La búsqueda de vulnerabilidades asistida por IA está a punto de inundar el código abierto con nuevos informes

Los equipos de seguridad podrían enfrentarse a un verano difícil, ya que los sistemas avanzados de IA están descubriendo un número creciente de vulnerabilidades que antes pasaban inadvertidas en software de código abierto ampliamente utilizado, según el CEO de Chainguard, Dan Lorenc.

Lorenc afirmó que los nuevos modelos de frontera están encontrando vulnerabilidades a un ritmo que está cambiando los procesos de divulgación y corrección del sector. Sus declaraciones se produjeron cuando Chainguard ayudó a poner en marcha Athena, una coalición formada por aproximadamente dos docenas de empresas centrada en utilizar la IA para identificar y solucionar más rápidamente problemas de seguridad en el código abierto.

Entre los miembros fundadores de Athena se encuentran empresas como BNY, Cisco, Cloudflare, Docker, JPMorganChase, Kyndryl y PwC. Varios miembros también participan en Project Glasswing, de Anthropic, y Daybreak, de OpenAI, que proporcionan acceso a modelos avanzados de búsqueda de vulnerabilidades. Según Lorenc, Athena acepta hallazgos de cualquier modelo de frontera y ya ha procesado más de 20.000 informes, además de generar más de 2.000 parches para 500 proyectos.

Los informes a gran escala generan nuevos problemas de coordinación

Lorenc afirmó que el desafío ya no consiste únicamente en encontrar errores, sino en gestionar el enorme volumen de descubrimientos. Muchas organizaciones pueden corregir su propio código cuando la IA detecta fallos en software propietario. El problema más difícil surge cuando las mismas herramientas identifican problemas en bibliotecas de terceros que los equipos no controlan directamente.

Señaló que las aplicaciones modernas suelen depender en gran medida de componentes de código abierto, lo que significa que un solo análisis puede sacar a la luz miles de problemas en numerosos proyectos. Esto puede dejar a los equipos de seguridad con largas colas de informes, una responsabilidad poco clara y dudas sobre qué mantenedores siguen activos.

• Las herramientas de IA están encontrando más problemas tanto en código propietario como en código abierto.
• Las divulgaciones de código abierto pueden desbordar a los mantenedores cuando los informes llegan en grandes lotes.
• El tiempo entre la divulgación pública y la explotación en el mundo real sigue reduciéndose.

Para gestionar ese flujo, Athena actúa como una cámara de compensación: elimina informes duplicados, agrupa hallazgos relacionados y trabaja en correcciones más amplias para las bases de código vulnerables. Antes de la divulgación pública, los proyectos afectados se reconstruyen como versiones privadas reforzadas para los miembros, y posteriormente se notifica a los proyectos originales. En los casos en que los mantenedores no pueden responder, la coalición afirma que puede actuar como equipo de corrección de último recurso.

La Linux Foundation también se ha sumado al esfuerzo con Akrites, una coalición independiente que coordinará la respuesta a las vulnerabilidades mediante un equipo compartido de respuesta a incidentes y un proceso de divulgación estandarizado. Sus impulsores afirman que el objetivo es reducir la fragmentación y ayudar a los mantenedores a gestionar los hallazgos generados por la IA antes de que los atacantes puedan aprovecharlos.