Cómo Illumio se está preparando para amenazas de clase Mito dentro de nuestro propio entorno y dentro del vuestro

Frontier IA cambió las matemáticas sobre la velocidad. Sistemas como Mythos pueden acelerar la investigación de vulnerabilidades, ayudar a los atacantes a identificar cadenas de exploits y reducir la capacidad de los defensores para responder. Es la versión más reciente de una pregunta que la industria de la seguridad se enfrenta cada pocos años: ¿qué ocurre cuando los atacantes se mueven más rápido de lo que los defensores pueden reaccionar?

Si el nombre es nuevo para ti, Mythos pertenece a una nueva generación de modelos de IA de vanguardia. Son sistemas lo suficientemente capaces para hacer investigación de seguridad seria, lo que significa que también son capaces de investigar atacantes de forma seria.

Quizá te estés preguntando lo mismo que nuestros clientes: ¿cómo está Illumio defendiendo este cambio dentro de nuestros propios muros, y cómo ayuda nuestra plataforma a proteger tu entorno cuando el atacante puede ser un modelo de IA en lugar de una persona? Esta publicación es la primera de un breve serial que responde directamente a esa pregunta. Empecemos con:

• Lo que estamos haciendo internamente
• Cómo ayudamos a contener el riesgo en tu entorno hoy
• ¿Qué viene después

Cómo Illumio protege el software para la era de la IA

Las reglas de la seguridad del software cambiaron. La IA puede ayudar a los atacantes a encontrar vulnerabilidades, conectar debilidades y crear exploits funcionales en una fracción del tiempo que llevaba antes. Las revisiones de seguridad tradicionales, de esas que ocurren en pocas etapas aisladas del desarrollo, no pueden seguir el ritmo de eso.

En Illumio, evolucionamos nuestro ciclo de vida seguro de desarrollo de software (SDLC) en un programa de seguridad continuo de código a nube, impulsado por automatización, análisis y modelos de IA de vanguardia. La seguridad comienza durante la planeación de requisitos y arquitectura. La modelización de amenazas, el análisis de casos de abuso y las revisiones de diseño nos ayudan a detectar riesgos antes de que se escriba una sola línea de código.

A medida que los desarrolladores construyen, los controles de seguridad se ejecutan dentro de sus flujos de trabajo normales. El análisis estático de código, el análisis de composición de software, el escaneo secreto, las comprobaciones de dependencias y la validación de la lista de materiales de software (SBOM) detectan debilidades a tiempo. Los modelos de IA Frontier revisan esos hallazgos a gran escala, correlacionando señales entre herramientas, señalando las rutas de ataque probables y ayudando a los ingenieros a corregir las vulnerabilidades que realmente importan.

Antes de lanzar, cada aplicación pasa por varias capas más de pruebas: pruebas dinámicas de seguridad de aplicaciones, pruebas de API, revisiones de seguridad de contenedores y pruebas de penetración. Las puertas de seguridad automatizadas impiden que los riesgos críticos lleguen a producción. Eso convierte la seguridad en un requisito de liberación que medimos, no en una actividad de mayor esfuerzo.

La seguridad no termina en el despliegue. Monitorizamos la telemetría, vulnerabilidades emergentes y problemas reportados por los clientes las 24 horas del día. El análisis asistido por IA acelera el triaje y nos ayuda a priorizar las correcciones, luego alimenta lo que aprendemos de nuevo en diseño, estándares de programación y formación de desarrolladores.

El resultado es un SDLC diseñado para la era de la IA. La experiencia humana, las prácticas de ingeniería disciplinadas y la IA de vanguardia trabajan juntas para reducir riesgos, acelerar la remediación y proteger la confianza que depositas en nuestro software en cada etapa de su ciclo de vida.

Qué significa esto para tu entorno

El mismo principio moldea cómo pensamos sobre tu entorno. Si la IA hace que los ataques sean más rápidos, necesitas controles que reduzcan lo que un atacante puede alcanzar en primer lugar, así que la detección y la respuesta no asumen toda la carga.

La pregunta que más escuchamos no es realmente sobre Mythos. Se trata de rapidez: si el compromiso lleva horas en lugar de días — y pronto puede tardar minutos — ¿puede algún control reactivo seguir el ritmo? Nuestra respuesta es que la segmentación sigue siendo la defensa más eficaz contra el movimiento lateral, sin importar cómo evolucione el ataque. Los controles proactivos son los únicos diseñados para superar a una amenaza que no deja de acelerar.

