¿Imaginas tener apenas medio día para proteger tus sistemas de un ataque tras descubrirse una vulnerabilidad? No es ciencia ficción. La inteligencia artificial, en manos de los ciberdelincuentes, está comprimiendo los tiempos de explotación a una velocidad aterradora, y las respuestas regulatorias están empezando a ser igual de rápidas.

El reloj corre más rápido que nunca

Recientemente, en el evento Infosecurity Europe, Kevin Jones, CISO del grupo Bayer, reveló una estadística alarmante. Proveedores importantes de tecnología le confiaron que, actualmente, el tiempo medio para explotar una vulnerabilidad se ha reducido de días a solo unas horas. Concretamente, el intervalo entre la publicación de un parche y el inicio de su explotación activa puede ser de apenas 6 horas y 40 minutos.

Aquí está el detalle: antes, los equipos de seguridad tenían una ventana de siete a diez días para probar y desplegar parches de forma segura. La IA ha dinamitado esa norma. Herramientas como Claude Mythos de Anthropic y GPT5.5 de OpenAI están demostrando una capacidad sin precedentes para encontrar y corregir vulnerabilidades de forma autónoma, cambiando todo el ecosistema de la seguridad.

Índia marca el ritmo: 12 horas o menos

En respuesta a esta nueva realidad, el equipo de respuesta a emergencias informáticas de India (CERT-In) ha establecido el estándar más agresivo hasta la fecha. En su nueva directriz, publicada el 25 de mayo, se establecen expectativas indicativas de plazos de parcheo:

  • 12 horas para vulnerabilidades conocidas y explotadas (KEV) en sistemas críticos y expuestos a internet.
  • 24 horas para fallas críticas expuestas externamente.
  • 5 días para vulnerabilidades de alta severidad.

El documento, centrado en las amenazas de la IA, también recomienda el uso del Sistema de Puntuación de Predicción de Exploits (EPSS) para priorizar, más allá de la simple puntuación de severidad.

CERT-In insta a remediar vulnerabilidades conocidas y explotadas en sistemas críticos en 12 horas, impulsado por la velocidad que la IA aporta a los ciberataques.

Pero, ¿es realista un plazo tan ajustado? Andrey Lukashekov, de Vulners, advierte que para grandes organizaciones globales, los horarios estrictos pueden chocar con zonas horarias, cadenas de aprobación y controles de cambios, creando «una pesadilla logística» que podría perjudicar una remediación segura.

Europa vs. EE.UU.: ¿Quién es responsable?

Mientras India apuesta por la velocidad, otros bloques toman caminos distintos en el debate sobre la responsabilidad.

  • El enfoque de la UE: Según Lukashekov, la Ley de Resiliencia Cibernética (CRA) es claramente centrada en el productor. «Impone a los fabricantes que asuman la seguridad del producto», creando obligaciones de desarrollo seguro, divulgación y notificación al usuario. El objetivo es hacer que la responsabilidad legal recaiga sobre quien escribe el código, aunque pueda ralentizar la innovación.

  • El enfoque de EE.UU.: Michael Price, de VulnCheck, contrasta este modelo con el enfoque impulsado por el mercado de Estados Unidos, que a menudo carga el peso sobre los usuarios y operadores. En EE.UU., señaló, hay un «énfasis en evitar la regulación porque puede frenar el crecimiento», lo que lleva a muchas empresas a priorizar el tiempo de comercialización sobre la seguridad.

Price resume el dilema: «Me gustaría ver más regulación en EE.UU. porque hay demasiada inseguridad, pero hay que alcanzar un equilibrio para no matar la innovación».

Más allá de los parches: Estrategias de supervivencia

Los expertos coinciden en que parchear rápido ya no es suficiente. Esto implica un cambio de mentalidad fundamental en los equipos de seguridad.

«El modelo antiguo ya no es adecuado», afirmó Price, abogando por un modelo operativo impulsado por la inteligencia sobre exploits: Hay que preguntarse qué vulnerabilidades se están explotando, no solo cuáles existen.

Lukashekov es aún más gráfico: «Trata tu perímetro como si ya estuviera comprometido. No solo construyas muros, despliega redes antiaéreas». Su consejo práctico incluye:

  1. Asumir que hay vulnerabilidades sin reportar (CVEs) y diseñar controles compensatorios como segmentación, defensa en tiempo de ejecución y detección mejorada.
  2. Automatizar las actualizaciones de proveedores para los endpoints, pero tratar el software personalizado (CI/CD) con una disciplina de lanzamiento más estricta.
  3. Crear una rúbrica de parcheo priorizada enfocada en la explotabilidad y el impacto empresarial, no solo en la antigüedad del CVE.

En cuanto al riesgo en la cadena de suministro, Price aconseja medidas concretas: bloquear entornos de desarrollo, evitar el almacenamiento local de secretos y usar registros de paquetes verificados, fijación de versiones y firmas de paquetes.

La conclusión es clara. La IA ha forzado la mano, acelerando la carrera armamentística digital hasta un punto donde las viejas estrategias ya no sirven. Como sentenció Lukashekov, «Parchear no está muerto, pero no puede ser la única respuesta. Quién paga para arreglarlo es algo que aún está en el aire». La batalla por la ciberseguridad acaba de entrar en una nueva fase donde el tiempo, literalmente, es oro… o ransomware.