La IA ha cambiado el problema de la exposición. La validación debe cambiar a la par.

Actualmente existe mucho ruido en torno a la IA y la ciberseguridad. Sin embargo, lo verdaderamente importante es mucho más sencillo, aunque a menudo pase desapercibido entre tanto alboroto. El descubrimiento de vulnerabilidades es cada vez más rápido y se produce a una escala mucho mayor, mientras que los equipos de defensa aún deben determinar qué hallazgos requieren realmente su intervención.

En el primer semestre de 2026 se publicaron nada menos que 35.853 CVE, aproximadamente un 49 % más que el año anterior. No obstante, solo 495 se catalogaron como explotadas en entornos reales durante ese mismo periodo, y 116 ya estaban siendo objeto de ataques el mismo día de su divulgación. Por otro lado, los datos de divulgación de la propia Anthropic revelan que los modelos de clase Mythos identificaron 26.153 posibles vulnerabilidades en software de código abierto, de las cuales solo 421 recibieron un parche en el proyecto original (upstream).

Ese pequeño subconjunto de vulnerabilidades explotadas es un aspecto clave. Indica a los equipos de defensa que tratar como una emergencia cualquier vulnerabilidad con una puntuación CVSS alta o crítica no solo es imposible, sino que constituye un enfoque erróneo. La tarea crítica a la que se enfrentan los equipos de seguridad consiste en decidir qué exposiciones y en qué activos requieren una actuación inmediata, especialmente a medida que aumenta el número de hallazgos y se reduce el margen de tiempo entre la divulgación y la explotación.