CERT In exige parches en 12 horas ante vulnerabilidades expuestas a internet por IA

La agencia india de respuesta a incidentes, CERT-In, ha sacudido el calendario de los equipos de seguridad con una exigencia práctica: las vulnerabilidades críticas que expongan servicios a internet deben parchearse en plazos extremadamente cortos, en muchos casos en 12 horas cuando sea factible. Esta medida responde a una realidad emergente y preocupante: los actores maliciosos ya están aprovechando herramientas de inteligencia artificial y modelos de lenguaje para automatizar la búsqueda, el análisis y la explotación de fallos, reduciendo de forma drástica el tiempo entre la detección de una vulnerabilidad y su abuso efectivo.

El impacto de la IA en la ciberseguridad es doble. Por un lado, las mismas capacidades que ayudan a desarrolladores y administradores —automatización de pruebas, análisis de código, generación de pruebas— pueden ser reutilizadas por atacantes para escanear superficies de ataque, generar exploits, crear correos de phishing convincentes o incluso desarrollar malware a medida. Por otro lado, los propios sistemas de IA y las cadenas de suministro de modelos son un objetivo: prompt injection, envenenamiento de datos de entrenamiento, robo de modelos y fugas de datos pueden convertir un asistente interno en un vector de filtración o manipulación.

Para los responsables de seguridad esto significa que las ventanas de respuesta deben comprimirse y las defensas volverse más proactivas y automatizadas. La guía de CERT-In enfatiza una mentalidad de “asumir la intrusión”: detectar rápido, contener y recuperar. En la práctica esoimplica reforzar la autenticación y el control de accesos con políticas de least privilege y multifactor, segmentar redes para limitar el alcance de cualquier compromiso y aplicar controles en capas que impidan que una sola falla se convierta en catástrofe.

La norma operativa propuesta por la agencia incluye plazos diferenciados: remediación inmediata para fallos conocidos que afectan sistemas expuestos, plazos de 24 horas para vulnerabilidades críticas externas y algunos internos, hasta 72 horas para fallos internos que afecten activos de alto valor y una ventana de varios días para riesgos altos según priorización. Cuando un parche no está disponible, se recomienda aplicar mitigaciones temporales como aislamiento, restricciones de acceso, protección a nivel de WAF/API y monitorización aumentada hasta que llegue la corrección.

Estas directrices son ambiciosas y legítimas, pero plantean retos de implementación. No todas las organizaciones pueden parchear en 12 horas sin generar interrupciones operativas o romper integraciones críticas. Por ello, es esencial documentar y justificar compensaciones técnicas: si no es posible actualizar inmediatamente, hay que disponer de controles compensatorios preaprobados, playbooks de emergencia y cadenas de comunicación claras con proveedores para reducir el tiempo total de riesgo.

La seguridad de modelos y pipelines de IA requiere además controles específicos más allá del parcheo tradicional. Es imprescindible mantener un inventario de modelos y dependencias, verificar la procedencia y la integridad de los pesos y datos, aplicar técnicas de privacidad diferencial o enmascaramiento cuando la confidencialidad lo exija, y controlar los puntos de exposición de las APIs que sirven inferencias. La gobernanza del uso de IA debe ser formal: quién puede invocar modelos, con qué datos y qué registros se conservan para auditoría.

Respuesta, prueba y validación deben recibir inversión constante. Red teaming, pruebas de penetración continuas, validaciones independientes y ejercicios de mesa para incidentes con escenarios de IA ayudarán a descubrir configuraciones inseguras antes de que las exploten herramientas automatizadas. La transparencia en la cadena de suministro del software, mediante SBOM y verificaciones de procedencia, reduce el riesgo de integrar componentes o modelos comprometidos en entornos críticos.

Para quienes operan infraestructuras críticas o servicios en la nube, es clave priorizar la protección de puntos de entrada expuestos: endpoints, APIs públicas, identidades privilegiadas y servicios de gestión. La monitorización de telemetría, correlación de logs y detección basada en comportamiento son ahora más relevantes que nunca, porque los ataques asistidos por IA pueden moverse a velocidades que superan la capacidad humana para reaccionar sin automatización de defensa.

El marco de acción recomendado por expertos y organismos internacionales complementa las medidas de CERT-In: promover arquitecturas de Zero Trust, defensas en profundidad y prácticas de gestión de vulnerabilidades basadas en riesgo. Recursos como las guías de NIST sobre gestión de riesgo en IA ofrecen un mapa para adaptar controles técnicos y organizativos a entornos que incorporan modelos de lenguaje y aprendizaje automático (NIST AI RMF). A su vez, catálogos de vulnerabilidades explotadas públicamente, mantenidos por entidades como CISA, ayudan a priorizar parches que ya están siendo weaponizados (CISA KEV).

En resumen, la pauta de CERT-In es una llamada a transformar la gestión tradicional de vulnerabilidades: no basta con listar y parchear cada cierto ciclo, sino que hay que automatizar detección y mitigación, endurecer modelos de IA y asegurar la cadena de suministro digital. Las organizaciones deben combinar respuestas técnicas (parches, WAF, segmentación, MFA) con gobernanza robusta (políticas de uso de IA, inventarios y auditorías) y preparación operativa (playbooks, ejercicios y acuerdos con proveedores). El tiempo de reacción ya no es una ventana cómoda: la velocidad y escala que aporta la IA a los atacantes exigen tiempos de respuesta y resiliencia equivalentes.