Durante años, las organizaciones han utilizado herramientas como CVSS para clasificar vulnerabilidades y decidir cuáles deben atenderse primero. Una vulnerabilidad crítica recibe atención inmediata; una de baja severidad puede quedar en la lista de pendientes.
Pero la inteligencia artificial está cambiando esta lógica.
El problema ya no es solamente qué tan grave es una vulnerabilidad individual, sino qué puede hacer un atacante al combinarla con otras debilidades dentro de una infraestructura.
Un artículo reciente de GovInsider, publicado con participación de Palo Alto Networks, advierte precisamente sobre este cambio: los agentes de IA pueden analizar múltiples debilidades, identificar relaciones entre sistemas y construir rutas de ataque que un análisis tradicional, centrado en vulnerabilidades individuales, podría pasar por alto.
De una vulnerabilidad aislada a una cadena de ataque
Imaginemos una organización con tres problemas:
- Una aplicación web con una vulnerabilidad de baja severidad.
- Un servidor interno con una configuración incorrecta.
- Una cuenta de servicio con permisos excesivos.
Analizados individualmente, ninguno necesariamente representa una emergencia.
Pero un atacante podría utilizarlos de manera secuencial:
Vulnerabilidad → acceso inicial → escalamiento → movimiento lateral → acceso a información crítica.
Ese cambio conceptual es fundamental.
El riesgo no necesariamente está en la vulnerabilidad. Está en la ruta que esa vulnerabilidad puede abrir.
GovInsider señala que los agentes de IA pueden trabajar de manera continua, buscando conexiones entre debilidades y probando diferentes caminos hacia un objetivo. A diferencia de un atacante humano, un agente puede operar potencialmente 24/7, manteniendo el mismo objetivo y analizando grandes cantidades de contexto.
La IA está cambiando la velocidad del atacante
Y aquí aparece una de las transformaciones más importantes de la ciberseguridad actual: machine speed.
Durante mucho tiempo, la defensa podía apoyarse parcialmente en una ventaja humana: encontrar, analizar y explotar vulnerabilidades requería tiempo, conocimientos especializados y trabajo manual.
La IA reduce esas barreras.
Un dato resulta especialmente revelador: durante el primer semestre de 2026, VulnCheck identificó 1,061 vulnerabilidades atribuidas a descubrimiento asistido por IA. De ellas, 14 —el 1.3%— habían sido confirmadas como explotadas en la naturaleza.
Este dato también nos obliga a evitar el alarmismo: no significa que la IA haya convertido automáticamente cada vulnerabilidad en una amenaza explotable.
Pero sí demuestra que la capacidad de descubrir vulnerabilidades está creciendo rápidamente.
Y eso cambia el equilibrio entre atacantes y defensores.
48,185 vulnerabilidades en un solo año
El volumen del problema también está creciendo.
Durante 2025 se publicaron 48,185 CVEs, un récord histórico. Edgescan señala además que más del 20% de las vulnerabilidades descubiertas en sistemas expuestos a Internet fueron clasificadas como críticas o altas.
Y existe otro problema: remediar vulnerabilidades no ocurre a la misma velocidad con la que se descubren.
Para vulnerabilidades de severidad alta o crítica en aplicaciones y APIs, Edgescan reportó un MTTR promedio de 54.81 días. En dispositivos y redes, el promedio fue de 39 días.
En organizaciones grandes —con más de 1,000 empleados— 37% de las vulnerabilidades identificadas durante un periodo de 12 meses permanecieron sin resolver.
Esto genera una situación preocupante:
La organización descubre vulnerabilidades más rápido de lo que puede corregirlas.
Y ahora debemos agregar un nuevo elemento:
Los atacantes también pueden analizarlas más rápido.
El problema no es solamente cuántas vulnerabilidades tienes
Aquí está, en nuestra opinión, el cambio más importante que deben adoptar las organizaciones.
La pregunta tradicional es:
¿Cuáles son nuestras vulnerabilidades más críticas?