A Illumio Segmentation no le importa qué vulnerabilidad usó un atacante. No necesita saber si está deteniendo ransomware, un zero-day o una cadena de intrusiones impulsada por IA. Funciona permitiendo conexiones solo entre fuentes que autorizaste explícitamente, por lo que un atacante tiene que comprometer muchos más sistemas solo para dar un paso más. La detección y respuesta de endpoint (EDR), el parcheo y la cuarentena siguen siendo partes necesarias de una pila de seguridad, pero son reactivas por diseño. Actúan después de que algo ya pasó. A velocidades de ataque impulsadas por IA, esa brecha entre detección y respuesta es exactamente la ventana que necesita un atacante.

Esto no es una apuesta nueva para nosotros. Adoptamos este enfoque desde 2013, y demostró su valor cuando el ransomware arrasó en las compañías entre 2016 y 2018, por la misma razón que ahora importa. Los ataques que no pueden mover lateralmente no pueden hacer mucho daño, sin importar cómo consiguieron su punto de apoyo inicial. En pruebas de emulación de ransomware realizadas por Bishop Fox, las organizaciones que usaban Illumio detuvieron los ataques casi cuatro veces más rápido que la detección y la respuesta por sí solas.

Tres capacidades hacen que eso sea práctico. Illumio Insights te ofrece una visibilidad en tiempo real, impulsada por IA, sobre los flujos de tráfico y el comportamiento de los activos en entornos híbridos y multicloud, y prioriza el riesgo para que los activos de alto riesgo reciban la atención primero. Eso significa que nunca aplicarás políticas sin saber nada. La aplicación selectiva te permite reforzar proactivamente un servicio conocido como vulnerable, como una instancia NGINX expuesta, tan pronto como se identifica, antes de que un ataque tenga oportunidad de materializar. Y como nuestras políticas se basan en etiquetas en lugar de estar vinculadas a direcciones IP o topología de red, siguen las cargas de trabajo automáticamente a medida que cambia la infraestructura. Illumio aplica las reglas de forma constante, vaya donde vaya la carga de trabajo.

No intentamos ganar una carrera contra ataques a velocidad de máquina. Reducimos el terreno que un atacante —humano o IA— tiene que cruzar, así que hay menos que alcanzar y menos que perseguir tu equipo.

¿Qué sigue ahora?  

Las amenazas de la IA en la frontera no son un evento puntual para el que preparar. Son una trayectoria. A medida que esta clase de amenaza se vuelve permanente en lugar de emerger, la tecnología en la que dependen los defensores tiene que cambiar con ella. Aquí creemos que va eso.

A medida que la IA de frontera sigue reduciendo la brecha entre la divulgación y la explotación, algunas capacidades pasan de ser imprescindibles a estar en juego de mesa. La política no puede quedar como algo que una persona escribe a mano; necesita construir a partir de la postura de la red y el contexto de riesgo, y luego adaptar a medida que ese contexto cambie. La visibilidad debe cubrir los agentes de IA que ahora aparecen en entornos empresariales, no solo las cargas de trabajo y usuarios que los equipos de seguridad siempre siguieron. Un agente no monitorizado es tan real como una superficie de ataque como un servicio sin parcheos. La aplicación tiene que funcionar en todas partes a la vez: sin agentes donde más importa la rapidez y basado en agentes donde la precisión sí lo hay, abarcando la nube, la tecnología operativa (OT) y los dispositivos IoT que nunca se crearon pensando en la seguridad. Y la detección no puede detener en una alerta esperando a que actúe un humano; tiene que activar la contención directamente, en segundos, porque es el único intervalo de tiempo que se mantiene una vez que un atacante opera a velocidad de máquina. Ningún proveedor por sí solo cierra esa brecha. Toma la red, la capa de firewall, las herramientas del centro de operaciones de seguridad (SOC) y los sistemas de identidad que actúan todos bajo la misma señal. Esa es la dirección en la que vemos que se mueve este espacio, y es la lente que usamos mientras pensamos en lo que viene después.

Si quieres ver cómo es esto en tu entorno, empieza por la visibilidad. Illumio Insights mapea cómo se mueve realmente el tráfico a través de tu patrimonio híbrido y multicloud y te muestra hacia dónde podría ir un atacante a continuación, y ese mapa es la base de cada decisión de segmentación que sigue. Lo retomaremos en la próxima entrada del serial.