan cerrar grandes volúmenes de hallazgos sin reducir el riesgo consecuente.
• El escaneo de producción proporciona la fuente de verdad sobre lo que realmente está desplegado y en ejecución.
• El análisis de alcanzabilidad determina si las rutas de código vulnerable se ejecutan y si los sistemas son accesibles externamente.
• Fuentes de inteligencia de amenazas como KEV y EPSS ayudan a estimar la probabilidad de explotación dentro de un plazo determinado.

Por qué importa

Para los ingenieros de software y líderes técnicos, este cambio significa alejarse de la remediación reactiva basada en volumen hacia un enfoque más estratégico y basado en el riesgo. El viejo modelo de entregar a los desarrolladores una hoja de cálculo con miles de CVEs es insostenible en un panorama de amenazas impulsado por la IA. Conduce a la fatiga de alertas y a recursos mal asignados, donde los errores críticos quedan sepultados bajo el ruido. Al centrarse en el contexto, los equipos pueden reducir la carga cognitiva de los desarrolladores y asegurar que los esfuerzos de remediación apunten a las fallas que realmente importan al negocio.

Además, este enfoque alinea los objetivos de seguridad con la realidad operativa. Comprender qué puertas están abiertas, cuáles puede alcanzar un atacante y cuáles conducen a activos críticos permite una mejor toma de decisiones. Transforma la seguridad de un cuello de botella a un proceso de mejora continua. Como señala Russ Andersson, "Necesitamos saber qué puertas están abiertas, cuáles puede alcanzar un atacante, cuáles llevan a algún lugar importante y cuáles representan el mayor riesgo ahora mismo".

Qué puedes hacer

• Reemplaza la priorización estática basada en CVSS con modelos de riesgo que incluyan datos de exposición en producción y alcanzabilidad.
• Implementa el escaneo continuo de producción para mantener la visibilidad sobre lo que realmente se está ejecutando en tu entorno.
• Utiliza imágenes base endurecidas y bibliotecas curadas para reducir la huella inicial de vulnerabilidad de las aplicaciones.
• Integra feeds de inteligencia de amenazas como CISA KEV y EPSS para medir la probabilidad de explotación activa.
• Automatiza las comprobaciones de configuración utilizando STIGs para identificar y remediar debilidades de seguridad en ajustes y privilegios.
• Establece disciplina temporal definiendo ventanas de remediación diferentes para las vulnerabilidades según su nivel de riesgo en el mundo real.