Los equipos de ciberseguridad necesitan más que nunca a la IA: "Para abordar estos ataques, también debemos aprovechar la inteligencia artificial"

El tiempo y la revisión humana siempre han sido 2 factores clave para los equipos de seguridad de todas las organizaciones a nivel mundial, pero el avance imparable de los ciberataques impulsados por inteligencia artificial están cambiando este paradigma. Los equipos no dan abasto con las nuevas capacidades de la IA generativa, con algoritmos que ya son capaces de actuar incluso en apenas segundos de forma totalmente autónoma, como ha ocurrido ya durante los últimos meses. Según el informe de amenazas globales de CrowdStrike, el tiempo medio de intrusión de los ciberdelincuentes se ha reducido a apenas 29 minutos, pero en los casos más extremos los atacantes han sido capaces de tomar el control en tan solo 27 segundos.

En el caso de otras investigaciones de inteligencia, como las llevadas a cabo por el equipo Unit 42 de Palo Alto Networks, también se expresan estas preocupaciones: desde que los atacantes logran acceder a su objetivo, apenas tardan unos 39 segundos en comenzar a exfiltrar toda la información confidencial robada. A esto hay que sumar que los ciberdelincuentes están aprovechando más que nunca la IA a nivel ofensivo, y el uso de este tipo de herramientas se han incrementado un 89% desde el último año, además de que el 82% de las detecciones ya no emplean código malicioso tradicional, sino que explota identidades legítimas o credenciales robadas.

Todo esto ha llevado a que, según los datos más recientes de IBM, 1 de cada 4 brechas de seguridad en grandes empresas estén impulsadas por la IA, con un coste medio por incidente que supera notablemente los 6 millones de dólares.

La mejor defensa ante la IA es la propia IA

La operación JADEPUFFER fue la primera registrada en la que un modelo de lenguaje (LLM) autónomo actuaba íntegramente para colar un ransomware aprovechando una vulnerabilidad para lograr el acceso a toda la red interna.

Este tipo de agente tenía la capacidad para analizar los fallos durante la intrusión, reescribir su propio código y ejecutar correcciones en solo 31 segundos, una velocidad para la que un ser humano jamás estaría preparado y para el que supondría al menos unas decenas de minutos.

Durante otro incidente ocurrido en Tailandia, el Ministerio de Finanzas se enfrentó a Hermes, un agente de IA de código abierto que sirvió para el ciberespionaje contra el país de forma totalmente desatendida e incluso instalando otro agente personalizado bautizado como Hades.

En una entrevista con el medio Analytics India Magazine, Jyoti Prakash, responsable de seguridad de Google Cloud India, ha asegurado que "no es fácil tener a un grupo de desarrolladores haciendo un escaneo a diario porque las amenazas y vulnerabilidades avanzan a la velocidad de la máquina".

Principalmente porque los atacantes ya están empleando modelos de IA muy potentes para rastrear vulnerabilidades y comenzar con las intrusiones en tiempo récord, por lo que única solución sería utilizar la misma herramienta a nivel defensivo.

"Para abordar y gestionar este tipo de ataques, también es necesario aprovechar la IA", ha asegurado el responsable de Google. "La seguridad ya no puede tratarse como una capa independiente añadida después del despliegue".

Dentro de la multinacional, a nivel de seguridad defensiva, han desarrollado diferentes herramienta de análisis preventivo para tratar de frenar este tipo de ataques, como son Big Sleep y CodeMender, que están especializadas en rastrear vulnerabilidades en el código fuente antes de que los programas salgan a producción.

Aunque esto no solucionaría en ningún caso las exfiltraciones tan veloces que se han dado en segundos, por lo que una solución más factible se daría con lo que se conocen como agentes SOC –los de los centros de operaciones de seguridad–, capaces de adelantar en velocidad a equipos humanos que tendrían que correlacionar los registros, verificar si un ataque es real o un falso positivo, etc., lo que podría llevar al menos 30 minutos.

El agente de este tipo de Google, que está basado en el modelo de Gemini, es capaz de reducir el tiempo de análisis manual desde los 30 minutos hasta apenas 1 minuto, lo que ha llevado a otras grandes compañías a adoptar este tipo de agentes para asegurar sus infraestructuras.

Estos agentes autónomos de defensa también tienen riesgos

Por supuesto, estos mismos agentes autónomos también pueden convertirse en un arma de doble filo, como ocurrió también con un modelo Gemini durante las propias pruebas de seguridad de su propia compañía.

Debido a una mala configuración en un entorno controlado, el propio modelo fue capaz de salir del entorno virtual aislado e interactuar con los sistemas de 3 compañías reales, incluso llegando a adivinar contraseñas mediante fuerza bruta y usando claves expuestas en repositorio públicos.

Afortunadamente, el modelo identificó que estas se trataban de empresas reales y detuvo por su propia cuenta todas las acciones que había comenzado. Si esto ocurre en un entorno controlado de pruebas, imagina todo lo que puede suceder sin este tipo de controles.

Con el avance de los años, numerosas empresas de sectores tan críticos como las finanzas, la energía o las telecomunicaciones han elegido a agentes de IA para realizar ciertas automatizaciones.

Estos mismos tienen acceso importante a credenciales, claves API y privilegios de red que, a pesar de que sean vitales, requieren aún de una supervisión humana bajo los principios de confianza cero.

Según el responsable de seguridad de Google, lo más importante es unificar todas las defensa y no fragmentar las herramientas, uniendo la protección del código fuente, la infraestructura en la nube, la seguridad de los dispositivos finales y las operaciones del equipo de seguridad.

Esta es una de las pocas soluciones que la industria tiene si quiere evitar ataques que apenas duran ya segundos y que pueden causar grandes pérdidas.