En los últimos trimestres, el panorama de la seguridad cibernética dejó de parecer un flujo “normal” de parches y pasó a sentirse como una prueba de resistencia. Según un análisis de Rapid7, la ola de vulnerabilidades con IA está superando el enfoque tradicional: seguir parcheando como si el volumen de fallos y la velocidad de los atacantes fueran constantes.
Lo que preocupa no es únicamente la cantidad de vulnerabilidades que se publican, sino el ritmo con el que aparecen pruebas de concepto, se valida su explotabilidad y los atacantes convierten información pública en acceso operativo. En este contexto, el problema se desplaza: ya no basta con cerrar “lo que salga”; hay que reducir la exposición real dentro del entorno.
Más vulnerabilidades, más rápido, y con acceso probado antes
El informe destaca un cambio cuantitativo. En Q2 2025 se registraron 4.268 vulnerabilidades de severidad alta y crítica (CVSS 7 a 10); en Q2 2026 la cifra subió a 8.539, es decir, se duplicó el volumen. En el mismo periodo, las vulnerabilidades explotadas recientemente aumentaron un 8% hasta llegar a 40.
Este salto pone en evidencia una diferencia que a menudo se pasa por alto: que una vulnerabilidad exista y sea publicada no significa automáticamente que vaya a explotarse. De hecho, el análisis subraya que descubrimiento y explotación son asuntos distintos. La IA puede acelerar ambos procesos, pero el atacante no puede aprovechar una falla si el objetivo está protegido por múltiples mecanismos defensivos.
En otras palabras: la seguridad no se decide solo por el número de CVE, sino por la distancia —y las barreras— entre lo publicado y lo alcanzable.
La IA acelera el ciclo… pero el ritmo no va a disminuir
Una idea clave del reporte es que el flujo de vulnerabilidades detectadas por IA no parece destinado a reducirse. Las aplicaciones se publican continuamente y, con frecuencia, llegan con nuevas fallas. A esto se suma el uso creciente de “vibe coding”, una práctica en la que se generan segmentos o piezas de código apoyándose en modelos o técnicas que pueden reproducir patrones antiguos.
El informe menciona investigaciones sobre aplicaciones financieras generadas con vibe coding que compartían las mismas vulnerabilidades. La interpretación es sencilla: si la IA reutiliza plantillas viejas, también puede heredar los mismos errores, pero ahora incrustados en código “nuevo”.
Esto crea un efecto dominó: el nuevo código no solo introduce vulnerabilidades; también habilita nuevas rondas de escaneo automatizado que terminan encontrando esas mismas grietas una y otra vez.
La brecha entre lo que se divulga y lo que se puede gestionar
El modelo tradicional de respuesta suele asumir que el equipo de seguridad podrá triagear y corregir de forma proporcional al ritmo de publicación. Sin embargo, el análisis advierte una realidad operativa: se está ampliando la distancia entre lo que se divulga y lo que un equipo puede gestionar con recursos finitos.
Parte de la presión viene de la asimetría histórica entre ataque y defensa. El atacante solo necesita un punto débil; la defensa tiene que cubrir un conjunto enorme de superficies: endpoints como portátiles y servidores, además de capas como firewalls.
Pero la superficie crece. La seguridad ya no se limita a “lo que está en la red”, sino también a cómo interactúan las API y la cadena de suministro. Además, al depender de múltiples proveedores, la visibilidad del defensor se vuelve más difícil que la del atacante, que puede enfocarse en un objetivo concreto.
Lo que se vuelve “Holy Grail”: fallas sin interacción
El informe también menciona un aumento de vulnerabilidades catalogadas como “Holy Grail”: fallas que no requieren credenciales ni interacción del usuario. El crecimiento, según Rapid7, es de nueve puntos año tras año, y en Q2 2026 representan 25 de las 40 vulnerabilidades explotadas recientemente.
El punto es crítico: si un atacante puede ejecutar acciones cerca de un dispositivo o producto sin autenticación, la barrera de entrada baja drásticamente. En ese escenario, incluso controles que antes reducían el riesgo pueden dejar de ser suficientes si la exposición del entorno no está bien definida.
Amenazas persistentes y motivaciones distintas
Además de la aceleración impulsada por IA, el reporte resalta actividad persistente asociada a actores estatales (China, Rusia, Irán y Corea del Norte, mencionados como CRINK). No se trata de que estos grupos sean necesariamente “más avanzados” que los ciberdelincuentes con fines financieros, sino de que sus motivaciones y recursos cambian el tipo de esfuerzo.
