Es hora de reescribir todo el modelo de ciberseguridad o afrontar las consecuencias.

‍

El avance de Claude Mythos de Anthropic es el golpe de gracia para un modelo de ciberseguridad que ya estaba obsoleto. Como si el anuncio inicial de que encontró miles de vulnerabilidades críticas de día cero en todos los principales sistemas operativos —y que, por lo tanto, era demasiado peligroso publicarlo— no fue suficientemente revelador, ahora se descubrió que el modelo ya se filtró a usuarios no autorizados. Quienes trabajamos en ciberseguridad sabíamos que, lamentablemente, era solo cuestión de tiempo. Y la necesidad de actuar nunca fue tan urgente.

Todos deberíamos entender una cosa: esto no es un cambio gradual. Este es el fin de nuestro modelo de ciberseguridad, y estamos a punto de ser puestos a prueba de maneras que jamás imaginamos.  

Las matemáticas cibernéticas nunca funcionaron.

Para comprender cómo este avance lo cambia todo, echemos la vista atrás, al mundo anterior a que Mythos entrara en nuestro vocabulario hace cuatro semanas. Todos los sistemas operativos, todos los programas informáticos y todos los dispositivos de red están plagados de vulnerabilidades, y lo estuvieron durante décadas. La primera pregunta que deberíamos hacernos es: "¿Por qué no tenemos más filtraciones de datos?".

En el mundo de la ciberseguridad, todos repiten la misma frase: el defensor debe tener razón el 100% de las veces, pero el atacante solo necesita tener razón una vez. Son probabilidades terribles para los defensores, y ese siempre fue el "problema matemático" de la ciberseguridad. Sin embargo, lo que mantuvo a los defensores en el partido fue la velocidad limitada de los atacantes. Si bien los atacantes tienen el beneficio matemático, la creación y ejecución de brechas de seguridad fue un proceso impulsado por humanos y a velocidad humana. Puede que las matemáticas no sean las correctas, pero atacantes y defensores estaban librando una batalla relativamente justa. Eso terminó con Mythos.

Mythos (y los modelos que están por venir) ponen fin al modelo actual de ciberseguridad.

Encontrar vulnerabilidades y crear exploits a la velocidad de la máquina lo daña todo. Este es un modelo operativo de ataque completamente nuevo, y no disponemos de un modelo de defensa que funcione a la velocidad de las máquinas. Cuando los atacantes se mueven a velocidad de máquina y los defensores a velocidad humana, no perdemos la partida, sino que se acaba el juego.  Aquí hay tres ejemplos sencillos:

• Parcheando . Actualizar computadoras portátiles y servidores suele llevar días, semanas o meses. A veces nunca sucede. Reparamos a velocidad humana, si tenemos suerte.  Aunque los modelos que encuentran vulnerabilidades y crean exploits también creen parches, ¿cómo podemos parchear todo a la velocidad de la máquina?
• proceso. Las compañías cuentan con procesos exhaustivos de prueba y adquisición de productos que pueden durar meses solo para decidir qué comprar. Los atacantes no van a esperar meses o años a que las compañías implementen una nueva herramienta.
• Cadena de suministro. Hablamos sin parar de cadenas de suministro, pero en realidad se trata de energía, centros de datos y GPU para impulsar nuestros sueños de IA. ¿Y qué pasa con los equipos de red y los firewall que conectan todo? ¿Qué ocurriría si el mundo entero tuviera que llevar a cabo la mayor renovación de hardware de la historia para subsanar todas las deficiencias de nuestra infraestructura? Piensa en términos de años (o décadas) en función de las limitaciones actuales.

En la era de la IA, los atacantes tienen un beneficio asimétrico sin precedentes, algo que nunca habíamos previsto ni visto antes. Una estrategia de seguridad que se basa en parches ocasionales y en mantener las amenazas fuera del perímetro es una receta para el desastre, y hay muy poco tiempo para cambiarla.

Mythos es solo la primera demostración de que la IA puede encontrar fallos y convertirlos en armas más rápido de lo que el mundo puede corregirlos y solucionarlos. Mythos, y los modelos que están por venir, finalmente hicieron imposible ignorar lo obvio: el modelo de seguridad defectuoso en el que confían la mayoría de las organizaciones simplemente no puede mantenernos seguros en el mundo de la IA.

Cyber tiene una nueva misión

La industria de la ciberseguridad lleva décadas promoviendo, vendiendo y optimizando la prevención. La prevención funciona, en algunos casos, y seguirá haciéndolo. Pero si funcionara siempre, nunca se producirían fallos de seguridad.

Mythos demuestra que ninguna vulnerabilidad es demasiado antigua, demasiado oscura o demasiado profundamente enterrada como para permanecer oculta para siempre. En un mundo donde nada puede ocultar, todo y absolutamente todo puede ser explotado, y tarde o temprano lo será. Toda organización debe asumir la violación de seguridad. Cuando surgen vulnerabilidades inmediatamente después de que se descubren, el riesgo para el sistema aumenta significativamente. Aquí es donde la ciberseguridad finalmente adquiere una nueva misión: la resiliencia.

La IA acelera la obtención de información por parte de los atacantes y la rapidez con la que pueden emplearla como arma. Pero eso no cambia el patrón fundamental de cada ataque exitoso. El atacante logra infiltrar, pasando de un punto de acceso inicial a algo mucho más importante, empleando para ello nuestra propia infraestructura y redes. La red que nos permite comunicarnos y operar es la misma que permite al atacante esconder, mover y, en última instancia, comprometer nuestros activos más valiosos.

Del mismo modo que el problema del año 2000 creó un movimiento global y un mandato para actualizar todos los sistemas, ahora necesitamos un "Proyecto Manhattan" para aumentar la ciberresiliencia. La observabilidad y la segmentación de la red nos permitirán encontrar, controlar y limitar el radio de explosión de las brechas. La resiliencia equivale a la supervivencia en la era de la IA.

Antes de Mythos, solo nos enterábamos de las nuevas amenazas luego de ser afectados. Pero ahora tenemos una ventana al futuro, y no debemos desaprovecharla. Necesitamos reunir a las mentes más brillantes en tecnología, ciberseguridad y gobierno para elaborar un plan que permita solucionar los problemas del mundo e integrar la ciberresiliencia en todo lo que hacemos.

La estabilidad de nuestro mundo tal como lo conocemos depende de ello, y no podemos avanzar lo suficientemente rápido. No vamos a detenerlo todo, pero podemos sobrevivir a cualquier cosa si empezamos ahora.