¿Por qué las empresas tienen menos personal a medida que la IA de seguridad se vuelve más fuerte? Una sola corrección de vulnerabilidades puede movilizar a cientos de empleados de TI

La IA está acelerando significativamente el descubrimiento de vulnerabilidades, pero el verdadero dolor de cabeza para las empresas ocurre después del escaneo.

Fuente: Jinshi Data

La IA acelera el descubrimiento de vulnerabilidades en el software, pero algunas empresas están aumentando sus puestos de seguridad y presupuesto. Según The Information, esta semana, el proveedor global de servicios de TI Diversified planea aumentar su presupuesto de software de seguridad en aproximadamente un 20% en el próximo año y contratar al menos a tres nuevos empleados de ciberseguridad a tiempo completo.

La magnitud del trabajo de reparación está explicando este nuevo gasto. El New York Times también informó que una vulnerabilidad reciente en PHP requiere modificar alrededor de 200 archivos. Después de que los investigadores descubrieron el problema, varias empresas y mantenedores de código abierto pasaron semanas coordinando la reparación antes de notificar a las agencias pertinentes para ayudar a implementar el parche.

Las reparaciones de emergencia ocupan el personal de desarrollo diario

Diversified movilizó a la mayoría de sus aproximadamente 100 empleados de TI cuando manejó vulnerabilidades en PHP y en la biblioteca de compresión de tráfico web Brotli. Los participantes incluyeron analistas e ingenieros que normalmente no trabajan directamente en seguridad, quienes necesitaban investigar qué aplicaciones en la nube y páginas web podrían verse afectadas e instalar parches.

El director de información de la empresa dijo a The Information que el trabajo involucrado en la reparación va mucho más allá de una simple actualización y está ocupando tiempo de operación diaria. El gasto adicional en software de seguridad que la empresa planea incluirá herramientas de IA que pueden monitorear automáticamente las aplicaciones; el nuevo personal se destinará a abordar las necesidades reales de reparación.

La empresa de software para empresas Atomicwork también experimentó una revisión concentrada. El CEO Vijay Rayapati pidió la semana pasada a unos 30 ingenieros de software que suspendieran su trabajo actual para priorizar los problemas de ciberseguridad. La empresa finalmente confirmó que no había sido directamente afectada por amenazas relacionadas, pero aún así dedicó recursos a la revisión.

Rayapati planea que por cada tres empleados técnicos que contrate, se asigne uno a un ingeniero de ciberseguridad. Se espera que el número de ingenieros enfocados en ciberseguridad aumente a aproximadamente 27 en el próximo año, alcanzando casi tres veces el número actual. Este es el plan de contratación de la empresa y aún no se ha implementado por completo.

Después de encontrar vulnerabilidades, hay que confirmar, reparar y desplegar

El informe del New York Times sobre el proceso de reparación de PHP muestra que los investigadores de la empresa de seguridad Calif comenzaron en julio a usar un agente de IA para revisar este lenguaje de programación, descubriendo vulnerabilidades ocultas durante más de una década. Luego, se pusieron en contacto con los mantenedores de PHP y el equipo Wiz, que había encontrado vulnerabilidades similares, para avanzar en la reparación.

Los ingenieros participantes colaboraron a través de canales de comunicación dedicados y se comunicaron diariamente. Cuando estaban cerca de completar el parche, el equipo también notificó a las agencias gubernamentales y a la empresa de infraestructura de internet Cloudflare para ayudar a ampliar el alcance de la implementación. Después de la salida de la detección, las modificaciones de código y la coordinación entre agencias aún requieren tiempo.

Los mantenedores de código abierto también deben determinar primero si el informe es válido. El New York Times señala que desde finales del año pasado, algunos proyectos han recibido una gran cantidad de informes de vulnerabilidades generados por IA que no han sido suficientemente probados, así como descubrimientos que sí tienen valor. Según datos de la OpenJS Foundation, Node.js ha confirmado y reparado 50 vulnerabilidades este año, más que en cualquier otro año anterior.

Aún hay una distancia entre la divulgación de vulnerabilidades y el éxito de los ataques. Axios citó esta semana a investigadores de seguridad que afirmaron que, aunque la reciente vulnerabilidad de PHP ha provocado numerosos intentos de ataque, la dificultad para construir ataques efectivos es alta, y los casos de éxito son limitados, lo que también ha contribuido a las defensas de las empresas.

Las facturas de escaneo impulsan a las empresas a buscar modelos más económicos

Además de aumentar el personal del equipo de seguridad, el escaneo de IA en sí mismo también es un costo. Scott Roberts, director de seguridad de la información de la empresa de software empresarial UiPath (PATH.N), dijo a The Information que usar el escáner Mythos de Anthropic para un repositorio de código cuesta alrededor de 25,000 dólares; la empresa tiene cientos de repositorios de código y recientemente ha reducido estos gastos mediante modelos de código abierto más baratos.

Morgan Stanley vinculó esta semana los modelos de bajo costo con el trabajo de seguridad en un informe. La firma cree que los modelos de pesos abiertos tienen el potencial de reducir los costos de procesamiento de datos operativos como registros, investigación de alertas, clasificación de amenazas y respuesta automática; los clientes o competidores también podrían usar estos modelos para reemplazar algunas funciones de seguridad que originalmente requerían un pago adicional.

El informe también señala que los costos de inferencia más bajos podrían generar un mayor uso, y el ahorro dependerá de la competencia y el modelo de precios, ya sea que lo retengan los proveedores de software o los clientes.

The Information también entrevistó al director de seguridad de la información de una gran empresa energética estadounidense. Esta persona dijo que la empresa, con un presupuesto de ciberseguridad de aproximadamente 30 millones de dólares, ha aumentado más del 10% este año en comparación con el año pasado, y el gasto adicional se destina a las funciones adicionales de IA de Mythos y productos de seguridad existentes.

Las herramientas de protección de correo electrónico y monitoreo de datos que la empresa ya tenía cobran por las funciones de IA en funcionamiento continuo. Para pagar las nuevas funciones, la empresa ya ha utilizado anticipadamente su presupuesto de ciberseguridad para el próximo año.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.