La pregunta que debemos comenzar a hacer es:
¿Qué rutas puede utilizar un atacante para llegar a nuestros activos más críticos?
Esto implica pasar de un modelo de Vulnerability Management tradicional hacia un modelo de Exposure Management / Continuous Threat Exposure Management (CTEM).
La diferencia es importante.
| Enfoque tradicional | Nuevo enfoque |
|---|---|
| ¿Qué vulnerabilidades tenemos? | ¿Qué rutas de ataque existen? |
| CVSS | Riesgo contextual |
| Priorizar por severidad | Priorizar por explotabilidad e impacto |
| Analizar activos individualmente | Analizar relaciones entre activos |
| Parchar vulnerabilidades | Reducir exposición |
| Detectar incidentes aislados | Detectar campañas |
| Seguridad interna | Seguridad del ecosistema |
La propia recomendación de GovInsider apunta en esta dirección: comprender las rutas que podrían llevar desde una debilidad aparentemente menor hasta sistemas de alto valor y, cuando no sea posible corregir inmediatamente una vulnerabilidad, romper la ruta de ataque mediante aislamiento, segmentación, controles compensatorios o virtual patching.
Y hay otro problema: las vulnerabilidades no viven solas
Una organización puede tener controles de seguridad razonables y, aun así, permanecer expuesta.
¿Por qué?
Porque su infraestructura depende de terceros.
Proveedores tecnológicos.
Cloud.
SaaS.
APIs.
Partners.
Proveedores de software.
Cadena de suministro.
Sistemas heredados.
Dispositivos IoT.
Y ahora también agentes de IA.
GovInsider plantea precisamente este riesgo: una organización puede proteger correctamente sus propios sistemas y continuar expuesta a través de un sistema conectado que tenga una postura de seguridad considerablemente más débil.
Por eso la ciberseguridad moderna debe comenzar a analizar el ecosistema completo, no solamente el perímetro de una organización.
La IA también está entrando al ecosistema que debemos proteger
Existe una paradoja interesante.
La IA está ayudando a encontrar vulnerabilidades.
Pero los propios sistemas de IA se están convirtiendo en una nueva superficie de ataque.
Durante el primer semestre de 2026, VulnCheck identificó vulnerabilidades explotadas en productos relacionados con:
- construcción de modelos;
- AI gateways;
- agentes de IA;
- automatización de workflows;
- plataformas de escalamiento de cargas de trabajo.
En algunos casos, estos sistemas manejaban información corporativa sensible y privilegios importantes, lo que los convierte en objetivos particularmente atractivos.
Esto significa que las organizaciones necesitan comenzar a preguntarse:
¿Estamos protegiendo nuestra infraestructura de IA con el mismo nivel de rigor con el que protegemos nuestros servidores, aplicaciones y redes?
No todo es “apocalipsis de la IA”
Hay que ser rigurosos.
Los datos disponibles hasta ahora no demuestran que las vulnerabilidades descubiertas mediante IA sean intrínsecamente más explotables.
VulnCheck analizó 1,061 vulnerabilidades asociadas con descubrimiento asistido por IA y solamente 14 —1.3%— tenían evidencia confirmada de explotación en la naturaleza.
Por otro lado, el volumen de descubrimientos sí está aumentando significativamente.
Entre enero y el 27 de julio de 2026 se habían registrado 45,207 vulnerabilidades en la National Vulnerability Database, acercándose al total de todo 2025. Oracle llegó a corregir 1,449 vulnerabilidades en una sola actualización mensual, mientras Microsoft reportó 642 vulnerabilidades en julio.
Por tanto, el problema inmediato no es necesariamente: La IA va a explotar todas nuestras vulnerabilidades.
El problema real es: La IA está aumentando la velocidad y escala con la que pueden descubrirse, analizarse y eventualmente encadenarse vulnerabilidades.
Y nuestras organizaciones todavía tienen procesos de gestión de riesgos diseñados, en muchos casos, para una velocidad humana.
