A la velocidad de Mythos: Un manual de estrategias para defensores ante el aumento de vulnerabilidades de la IA en 2026
Key Takeaways
- El descubrimiento se convirtió en mercancía. Modelos de IA Frontier como Mythos y GPT 5.5 están haciendo que la detección de vulnerabilidades sea barata, rápida y ampliamente accesible.
- El trabajo del defensor es igualar la velocidad. El triaje manual perdió la carrera de rendimiento.
- La inteligencia de amenazas es la capa de priorización a velocidad de máquina. Inteligencia Recorded Future observó solo 446 CVEs explotadas activamente en 2025 frente a aproximadamente 50.000 reveladas, menos del 1%.
- El procesamiento agente de Recorded Future junto con Autonomous Threat Operations pueden ser la respuesta. Ofrece firmas de detección en solo 31 minutos y acción automatizada en más de 100 integraciones, con alcance de terceros próximamente. Los atacantes operan a esta velocidad. Tus defensas tienen que estar a la altura.
Ahora es una pregunta que me hacen a diario: "¿Qué está haciendo Recorded Future respecto a Mythos?"
Es una pregunta justa. El anuncio del Proyecto Glasswing de Anthropic, junto con los benchmarks de investigación de vulnerabilidades que salen del GPT 5.5 de OpenAI, convirtió el descubrimiento de vulnerabilidades impulsado por IA en un tema a nivel de junta en cuestión de semanas.
Para responder a esa pregunta, primero necesitamos hablar del problema operativo al que realmente se enfrentan los defensores y por qué la inteligencia de amenazas puede ser la mejor manera de contrarrestarlo a velocidad de máquina. Luego pasaremos a lo que Recorded Future ya está desplegando para solucionarlo: nuestro procesamiento agente.
El problema: ahogar en señales, hambre de contexto
Incluso antes de la IA y de las noticias sobre las capacidades y la velocidad de Mythos, los defensores ya tenían dificultades. El volumen de señales superaba la capacidad de los analistas. Las brechas de cobertura se ampliaban cada día, ya que los proveedores de cola larga y las plataformas de nicho quedaban sin supervisión. Los hallazgos en bruto llegaron sin causa raíz, relevancia para el actor amenazante ni vías de remediación revisadas. Producir un enriquecimiento de nivel analista requirió horas de tiempo de investigador senior. Las matemáticas no funcionaban a escala empresarial.
La comprobación de realidad: 50.000 revelados, 446 realmente explotados
El dato que debería servir de base para cualquier conversación sobre el aumento de vulnerabilidades en la IA es el siguiente: la NVD reveló aproximadamente 50.000 CVE en 2025. Recorded Future Intelligence observó que solo 446 se explotaban activamente en la práctica, menos del 1%.
Encontrar vulnerabilidades es una cosa, pero saber cuáles importan, para qué entornos, contra qué adversarios y con qué controles compensatorios ya existentes es otra cosa completamente distinta. Forrester lo expresó directamente: "El factor limitante en la seguridad ya no es la capacidad y el conocimiento para encontrar problemas, sino la capacidad de absorberlos, priorizarlos y actuar sobre ellos antes que los adversarios." El cuello de botella siempre estuvo en el lado de absorber-priorizar-actuar. El lado de los hallazgos nunca fue el problema.
Los modelos de IA Frontier aceleran el lado de los hallazgos. La inteligencia de amenazas es lo que ayuda a cerrar la brecha de priorización en el lado de la reparación.
El filtro de priorización: ¿qué convierte 50.000 en 446
La inteligencia de amenazas es operativa, no filosófica. Se reduce a cuatro señales que distinguen a la pequeña fracción de CVE que los adversarios realmente emplean como arma de la inmensa mayoría que no lo hacen. Estas cuatro señales son innegociables para poder llegar a la priorización a gran velocidad y escala:
- Un puntaje de riesgo en tiempo real. Un índice compuesto de probabilidad e impacto de explotación, recalculado continuamente a medida que la evidencia cambia. No una calificación CVSS estática; una medida en tiempo real de qué vulnerabilidades son utilizables como arma, explotables en entornos modernos y probablemente detectadas por actores amenazantes.
- Explotación activa en la naturaleza. Evidencia de explotación observada — no disponibilidad teórica de personas de color, sino uso documentado contra sistemas reales por actores reales. Las fuentes incluyen telemetría de la web abierta y oscura, divulgaciones de proveedores, avisos gubernamentales (catálogo KEV de CISA y equivalentes) e investigaciones primarias como las que produce Insikt Group®.
- Asociación de actores de ransomware. Mapear CVEs a operadores específicos de ransomware y a la actividad del intermediario de acceso. La misma vulnerabilidad que emplea un afiliado de ransomware con motivación financiera contra tu sector es un incidente diferente al mismo CVE en un conjunto de herramientas de actor estatal dirigido a otra región.
