La IA pone fin a la «seguridad basada en la opacidad»

La antigua idea de «si nadie sabe cómo está hecho un sistema, entonces es difícil vulnerarlo» pierde rápidamente su último sentido práctico. Los agentes modernos de IA han aprendido a desentrañar código desconocido, componentes cerrados, firmware y protocolos raros tan deprisa que el secreto de la arquitectura ya no ofrece la ventaja que antes tenían los defensores.

Este enfoque se conoce como «seguridad por oscuridad». El desarrollador no elimina la vulnerabilidad, sino que confía en que el atacante no entenderá el funcionamiento interno del producto, no encontrará una función no documentada o no descifrará un protocolo inusual. Tal barrera nunca se consideró una protección fiable; sin embargo, la complejidad de la ingeniería inversa realmente podía durante años mantener a algunos sistemas fuera del radar de los ataques masivos.

La IA reduce rápidamente el margen de tiempo. Los sistemas basados en agentes encuentran fallos en bibliotecas y componentes antiguos que los especialistas habían revisado durante años. La magnitud del cambio se ve bien en el paquete de actualizaciones de septiembre de Microsoft, cuando la compañía cerró la cifra récord de 966 vulnerabilidades. Entre las tecnologías afectadas vuelven a aparecer componentes y mecanismos de red creados hace décadas y que llevaban tiempo fuera del centro de atención.

La carrera cambia aún más después de la publicación de un parche. Anthropic comprobó cuán rápido la IA podría comparar archivos binarios vulnerables y actualizados de Windows. El modelo experimental Mythos Preview preparó prototipos funcionales para 18 de las 21 vulnerabilidades verificadas en menos de seis horas, y para ocho fallos construyó cadenas completas de escalada de privilegios. La habitual brecha de parches, que antes podía dar a los administradores días o semanas, empieza a medirse en horas.

Las consecuencias más preocupantes afectan a la infraestructura industrial. Protocolos cerrados, controladores propietarios y conocimientos de ingeniería poco comunes crearon durante mucho tiempo una barrera natural de entrada. En agosto, agencias estadounidenses ya advirtieron sobre ataques a controladores Siemens de la serie S7, para los cuales los atacantes emplearon escenarios generados con IA y bibliotecas abiertas de automatización industrial.

Para el atacante resulta mucho menos importante conocer de antemano el stack tecnológico concreto. La IA puede explicar la estructura de una aplicación, ayudar a comprender el sistema operativo, descompilar un binario, analizar el firmware y sugerir la finalidad de un protocolo poco conocido. Una competencia rara que antes existía en un pequeño grupo de especialistas se convierte gradualmente en una herramienta disponible bajo demanda.

La defensa se está automatizando mucho peor hasta ahora. El equipo de 1Password generó 6080 variantes de correcciones para seis vulnerabilidades complejas recientemente divulgadas. Solo el 26 % eliminaban completamente el problema sin cambiar de forma significativa el comportamiento del programa, mientras que el 53,9 % no cerraban la brecha, añadían una vulnerabilidad nueva o combinaban ambos errores. Surge una asimetría desagradable: la IA ya sabe acelerar de forma radical la búsqueda de fallos, pero aún no ha aprendido a reparar de manera fiable lo encontrado.

La principal conclusión del análisis de la nueva realidad no es que la IA haya convertido de repente el viejo principio en algo intrínsecamente malo. La oscuridad nunca reemplazó una protección completa. Las redes neuronales solo destruyen el obstáculo práctico que, en ocasiones, mantenía durante años a los atacantes a distancia: una arquitectura poco conocida, un protocolo raro o documentación cerrada.

Diseñar sistemas ahora debe hacerse con la suposición contraria: un atacante potencial puede comprender rápidamente el funcionamiento interno del producto. La protección real debe basarse en autenticación, segmentación de redes, privilegios mínimos, arquitectura segura y la rápida corrección de vulnerabilidades, no en la esperanza de que nadie piense en mirar dentro.

Qué tan bajo se ha vuelto el umbral de la ingeniería inversa lo mostró el experimento de Positive Technologies. Un modelo de lenguaje pudo reconstruir una aplicación Android en unos minutos y con un coste mínimo, conservando su operatividad tras los cambios realizados.

Un efecto similar alcanzó al nivel de los firmware. El propietario de un portátil HP, con la ayuda de Claude Code, analizó el BIOS, encontró un mecanismo de protección contra modificaciones y desbloqueó 55 ajustes ocultos, utilizando el conjunto estándar de herramientas de análisis UEFI y código máquina.

El aumento de la velocidad en la búsqueda de errores ya se refleja también en los desarrolladores. En verano, agentes autónomos encontraron decenas de problemas previamente desconocidos en grandes proyectos, y el número de correcciones creció tan deprisa que el flujo de vulnerabilidades empezó a convertirse en un problema aparte para los equipos que tienen que verificar los hallazgos y publicar actualizaciones.