La lógica descrita es que la motivación estatal requiere persistencia para espionaje a largo plazo, y una fracción menor se orienta a sabotaje. Con presupuesto, habilidades y recursos considerables, estos actores pueden construir capacidades más sofisticadas que las que un ciberdelincuente puramente criminal necesitaría.
El ciberdelincuente, en cambio, suele necesitar una entrada: compra acceso, explota, roba lo que puede y se retira.
Ransomware: dónde golpea y a quién le cuesta más
El ransomware sigue siendo una vía central para monetizar ataques, y Estados Unidos aparece como el principal objetivo. Para Q2 2026 se registran 881 víctimas en EE. UU. frente a 91 en Alemania.
El informe también enumera grupos con mayor actividad en ese periodo (en el orden descrito): Qilin, The Gentlemen, DragonForce, Akira y LockBit. Asimismo, detalla sectores atacados: servicios empresariales (23,5%), salud (22,0%), manufactura (21,0%), tecnología (16,9%) y construcción (16,6%).
Más allá de los nombres de campañas y grupos, el mensaje para los equipos defensivos es el mismo: cuando el tiempo para reaccionar se comprime, la resiliencia y la reducción de exposición pasan a ser prioridades.
La estrategia ya no puede ser solo “parchar cuando toque”
La conclusión del análisis es contundente: la velocidad de los ataques asistidos por IA reduce el margen con el que los defensores pueden “parchear y listo”. Por eso, el enfoque no puede depender de la reacción; la tarea consiste en anticipar y reducir la exposición.
Hay una enseñanza adicional al observar la diferencia entre vulnerabilidades descubiertas y las realmente explotadas. Si se toman medidas que reducen el alcance, el número de explotaciones puede mantenerse relativamente menor, incluso cuando el volumen de hallazgos crece.
En términos prácticos, el objetivo es claro: identificar qué partes de tu red pueden alcanzar los atacantes y seguir disminuyendo esos caminos posibles.
Prioridad por exposición, no por “severidad” en automático
Durante años, muchas organizaciones han mirado vulnerabilidades principalmente a través de la puntuación CVSS. Sin embargo, el reporte sugiere que esos tiempos cambiaron. Si alguien todavía cree que existe un ciclo mensual de parches que “absorbe” el ritmo de nuevas fallas, la recomendación es reevaluar.
Para nuevas vulnerabilidades, el consejo es: no te quedes en el número; mira dónde está la exposición dentro de tu entorno. La pregunta correcta es: ¿dónde reside en mi red?, y ¿qué impacto tendría si el host queda comprometido por una explotación real?
En resumen, la relevancia se traslada desde el puntaje hacia el contexto. La vulnerabilidad que parece “menor” en severidad puede ser mucho más peligrosa si el atacante puede llegar sin obstáculos a un sistema crítico.
Qué puedes hacer para responder mejor a la ola
Si el modelo tradicional ya no alcanza, conviene convertir el aprendizaje en acciones. El análisis apunta a un cambio de mentalidad: pasar de gestionar listados de CVE a gestionar riesgo operativo en función de alcance e impacto.
- Mapa de exposición: identifica qué activos son alcanzables y cómo cambian esas rutas con API y dependencias de terceros.
- Priorización por impacto: evalúa el daño potencial de una explotación en lugar de seguir únicamente la severidad.
- Atención a fallas sin interacción: presta especial foco a vulnerabilidades que no requieren credenciales o intervención del usuario.
- Revisión continua: ajusta el triage y los flujos de respuesta para que el tiempo de decisión sea menor que el ritmo de validación de amenazas.
- Reducción de superficie: limita acceso, segmenta y refuerza capas de contención que dificulten el aprovechamiento.
Cuando la ola de vulnerabilidades con IA se vuelve la norma, lo que marca la diferencia es la capacidad de convertir hallazgos en decisiones. Menos “parchear por costumbre” y más “actuar donde importa”.
Conclusión
El informe de Rapid7 describe un quiebre del modelo tradicional: la IA acelera la divulgación, la validación y la explotación potencial, mientras los defensores lidian con una brecha creciente entre lo que se publica y lo que se puede atender. En ese escenario, el parcheo sigue siendo necesario, pero ya no es suficiente por sí solo.
La respuesta efectiva se concentra en reducir exposición: entender qué puede alcanzar un atacante, disminuir esos caminos y priorizar según impacto real. Solo así la seguridad puede recuperar control en un entorno donde el tiempo para reaccionar ya no se mide en semanas, sino en ventanas cada vez más estrechas.
Fuente: https://www.securityweek.com/ai-driven-vulnerability-surge-breaks-the-traditional-patching-model/
