Mythos no rompió su programa de seguridad. Su ventana de exposición podría. – CYBERDEFENSA.MX
La industria pasó los primeros meses después de la revelación de Mythos del 7 de abril de Anthropic centrándose en volumen. ¿Cuántos CVE nuevos agregaría Mythos a una tubería ya sobrecargada? ¿Con qué rapidez la avalancha de descubrimientos impulsados por la IA abrumaría las capacidades de clasificación? ¿Cuánto tiempo les tomaría a los adversarios convertir los hallazgos de Mythos en armas a escala? Esas preguntas eran y siguen siendo válidas. Sin embargo, ninguno de ellos llega a abordar la métrica única que determina si alguna de esas vulnerabilidades realmente conduce a una infracción: la ventana de exposición.
La ventana de exposición (la brecha entre el momento en que una vulnerabilidad se vuelve explotable y el momento en que su equipo la soluciona) es el tiempo que tiene un atacante para causar daño real. Esa ventana está actualmente abierta. lejos demasiado ancho. En 2025, el tiempo medio de ruptura de los delitos electrónicos se redujo a 29 minutos. Incluso PCI DSS (el marco de cumplimiento más estricto de la industria) permite 30 días para remediar una vulnerabilidad crítica. Esa es una brecha de 1.000 a 1 entre la rapidez con la que se mueven los atacantes y la rapidez con la que se espera que respondan las organizaciones. ¿Y el palo que mantiene abierta esta ventana de exposición? Movilización: la propiedad, la remediación y la complejidad organizacional que reduce los tiempos de respuesta y aumenta el riesgo.
En este artículo, explicaré por qué la ventana de exposición es ahora la métrica más importante, qué la mantiene abierta y cómo el descubrimiento impulsado por IA está obligando a los equipos de seguridad proactivos a adoptar las métricas basadas en la velocidad que los equipos SOC han utilizado durante años.
Mythos no creó la ventana de exposición. Lo amplió.
El modelo de gestión de vulnerabilidades ya mostraba grietas antes de que Mythos apareciera en escena. 48.185 CVEs se revelaron en 2025, un aumento del 22 % con respecto a 2024. La mayoría de los equipos de seguridad ya se estaban ahogando en su trabajo de remediación atrasado. Y proyecciones actuales son que se incluirán 66.000 nuevos CVE en 2026. A menudo, cada uno de esos CVE termina en el mismo proceso de remediación, sujeto a aprobaciones manuales, propiedad fragmentada y ventanas de cambio que se mueven al ritmo de la TI empresarial, no al ritmo de los atacantes.
Marco CTEM de Gartner define cinco etapas: alcance, descubrimiento, priorización, validación y movilización. Las tres primeras etapas funcionan ahora a la velocidad de la máquina. La validación (que confirma que sus controles realmente detienen amenazas reales) ha mejorado a medida que las plataformas han automatizado las pruebas de rutas de ataque. Sin embargo, la movilización todavía avanza a velocidad organizativa.
Las recientes medidas políticas reconocen la disparidad. En particular, el CISA DBO 26-04 hace que las agencias federales pasen del primer parche CVSS a la explotabilidad y el contexto de activos (que es lo que CTEM ha pedido desde el principio). Pero esta directiva todavía aborda solo qué vulnerabilidades corregir primero. No aborda la rapidez con la que las organizaciones pueden movilizarse para ejecutar la solución. Es decir, todavía deja la ventana de exposición abierta de par en par.
Por qué la movilización es el punto de ruptura de los programas
La brecha entre saber qué vulnerabilidad solucionar y solucionarla realmente es un problema de movilización. El equipo de seguridad identifica la exposición y un equipo diferente (uno con sus propias prioridades, sus propias ventanas de cambio, sus propias cadenas de aprobación) tiene que remediarla. Ese traspaso es el punto débil de la mayoría de los programas CTEM. Los procesos de remediación empresarial se crearon para un proceso que se mueve a la velocidad humana, pero cada etapa previa a la movilización ya no lo hace.
