¿Por qué las puntuaciones estáticas de CVE fallan en la era de los exploits impulsados por IA?

La gestión tradicional de vulnerabilidades, basada principalmente en puntuaciones estáticas del Sistema Común de Puntuación de Vulnerabilidades (CVSS), resulta insuficiente a medida que la inteligencia artificial acelera el desarrollo de software y la generación de exploits. Según un informe de The New Stack, el volumen del software moderno sumado a la rápida creación de exploits mediante IA vuelve obsoleta la clasificación manual y el seguimiento mediante hojas de cálculo.

Los límites de las puntuaciones estáticas de severidad

Un identificador de Vulnerabilidades y Exposiciones Comunes (CVE) indica la presencia de un fallo, pero las puntuaciones CVSS miden la severidad técnica en lugar del riesgo organizativo real. The New Stack señala que dos organizaciones que comparten el mismo CVE enfrentan amenazas completamente distintas según si la ruta de código afectada se ejecuta realmente o está expuesta a internet. Priorizar correcciones atendiendo únicamente a la severidad técnica genera un volumen alto de trabajo en seguridad sin reducir el riesgo de forma efectiva.

Transición hacia el contexto de ejecución y bases reforzadas

Para gestionar la exposición con eficacia, las operaciones de seguridad deben orientar su atención hacia los entornos de producción en lugar de limitarse a análisis de repositorios previos al despliegue. Utilizar imágenes base reforzadas, ejecutar Pruebas Estáticas de Seguridad de Aplicaciones (SAST) y verificar las configuraciones con marcos como las Guías de Implementación Técnica de Seguridad (STIG) ayuda a minimizar la huella de vulnerabilidades antes de que el código llegue a producción.

Construcción de un flujo de remediación basado en el riesgo

Las estrategias modernas de remediación exigen integrar métricas de inteligencia de amenazas, como el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de la CISA y el Sistema de Puntuación de Predicción de Explotación (EPSS). Al combinar el análisis de alcanzabilidad con la exposición externa, la configuración del sistema y el impacto operativo, los equipos de ingeniería pueden priorizar las vulnerabilidades que representan riesgos reales y activos, en lugar de intentar agotar listas interminables de CVE.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: AI is speeding up exploits. Vulnerability spreadsheets can’t keep up.