- Segmentación sectorial y de campaña. Qué actores maliciosos están atacando tu sector, qué TTP están empleando, qué exposiciones corresponden a herramientas conocidas.
Juntas, estas cuatro señales son la forma de priorizar lo que realmente importa para cualquier defensor.
Respuesta de Recorded Future: procesamiento agente más Autonomous Threat Operations
Si los atacantes se mueven a velocidad de Mythos, tus defensas deben mantener al día usando procesamiento agente y Operaciones Autónomas de Amenaza. Esta es mi respuesta a la pregunta con la que empezamos sobre lo que Recorded Future está haciendo respecto al nuevo mundo en el que vivimos.
El procesamiento agente es el sistema de producción que convierte las señales de exposición en inteligencia desplegable. La pipeline lee descripciones, avisos de proveedores y diferencias de parche en el momento en que aparecen. Produce firmas de detección listas para producción — lógica de detección documentada, especificación de evidencias, estrategia de huellas dactilares pasivas. Redacta un enriquecimiento a nivel de analista para cada hallazgo — causa raíz, mecánicas de explotación, asociaciones amenaza-actor, controles defensivos priorizados con estimaciones de despliegue y falsos positivos, tareas de remediación validadas con criterios de aceptación y planes de retroceso.
Es objetivo de extremo a extremo: la identificación hasta el despliegue en entornos de cliente en solo 31 minutos. Los promedios internos bajan. Ningún equipo de seguridad que opere con flujos de trabajo de triaje manual está igualando ese rendimiento de velocidad.
Ese contenido puede llegar a todos los puntos de control relevantes de tu entorno mediante Autonomous Threat Operations (ATO).
ATO convierte los resultados de procesamiento agential e inteligencia correlacionada en acción operativa a lo largo de más de 100 integraciones que abarcan SIEM, SOAR, EDR/XDR, NGFW, gestión de vulnerabilidades, plataformas de inteligencia de amenazas, gestión de identidad y acceso, seguridad de email y en la nube, GRC y defensa informada por amenazas. Despliega continuamente inteligencia prioritaria, realiza búsquedas autónomas de amenazas, aplica reglas de detección y toma medidas preventivas sin que los analistas dediquen horas a correlacionar manualmente. Las 8 a 12 horas semanales de trabajo de correlación que la mayoría de los equipos de analistas realizan manualmente están casi completamente eliminadas. El ritmo de caza se vuelve 24/7.
Pronto, ATO hará esto en toda tu superficie de ataque y terceros, ya que la exposición de proveedores fue la vía más común de infiltración durante los últimos tres años.
La cadena de cinco etapas que produce todo esto — señales de amenaza, enriquecimiento inteligente, validación y verificación, salida estructurada y flujo de trabajo del cliente — se ejecuta de forma continua. El contenido listo para producción llega a los entornos de los clientes en cuestión de minutos tras la divulgación original en todas las categorías de amenazas que detecta la plataforma.
Por qué el procesamiento agente es diferente y por qué tu organización lo necesita
Cuatro cosas distinguen el procesamiento agentico de cualquier cosa que un equipo de seguridad pueda construir manualmente:
- Horas → minutos. Un hallazgo completo y enriquecido puede producir en minutos, no en las horas de investigación manual que solía requerir el mismo resultado.
- Eficiencia de un orden de magnitud. Según los hallazgos futuros registrados de investigación, la triaje por vulnerabilidad es 40 veces superior a la eficiencia del esfuerzo manual de investigación, lo que permite una cobertura a gran escala que tu equipo no puede lograr a mano.
- Cobertura de cola larga. Los proveedores localizados, las plataformas de nicho y los sistemas heredados se vuelven económicamente viables para cubrir en general.
- Siempre al día. Los ciclos de actualización continuos mantienen la inteligencia precisa a medida que evolucionan las amenazas.
Estos beneficios representan la diferencia entre prevenir amenazas antes del ataque y absorber el daño después.
Veamos un ejemplo de lo que hace el procesamiento agente a velocidad de máquina.
React2Shell con procesamiento agentico
Tomemos CVE-2025-55182 — React2Shell, una vulnerabilidad de ejecución remota de código pre-autenticación en los Componentes del Servidor React. A los pocos minutos de la divulgación, el procesamiento agente produjo:
- Una firma de detección de Attack Surface Intelligence (ASI) con lógica de detección documentada, especificación de evidencia y estrategia de huellas dactilares pasivas
- Causa raíz y mecánicas de explotación hasta la ruta específica del código
- Campañas activas, asociaciones de actores amenazantes, pruebas de explotación observada
- Indicadores de compromiso con calificación de confianza con comandos de detección
- Controles defensivos priorizados con estimaciones de tiempo de despliegue y falsos positivos
- Procedimientos de validación manual, tareas de remediación con criterios de aceptación y planes de reversión, y comandos de verificación posterior a la remediación
En esta nueva era del Mito, este tipo de procesamiento y velocidad agente será necesario como nueva base.