De acuerdo a investigaciones recienteslas vulnerabilidades de aplicaciones altas y críticas tardan un promedio de 55 días en remediarse, y casi la mitad de las vulnerabilidades empresariales permanecen sin parches después de un año completo. En cualquier caso, la mayoría de las organizaciones todavía no priorizan la remediación basada en la explotabilidad y el impacto comercial. Y los sistemas heredados, los entornos OT y la infraestructura de producción pueden tener un impacto empresarial grave cuando se desconectan, por lo que las soluciones tienden a esperar. Además, las exposiciones de identidad, como privilegios excesivos y credenciales almacenadas en caché, ni siquiera necesitan un parche para aplicar. Muchos hallazgos simplemente quedan en cola sin que ningún equipo sea responsable de resolverlos.
El punto es que la ventana de exposición permanece abierta porque la maquinaria organizacional entre «arreglar esto» y «arreglar» tarda semanas o meses en cambiar, mientras que los atacantes solo necesitan unos minutos. Lo que plantea la pregunta: ¿Cuánto tiempo pueden los equipos de seguridad proactivos seguir midiendo el éxito en un reloj diferente al de los atacantes?
Los equipos proactivos ahora operan en cronogramas reactivos
Las organizaciones de seguridad tradicionalmente se han dividido en dos modos operativos. Los equipos SOC (el lado reactivo) rastrean el tiempo de permanencia, el tiempo medio de respuesta y la velocidad de contención. Su trabajo es limitar los daños causados por amenazas que ya se encuentran dentro del medio ambiente. Los equipos de VM, los equipos de seguridad de la nube y los equipos de seguridad de la red (el lado proactivo) rastrean la cobertura de parches por nivel de gravedad o tiempo para corregir errores de configuración. Su trabajo es reducir la exposición antes de que llegue un atacante.
La cuestión es que el descubrimiento impulsado por la IA esencialmente pone a ambos equipos en el mismo cronómetro.
Cuando las vulnerabilidades pasan de la divulgación a la militarización en horas y el tiempo de ruptura se mide en minutos, una tasa de parches trimestrales del 90% no significa nada si los activos críticos permanecieron explotables durante semanas mientras esos parches esperaban en la cola. Los equipos proactivos ahora necesitan las mismas métricas basadas en la velocidad que siempre ha utilizado el SOC, porque ningún proceso de remediación puede superar un tiempo de ruptura de 29 minutos por sí solo.
Los equipos deben aceptar que la ventana de exposición nunca se cerrará por completo. Más bien debemos preguntarnos ¿Hasta dónde podemos cerrarlo y, cuando un atacante atraviesa la brecha, a cuántos activos críticos puede llegar?
Reducir el radio de explosión
Ese conjunto de activos alcanzable (el radio de la explosión) es lo que determina el riesgo empresarial real. Dado que ninguna organización puede cerrar todas las exposiciones a la velocidad en que se mueven los atacantes, la prioridad debe cambiar a las rutas que conectan las exposiciones explotables con los activos críticos. El 2026 Verizon DBIR presenta este caso para el análisis de la ruta de ataque, con el objetivo de hacer visible el radio de la explosión.
No todas las exposiciones conducen a algún lugar peligroso. El análisis de la ruta de ataque muestra qué exposiciones abren rutas hacia activos críticos y cuáles son simplemente callejones sin salida. Esto reduce el alcance de la movilización: de un atraso inacabable a un conjunto finito de caminos. Y una vez que los equipos comienzan a rastrear cuánto tiempo permanecen accesibles los activos críticos, la velocidad de remediación se convierte en una métrica de riesgo comercial. La movilización deja de mantener abierta la ventana de exposición y comienza a cerrarla.
Mythos no rompió su programa de seguridad. Su ventana de exposición podría, si deja que la movilización la mantenga abierta.
Nota: Este artículo fue escrito cuidadosamente y contribuido para nuestra audiencia por Ryan Blanchard, director de marketing de productos de XM Cyber.
