La era de la defensa autónoma Time-to-Exploit ya no basta

Los datos recientes sobre remediación de vulnerabilidades obligan a replantear la estrategia de defensa: no basta con acelerar procesos ni con aumentar plantillas. Un estudio amplio de la unidad de investigación de amenazas de Qualys, que analiza más de mil millones de registros de remediación y decenas de miles de organizaciones durante cuatro años, muestra que la realidad operativa ha superado la capacidad humana para reaccionar a tiempo. La arquitectura de defensa debe cambiar si queremos mantener la ventaja frente a atacantes que usan automatización y agentes basados en IA.

Según ese análisis, el llamado Time-to-Exploit —el intervalo entre la publicación de una vulnerabilidad y su explotación activa— ya ha colapsado en promedio a valores negativos, lo que significa que muchos fallos son aprovechados antes incluso de que exista un parche. Esa conclusión no es aislada: informes de la industria como Google M-Trends también documentan una aceleración en las ventanas de explotación. Cuando la ventaja del atacante se mide en días y la respuesta de las organizaciones en meses, el modelo reactivo tradicional queda obsoleto.

El estudio de Qualys pone números que escalan esa sensación. Mientras el volumen de vulnerabilidades tratadas por equipos ha crecido varias veces en pocos años, el porcentaje de vulnerabilidades críticas aún abiertas a los siete días se ha incrementado: más esfuerzo no se traduce en menor riesgo en la cola larga de exposición. Los investigadores hablan de un "techo humano": hay un límite estructural que no corrige más personal ni mejores procesos manuales.

Dos conceptos ayudan a entender por qué las métricas habituales engañan. El primero, que los autores llaman "Manual Tax", describe cómo los activos menos visibles o fuera del alcance de los flujos humanos arrastran la exposición del conjunto desde semanas a meses. El segundo es la propuesta de cambiar el foco de contar CVE a medir la exposición acumulada: cuántos activos vulnerables existen multiplicados por los días que permanecen expuestos, lo que en el informe se denomina Risk Mass. Junto a esto, la Average Window of Exposure (AWE) captura la duración completa desde la inicial weaponización hasta la remediación efectiva en la organización.

Estos indicadores muestran otra verdad incómoda: lo que brilla en los dashboards —la carrera por aplicar parches pronto— suele representar menos del 20% de la ventana real de exposición. El resto proviene de la ventana ciega anterior a la publicación del parche y de la larga cola de sistemas que nunca llegan a parchearse con rapidez. Casos bien documentados como Follina y Spring4Shell ilustran la distancia entre la primera explotación y el tiempo medio que tardan las empresas en corregir la falla. Para consultas técnicas y trazabilidad, las entradas públicas del NVD son recursos útiles, por ejemplo CVE-2022-30190 (Follina) y CVE-2022-22965 (Spring4Shell).

Otro hallazgo contundente del estudio es que una proporción abrumadora de vulnerabilidades realmente weaponizadas fueron parcheadas más lentamente que el tiempo en que fueron explotadas; en ciertos grupos de incidentes, la explotación precedió a la existencia de un parche válido. Esto subraya que el problema no es únicamente la velocidad: es el modelo operativo entero que sigue dependiendo de secuencias humanas para descubrir, priorizar, abrir tickets y ejecutar remediaciones.

El avance y la democratización de herramientas de IA marcan una inflexión: la automatización ofensiva ya puede descubrir, diseñar exploits y ejecutar ataques a una velocidad que los equipos humanos no alcanzan. Durante la fase de transición en la que los atacantes emplean IA a ritmo autónomo y los defensores siguen operando en tiempos humanos, se abre una ventana especialmente peligrosa. No se trata solo de un nuevo perímetro que proteger, sino de una transformación en las capacidades del adversario.

Ante esa realidad, el cambio propuesto no es eliminar a las personas del proceso, sino remover la latencia humana del camino crítico y elevar la función humana hacia la gobernanza de sistemas autónomos. La alternativa al modelo de escaneo-informe-tiquetado manual es un centro de operaciones de riesgo —un Risk Operations Center— donde la inteligencia llegue en forma de lógica legible por máquina, donde exista comprobación activa de si una vulnerabilidad es explotable en un entorno concreto y donde la acción se pueda ejecutar de forma cerrada y automática cuando las políticas lo permitan.

En esa arquitectura, la intervención humana se concentra en definir y gobernar reglas que priorizan riesgos reales, en validar excepciones y en auditar el comportamiento de los agentes automatizados. Así, los equipos pasan de ejecutar tareas operativas repetitivas a desempeñar roles de control estratégico y diseño de políticas, lo que es más escalable frente al incremento continuo de superficies de ataque y a la proliferación de identidades y servicios en la nube.

Una mala noticia es que la cantidad de vulnerabilidades publicadas seguirá creciendo y que el Time-to-Exploit no volverá a tiempos largos por sí solo. La buena noticia es que ya existen principios y tecnologías que permiten cerrar la brecha: correlación en tiempo real entre inteligencia de amenazas y telemetría del activo, evaluaciones de explotación específicas del entorno, y flujos de remediación automatizados que pueden bloquear o mitigar vectores mientras se prepara una reparación definitiva.

Este enfoque exige también cambiar las métricas de éxito. Dejar de celebrar solo la velocidad de parcheo vista en medianas y adoptar métricas que reflejen la exposición acumulada y las ventanas reales de riesgo permite tomar decisiones más acertadas sobre dónde invertir automatización, segmentación y medidas compensatorias. Medir Risk Mass y AWE devuelve foco a lo que realmente reduce la probabilidad de brechas, en lugar de alimentar ciclos de trabajo que solo reducen conteos de tickets.

No es una transformación trivial: implica integrar inteligencia de amenazas, capacidades de orquestación de seguridad, validación activa en el entorno y mecanismos de ejecución autónoma con controles de gobernanza. En la práctica, algunas organizaciones ya experimentan con automatizar tareas críticas —confirmación de explotación, mitigaciones temporales, despliegue de parches en canales controlados— y reservan la intervención humana para decisiones de mayor impacto. Para quienes buscan profundizar en estos hallazgos y en recomendaciones concretas, el informe completo de Qualys desarrolla la metodología y los datos detrás de estas conclusiones: The Broken Physics of Remediation.

También resulta útil revisar las fuentes públicas que documentan vulnerabilidades activamente explotadas y las prioridades que deberían guiar las operaciones: el catálogo de vulnerabilidades explotadas conocido por la CISA es una referencia práctica para priorizar respuesta en infraestructuras críticas (CISA KEV).

En resumen, la lección es clara: mantener más personas y apilar procesos no detendrá la erosión de ventaja frente a atacantes automatizados. La respuesta pasa por una arquitectura de riesgo que cierre el camino crítico humano con autonomía responsable, inteligencia integrable y métricas que muestren exposición real. Si no se adopta esa transformación a gran escala, la ventana entre defensa humana y ofensiva autónoma se seguirá cerrando —y lo hará a favor de quienes ya programan ataques que no esperan.

Para equipos que quieran explorar soluciones prácticas y casos de implementación, existen eventos y recursos donde se discuten estrategias de automatización de remediación y operación de riesgo; por ejemplo, Qualys organiza conferencias y materiales sobre estas temáticas que pueden servir como punto de partida: ROCON EMEA y la propia página de Qualys con guías y herramientas (Qualys).