¿Qué deberían hacer las organizaciones?
En nuestra experiencia, la estrategia debe evolucionar en cinco dimensiones:
1. De CVSS a riesgo contextual
No basta con preguntar qué puntuación tiene una vulnerabilidad.
Hay que determinar:
¿Dónde está? ¿Qué expone? ¿Qué privilegios permite obtener? ¿Qué sistemas están conectados? ¿Qué información protege?
2. Mapear rutas de ataque
Identificar cómo un atacante podría pasar de un activo aparentemente menor hasta:
- servidores críticos;
- bases de datos;
- sistemas financieros;
- información personal;
- infraestructura operacional;
- sistemas gubernamentales;
- sistemas de IA.
3. Priorizar exposición, no solamente vulnerabilidades
Una vulnerabilidad de severidad media en un activo expuesto a Internet y conectado con sistemas críticos puede representar mayor riesgo que una vulnerabilidad crítica completamente aislada.
4. Implementar controles compensatorios
Cuando no sea posible aplicar inmediatamente un parche:
- segmentación;
- aislamiento;
- virtual patching;
- WAF;
- EDR/XDR;
- controles de acceso;
- reducción de privilegios;
- monitoreo;
- controles de red.
pueden ayudar a romper la cadena de ataque.
5. Detectar campañas, no solamente incidentes
Varios eventos aparentemente independientes pueden formar parte de una misma operación.
La correlación de señales mediante SIEM, XDR, threat intelligence y capacidades de IA puede ayudar a identificar el patrón antes de que el atacante alcance su objetivo.
El nuevo paradigma: Attack Path Management
La lección que nos deja este escenario es sencilla pero profunda:
Una vulnerabilidad de baja severidad puede convertirse en un riesgo crítico cuando forma parte de una ruta de ataque hacia un activo de alto valor.
La IA no necesariamente cambia la severidad técnica de una vulnerabilidad.
Cambia la capacidad del atacante para encontrar relaciones entre ellas.
Y por eso también debemos cambiar nuestra forma de defendernos.
La pregunta ya no debe ser únicamente: ¿Cuántas vulnerabilidades tenemos?
Debe ser: ¿Cuántas rutas de ataque tenemos abiertas y cuáles conducen a nuestros activos más importantes?
¿Tu organización está preparada para la ciberseguridad a velocidad de máquina? 🚨
Ayudamos a organizaciones privadas, instituciones educativas y entidades públicas a evolucionar desde un modelo tradicional de seguridad hacia una estrategia basada en gestión de riesgos, exposición, inteligencia de amenazas y resiliencia cibernética.
Nuestros servicios incluyen:
- CISO as a Service
- Evaluación de postura de ciberseguridad
- Vulnerability & Exposure Management
- Attack Surface Management
- Análisis de rutas de ataque
- Threat Intelligence
- Auditoría de seguridad de la información
- Implementación y evaluación de ISO/IEC 27001
- Estrategias de ciberseguridad para organizaciones y gobierno
- AI Security & AI Governance
- Evaluación de riesgos de sistemas y agentes de IA
No esperes a que una vulnerabilidad “baja” se convierta en una brecha crítica.
👉 Contáctanos para realizar una evaluación de exposición y determinar cuáles son las rutas de ataque que podrían comprometer los activos críticos de tu organización.
Fuentes consultadas
El artículo de GovInsider constituye el punto de partida de este análisis. Los datos fueron contrastados con investigaciones recientes de VulnCheck, Edgescan y reportes sobre el crecimiento de vulnerabilidades durante 2026. En particular, es importante destacar que la evidencia disponible no respalda todavía la afirmación de que las vulnerabilidades descubiertas por IA sean automáticamente más peligrosas, pero sí muestra un crecimiento muy importante en la velocidad y volumen de descubrimiento.
Artículo original de GovInsider: “Why AI is making ‘low-severity’ vulnerabilities more dangerous”