Encontrado rápido, solucionado lento: la brecha que la cámara de compensación de IA debe cerrar
La orden ejecutiva centrada en la IA que el presidente Donald Trump firmó el mes pasado dio al Departamento del Tesoro, la Agencia de Seguridad Nacional y la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) 30 días para establecer un nuevo «centro de compensación de ciberseguridad de IA». La fecha límite venció la semana pasada.
La cámara de compensación está destinada a coordinar el escaneo, el descubrimiento y la validación de vulnerabilidades de software en la infraestructura crítica y luego priorizar cómo se parchean y distribuyen esas vulnerabilidades.
Es el problema correcto a resolver. La pregunta ahora es si lo que se crea realmente lo solucionará.
El riesgo es que la urgencia produzca algo que parezca una cámara de compensación, pero que funcione como un comité: recopile información, convoque reuniones y luego se detenga cuando llegue la parte difícil.
Ir más allá del descubrimiento de errores es una misión crítica
Es contradictorio en un momento en el que el descubrimiento de vulnerabilidades asistido por IA avanza rápidamente, pero la parte difícil ya no es solo encontrar errores. Aquellos de nosotros que trabajamos en la intersección de la IA y la ciberseguridad sabemos dónde está el verdadero cuello de botella. HackerOne lo ha visto de primera mano como socio de lanzamiento en Parchear el planetala iniciativa de OpenAI para utilizar la IA para encontrar y corregir vulnerabilidades en software crítico de código abierto a escala de Internet. La lección que sustenta ese trabajo, e informada por más de una década de ejecución de programas de divulgación de vulnerabilidades, es consistente: las herramientas de inteligencia artificial pueden descubrir vulnerabilidades más rápido de lo que cualquiera puede actuar sobre ellas. Lo que queda atrás es todo lo que viene después del descubrimiento: decidir qué hallazgos son reales, evaluar la gravedad en contexto, escribir y probar una solución, y lograr que las personas responsables de mantener el código afectado acepten e implementen un parche.
Los revisores humanos experimentados con frecuencia no están de acuerdo con las calificaciones de gravedad asignadas por la IA, porque un modelo no puede ver el modelo de amenaza o el contexto operativo de un proyecto. Los proveedores de software, especialmente los muchos mantenedores voluntarios de código abierto de los que depende gran parte de la infraestructura digital actual, enfrentan una cola incesante: verificar la afirmación, evaluar la importancia, redactar el parche, coordinar la divulgación. La IA ha acelerado el volumen entrante sin acelerar aún igualmente la capacidad de nuestra gente y procesos para gestionarlo. Mejores herramientas de búsqueda de errores significan que encontrará más errores. Las mejoras que realmente importan son las que ayudan a los defensores a implementar parches y a implementarlos más rápido.
Esa lección debería estar en el centro de cómo se diseña la cámara de compensación.
Si la cámara de compensación se centra principalmente en la coordinación de escaneo, como enfatiza el texto de la orden ejecutiva, corre el riesgo de ampliar esa brecha en lugar de cerrarla. Un organismo que encuentra más vulnerabilidades pero no puede resolverlas no es una victoria en materia de seguridad. A escala nacional es un generador de backlog.
Sentar las bases para el éxito
La administración puede hacerlo bien, pero requiere construir la infraestructura correcta ahora, no superponerla más tarde.
La cámara de compensación necesita hacer más que escanear coordenadas. En realidad, es necesario clasificar los resultados. Su trabajo principal debería ser filtrar informes para identificar qué hallazgos son verdaderamente creíbles, explotables y con consecuencias para la infraestructura crítica. Utilizando estándares de validación compartidos y priorización basada en riesgos, se puede determinar qué justifica una respuesta nacional. De lo contrario, solo se está automatizando atrasos más grandes.
En segundo lugar, la cámara de compensación también necesita abordar algo más fundamental. Los defensores no tienen los recursos para responder a lo que se informa. Las vulnerabilidades en la infraestructura crítica a menudo residen en código de fuente abierta mantenido por pequeños equipos o individuos sin obligación formal de responder a las divulgaciones y con capacidad limitada para actuar rápidamente. La cámara de compensación debería trabajar con el Instituto Nacional de Estándares y Tecnología (NIST) para desarrollar pautas para los mantenedores de código abierto sobre la estructuración de repositorios y flujos de trabajo para acelerar la revisión e implementación de parches.
Estas pautas deben incluir cómo utilizar parches asistidos por IA y aclarar qué deben hacer los consumidores intermedios de código fuente abierto para ayudar a los mantenedores a abordar las vulnerabilidades. La política federal debería crear incentivos para que los usuarios intermedios compartan la responsabilidad de la remediación a través de financiación, apoyo de ingeniería, desarrollo de parches asistidos por IA y requisitos de adquisición que recompensen la participación en una respuesta coordinada a la vulnerabilidad.
En tercer lugar, la cámara de compensación debería tratar las listas de materiales de software (SBOM), los inventarios estructurados de los componentes que componen un producto de software, como infraestructura fundamental. Los SBOM son los que permiten rastrear dónde se encuentra un componente vulnerable a lo largo de la cadena de suministro. Sin ellos, los hallazgos validados no se corregirán lo suficientemente rápido a escala.
Por último, la cámara de compensación debería medir el éxito basándose en lo que se soluciona, no en lo que se descubre. Las agencias deben publicar datos sobre tasas de validación, tiempo de aplicación de parches, adopción de correcciones y clases recurrentes de vulnerabilidades. Estas métricas ayudan a los sistemas de inteligencia artificial, los proveedores de software y los formuladores de políticas a mejorar continuamente la forma en que se abordan las vulnerabilidades.
Lo más importante es que las agencias que defienden esta cámara de compensación deberían resistir la tentación de construir su modelo operativo desde cero. El sector privado y la comunidad de seguridad de código abierto tienen años de experiencia ejecutando exactamente el tipo de flujos de trabajo de admisión, clasificación y divulgación coordinada de vulnerabilidades que necesita la cámara de compensación. La orden ejecutiva exige sabiamente la colaboración voluntaria con la industria. Esa colaboración debe ser estructural, no consultiva, integrada en la forma en que opera la cámara de compensación desde el principio, no reforzada después de que la arquitectura ya esté establecida.
La cámara de compensación puede funcionar. Pero el desafío ya no es encontrar vulnerabilidades. Se trata de construir un sistema que pueda convertir los descubrimientos en acciones. Así es como se debe medir su éxito.
