Más de 14 mil vulnerabilidades descubiertas por IA.
Palo Alto Networks presentó un nuevo estudio sobre NOVA (Network and Open-Source Vulnerability Analyzer), un sistema autónomo de investigación de vulnerabilidades impulsado por inteligencia artificial, diseñado para descubrir, validar y documentar fallos de software hasta ahora desconocidos.
Durante una evaluación de dos meses, NOVA analizó 3.915 proyectos de software de código abierto e identificó 14.090 vulnerabilidades desconocidas, de las cuales el 99.4% no se había comunicado públicamente. Casi el 40% de los hallazgos fueron clasificados como de gravedad alta o crítica según CVSS 4.0.
NOVA utiliza una arquitectura multiagente que permite analizar código fuente, identificar y priorizar posibles vulnerabilidades, generar y validar exploits de prueba de concepto, preparar informes de divulgación y generar candidatos a parches y recomendaciones defensivas.
El estudio también señala que la combinación de varios modelos de IA mejora la cobertura, ya que cada modelo identificó vulnerabilidades que otros no detectaron, especialmente en proyectos de mayor tamaño y complejidad.
Entre los resultados destaca que el 92% de las vulnerabilidades encontradas correspondió a categorías de fallos lógicos y semánticos, como problemas de control de acceso y autorización, recorrido de rutas, inyección de código, contaminación de prototipos y falsificación de solicitudes del lado del servidor (SSRF), frente al enfoque tradicional de automatización centrado en gran medida en la corrupción de memoria y otros errores detectables mediante fuzzing.
En cuanto a la cadena de suministro de software, NOVA identificó 5.421 hallazgos, incluidas 1.280 vulnerabilidades en paquetes de dependencias que generaron 4.141 exposiciones de software en etapas posteriores. De estas, 2.776 rutas de exposición fueron validadas mediante exploits de prueba de concepto funcionales.
Según la investigación, la capacidad de la IA para acelerar el descubrimiento y la validación de vulnerabilidades podría reducir de meses a días el tiempo necesario para identificar fallos, aumentando la presión sobre las organizaciones para evaluar riesgos, coordinar la divulgación y aplicar medidas de mitigación con mayor rapidez.
El estudio también destaca que la experiencia humana sigue siendo esencial para validar hallazgos, priorizar riesgos, gestionar la divulgación responsable y definir estrategias de mitigación. Los resultados presentan el descubrimiento autónomo de vulnerabilidades como una capacidad emergente que puede transformar la investigación de seguridad de software y la ciberseguridad defensiva.
About The Author
