Los avances en las capacidades de los agentes autónomos de inteligencia artificial (IA) están acelerando los ciberataques y reduciendo el tiempo que tienen las organizaciones para corregir errores de software. Las defensas de ciberseguridad tradicionales, diseñadas para contrarrestar a atacantes humanos, cuyos esfuerzos están limitados por el tiempo y la escala, ya no serán suficientes. A medida que la IA permita ataques más rápidos, automatizados y persistentes, la capacidad de responder con rapidez a las ciberamenazas (ciberresiliencia) se convertirá en un diferenciador cada vez más importante de la calidad crediticia, según un informe de Moody’s Ratings.
La IA amplía la capacidad ofensiva persistente más allá de los hackers patrocinados por Estados. Los altos costos computacionales y el acceso restringido a las potentes capacidades cibernéticas de los últimos modelos de frontera limitan en la actualidad las campañas cibernéticas totalmente autónomas. Sin embargo, es probable que los avances en los modelos de pesos abiertos ampliamente disponibles y la caída de los costos reduzcan estas barreras. Los agentes de IA a los que se les asignan objetivos amplios también pueden atacar blancos que sus operadores no habían previsto, lo que aumenta el riesgo de vulneraciones no intencionales.
La brecha entre la divulgación de fallas de software y su explotación se está reduciendo. La acumulación de vulnerabilidades pendientes de corrección ya está ejerciendo presión sobre los equipos de ciberseguridad de las empresas. La mediana del tiempo necesario para corregir una vulnerabilidad crítica o KEV es de alrededor de tres meses, mientras que los agentes de IA que excedieron el alcance previsto de entornos de prueba controlados han explotado vulnerabilidades y comprometido sistemas en pocos días. El descubrimiento de errores de software asistido por IA está aumentando la carga de trabajo asociada a la aplicación de parches.
Los modelos de pesos abiertos con menos salvaguardas están reduciendo la brecha de capacidades cibernéticas respecto de los modelos de frontera. Sus parámetros disponibles públicamente les permiten a los usuarios personalizarlos y ejecutarlos de forma privada, lo que reduce la supervisión y limita la eficacia de las salvaguardas. A medida que los modelos abiertos alcancen gradualmente las potentes capacidades cibernéticas ofensivas que actualmente están restringidas a un reducido número de proveedores, probablemente den lugar a un riesgo irreversible de uso indebido.
La IA fortalecerá las defensas lentamente. Las herramientas asistidas por IA que incorporan la seguridad desde el diseño pueden corregir muchas vulnerabilidades con poca intervención humana. Sin embargo, los equipos de defensa deben implementar correcciones automatizadas de forma segura en sistemas de producción, donde los errores pueden provocar interrupciones y las herramientas automatizadas aún pueden pasar por alto vulnerabilidades críticas. Por lo tanto, la validación humana sigue siendo necesaria, lo que añade tiempo y limita los posibles ahorros de costos.
Las organizaciones con una ciberresiliencia débil afrontarán el mayor riesgo crediticio. La ciberresiliencia cobrará cada vez más importancia. Las empresas con mayores recursos pueden contrarrestar el creciente riesgo invirtiendo en defensas más sólidas. Es probable que aquellas con prácticas deficientes de aplicación de parches queden aún más rezagadas, especialmente si cuentan con grandes redes digitales que amplían considerablemente su superficie de ataque. Las pequeñas y medianas empresas comenzarán a convertirse en objetivos más viables desde el punto de vista económico.