Más allá de las vulnerabilidades: el mismo manual generaliza
La revelación de vulnerabilidad es el desencadenante más visible del patrón de inteligencia a velocidad, pero no es el único. La misma lógica operativa se aplica siempre que surja una nueva señal de amenaza y un defensor debe actuar antes de que el adversario la monetice.
Cuando se activa un sitio de suplantación de marca, la secuencia defensiva es la misma: detección, enriquecimiento de inteligencia (registrante, registrador, infraestructura de alojamiento, asociación histórica de campañas), controles defensivos priorizados (coordinación de retiradas, bloqueo en capas de email y sitio web, alerta a empleados afectados) y verificación de que la eliminación se concretó. Digital Risk Protection de Recorded Future repite este bucle de forma continua a través de la web abierta, profunda y oscura.
Cuando una credencial robada aparece en el mercado de registros de infostealers, Identity Intelligence sigue el mismo patrón: detección de credenciales vinculadas a tu entorno, enriquecimiento con el contexto de infección (familia de malware, dispositivo, otras credenciales en el mismo registro, estado de captura de cookies MFA), respuesta prioritaria (forzar restablecimiento de contraseña, revocar sesiones activas, alertar al usuario) y verificación.
El patrón es la postura. Aplicar inteligencia a velocidad de máquina dondequiera que actúe el adversario, en todas las categorías de superficie de amenaza. Las vulnerabilidades son uno de los desencadenantes. La obra se generaliza. Recorded Future está operacionalizando inteligencia a velocidad automática en nuestras cuatro soluciones: Operaciones Cibernéticas, Digital Risk Protection, Riesgos de Terceros e Inteligencia contra Fraude en Pagos.
Qué significa esto para los defensores
La respuesta operativa al descubrimiento de vulnerabilidades impulsado por IA es lo que diferencia a las organizaciones que tienen exposiciones de aquellas que se despiertan ante llamadas de respuesta a incidentes.
Estamos viendo que los clientes configuran la automatización para avanzar más rápido en respuesta a esta nueva realidad. Una gran compañía del sector de servicios financieros empleó Recorded Future para transformar su flujo de trabajo de gestión de vulnerabilidades. Tras un importante esfuerzo de parcheo en toda la organización, el equipo desarrolló automatización entre su escaneo de vulnerabilidades y las herramientas de gestión de servicios de TI. El resultado: un proceso ágil y repetible y un ahorro semanal estimado de más de 20 horas para el equipo.
Recomendamos tomar estas cinco acciones para que tú también puedas responder:
- Pasar a la seguridad autónoma liderada por inteligencia. Los inventarios de activos ya no son suficientes sin saber si existe una vulnerabilidad, si es una prioridad y cuál es el radio de la explosión.
- Reduce el ciclo de la divulgación a la detección en minutos. La creación manual de firmas se realiza en días. Los adversarios se están moviendo en horas. Sea cual sea tu tiempo de ciclo actual, reducirlo a la mitad es ahora la línea base.
- Exige priorización basada en la inteligencia, no puntajes de severidad. CVSS y EPSS describen el universo de vulnerabilidades, no cuáles se están empleando como arma contra tu sector este trimestre. La inteligencia de amenazas te ayuda a priorizar.
- Acción en toda la pila, no solo en el punto final. El descubrimiento impulsado por IA pone de manifiesto fallos en el código de la aplicación, kernels, bibliotecas y configuraciones en la nube. La respuesta defensiva requiere llegar a donde el atacante pueda usar el bicho.
- Aplica la misma postura en las cuatro superficies de amenaza. Cyber Operations, Digital Risk Protection, Third-Party Risk, y Payment Fraud se enfrentan a la misma velocidad de reloj de los atacantes aumentada por IA.
El descubrimiento de vulnerabilidades impulsado por IA ya está aquí. La gran pregunta es si tus sistemas pueden operar a velocidad de atacante, con una profundidad de inteligencia que resista el escrutinio ejecutivo. Si la respuesta no es un sí seguro, entonces Mythos y la categoría que hay detrás ya invirtieron las cuentas en tu contra.
Véalo en producción. Aplicar una demostración para ver cómo Inteligencia Recorded Future y Autonomous Threat Operations convierten una divulgación de vulnerabilidad en detección y acción desplegables en toda tu pila en cuestión de minutos.