Un sistema autónomo de inteligencia artificial desarrollado por Palo Alto Networks identificó 14.090 vulnerabilidades de software que no habían sido detectadas anteriormente, durante una evaluación realizada a lo largo de dos meses.
La herramienta, denominada Network and Open-Source Vulnerability Analyzer (NOVA), examinó 3.915 proyectos de software de código abierto. Según la investigación, el 99,4% de las fallas encontradas no habían sido reportadas públicamente y casi el 40% fueron clasificadas con severidad alta o crítica.
NOVA fue diseñado para descubrir, validar y documentar vulnerabilidades mediante una arquitectura de múltiples agentes de inteligencia artificial.
El sistema puede revisar repositorios y códigos fuente, identificar posibles fallas, priorizar riesgos, generar pruebas de concepto para comprobar las vulnerabilidades y preparar informes dirigidos a los responsables del mantenimiento del software.
Además, tiene capacidad para proponer posibles parches y recomendaciones de defensa.
DIFERENTES MODELOS AMPLÍAN LA DETECCIÓN
Durante las pruebas, cada modelo de inteligencia artificial encontró vulnerabilidades que no fueron detectadas por los demás.
Este resultado sugiere que los modelos pueden especializarse en diferentes aspectos del análisis de código y que su utilización conjunta aumenta la cobertura, especialmente en proyectos grandes y complejos.
La investigación también mostró un cambio en los tipos de vulnerabilidades que pueden encontrarse mediante herramientas automatizadas.
El 92% de los hallazgos correspondió a fallas de lógica y semántica, entre ellas problemas de control de acceso y autorización, inyección de código, acceso indebido a rutas de archivos y falsificación de solicitudes del lado del servidor.
Tradicionalmente, este tipo de vulnerabilidades ha requerido una mayor participación de especialistas humanos, mientras que las herramientas automatizadas anteriores se concentraban principalmente en errores relacionados con la memoria.
RIESGOS EN LA CADENA DE SUMINISTRO
NOVA también identificó 5.421 hallazgos relacionados con la cadena de suministro de software.
De ese total, 1.280 vulnerabilidades se localizaron en paquetes utilizados como dependencias, las cuales generaron 4.141 exposiciones posteriores en otros programas.
El sistema logró validar 2.776 de esas rutas de exposición mediante pruebas de concepto funcionales.
Los resultados muestran cómo una vulnerabilidad presente en un componente de código abierto ampliamente utilizado puede afectar numerosas aplicaciones que dependen de ese paquete.
ORGANIZACIONES TENDRÁN MENOS TIEMPO PARA REACCIONAR
El informe advierte que la inteligencia artificial podría reducir de meses a días el tiempo requerido para descubrir y validar fallas de software.
Esta aceleración también disminuiría el plazo disponible para que las organizaciones evalúen los riesgos, implementen medidas de protección y actualicen sus sistemas antes de que una vulnerabilidad sea explotada.
El aumento en la cantidad y velocidad de los hallazgos obligará a desarrollar procesos más rápidos para validar las fallas, coordinar su divulgación y aplicar medidas de mitigación.
Pese al avance de los sistemas autónomos, la investigación señala que la experiencia humana continúa siendo esencial.
Los especialistas en seguridad deberán validar los resultados, priorizar los riesgos, gestionar la divulgación responsable y desarrollar estrategias para proteger los sistemas mientras se publican las actualizaciones oficiales.
La investigación plantea que el descubrimiento autónomo de vulnerabilidades podría transformar la seguridad del software, pero también exigirá que empresas e instituciones respondan con mayor rapidez ante las amenazas emergentes.
