Guardian360
Empieza la prueba gratuitaHazte partner
← Todas las publicaciones

Opinión

El mito de la buena fe: por qué la IA está rompiendo la divulgación de vulnerabilidades, y por qué siempre iba a pasar

Por Jan Martijn Broekhof ·

Un colega me reenvió un ticket de soporte la semana pasada. A primera vista parecía auténtico: un informe detallado y técnicamente fluido sobre un registro MTA-STS ausente, con una explicación del riesgo y un resumen ordenado de la remediación. Extenso. Profesional. El tipo de informe que quieres tomarte en serio.

Salvo que nunca nombraba el dominio al que aplicaba. Ni una sola vez. Y el registro que afirmaba que faltaba estaba, en nuestro caso, ya configurado.

Esa única omisión te lo dice casi todo. El informe no estaba escrito para nosotros. Estaba escrito para todos, rociado sobre cientos de organizaciones a la vez, redactado lo bastante bien como para que un porcentaje lo leyera, se asustara un poco y respondiera. Al remitente no le hace falta que nosotros tengamos el problema. Al remitente solo le hace falta que un número suficiente de los destinatarios crea que podrían tenerlo.

Un informe que no cuesta nada enviar

Mi colega ha visto un fuerte aumento de exactamente este tipo de ticket últimamente. Informes de “investigador de bug bounty de seguridad” que se leen como legítimos y minuciosos, y se disuelven en nada en cuanto los contrastas con la realidad. Hallazgos genéricos, alcance ausente, registros que en realidad no faltan, todo enmarcado con el pulido seguro de un resumen asistido por IA. Responde a uno e invitas a una oleada de seguimientos, del mismo remitente y de otros, cada uno agitando otro hallazgo de apariencia plausible.

La estrategia no es sutil una vez que la ves. Dispara tantos informes de bajo esfuerzo como sea posible a tantas organizaciones como sea posible, apunta a las cosas que muchas organizaciones genuinamente no han configurado (MTA-STS, cabeceras de seguridad, registros DNS que están bien tener pero rara vez son urgentes), y espera a que una fracción cuele y pague. Se aprovecha de una brecha concreta: la organización que carece de la experiencia interna para distinguir un hallazgo real de uno bien vestido.

Aquí está la parte que merece la pena reposar. Enviar ese informe le costó al remitente esencialmente nada. Leerlo, triarlo, comprobar nuestra propia configuración y decidir que era ruido nos costó tiempo real y atención real. La economía se ha invertido silenciosamente, y casi nadie lo ha dicho en voz alta.

Nos contamos una historia cómoda

Durante años, la comunidad de seguridad ha descrito la divulgación coordinada de vulnerabilidades como una relación construida sobre la confianza y la buena fe. Un investigador encuentra algo, lo divulga de forma responsable, da al proveedor tiempo para arreglarlo, y todos se comportan como adultos. Es una historia bonita. También es, creo, una historia que nos contamos porque la alternativa era menos halagadora.

La CVD nunca funcionó realmente con la buena fe. Funcionó con el coste. Producir un informe de vulnerabilidad creíble solía exigir tiempo, habilidad y disposición a poner tu nombre y tu reputación detrás. Ese esfuerzo era el verdadero filtro. No garantizaba sinceridad, pero se correlacionaba con ella lo bastante estrechamente como para que pudiéramos tratar el esfuerzo como un indicador de buena intención, y luego reetiquetar silenciosamente todo el acuerdo como confianza, porque confianza suena mejor que “nos fiamos del hecho de que hacernos spam da demasiado trabajo”.

La fricción era el mecanismo. Elimina la fricción y a la confianza no le queda nada sobre lo que sostenerse.

¿Estuvo la divulgación coordinada de vulnerabilidades construida alguna vez sobre la confianza?

No creo que lo estuviera, y la prueba más clara es lo que ocurre ahora que la fricción ha desaparecido.

Mira a curl. Daniel Stenberg, su fundador y desarrollador principal, dirigió un programa de bug bounty en HackerOne durante años, y según la mayoría de las medidas funcionó; el proyecto pagó más de 100.000 dólares por unas ochenta vulnerabilidades confirmadas a lo largo de seis años. Luego el ratio se desplomó. Hasta principios de 2025, aproximadamente uno de cada seis informes a curl era real; a finales de 2025 la tasa de acierto había caído a algo más cercano a uno de cada veinte o de cada treinta. No porque los investigadores empeoraran, sino porque el volumen de informes seguros, de sonido técnico y en última instancia vacíos, explotó.

Stenberg puso el dedo exactamente en lo que estoy describiendo. En los viejos tiempos, dijo, alguien invertía realmente mucho tiempo en un informe de seguridad; había una fricción incorporada, y ahora no hay ningún esfuerzo en absoluto, así que las compuertas están abiertas. Ese es todo el argumento en una sola frase, de alguien que lo vivió. La fricción estuvo haciendo el trabajo todo el tiempo. La IA no corrompió la buena fe; reveló que la buena fe estaba respaldada por el esfuerzo, y luego hizo que el esfuerzo fuera opcional.

La presión se volvió lo bastante severa como para que curl dejara de aceptar envíos por HackerOne y redirigiera brevemente a los reportantes a GitHub, con su security.txt declarando que el proyecto no ofrece compensación económica. Cuando un proyecto tan bien dotado y respetado como curl tiene que cambiar su modelo de divulgación para sobrevivir al ruido, el encuadre de “confianza” no solo es inexacto. Es activamente contraproducente, porque nos impide diseñar para el mundo en el que realmente estamos.

Esto no va de culpar a los investigadores

Quiero tener cuidado aquí, porque la versión fácil de este argumento es cínica, y está equivocada.

Existen investigadores independientes buenos, competentes y honestos, y valen su peso en oro. El propio Stenberg lo expresa mejor de lo que yo podría: en septiembre de 2025 un investigador envió a curl una larga lista de problemas genuinos encontrados con herramientas asistidas por IA, y Stenberg lo elogió abiertamente como un trabajo excelente. La IA en manos de alguien que entiende lo que está mirando es un activo real. El problema no es la herramienta, y no es el investigador que presenta un informe cuidadoso, reproducible y específico del dominio.

Las plataformas tampoco son las villanas. Las plataformas de bug bounty imponen estructura: reglas de alcance, puntuaciones de reputación, detección de duplicados, un rastro documental. Esos mecanismos son un reemplazo moderno de la vieja fricción, que es precisamente por lo que siguen funcionando. Es revelador que el experimento de solo GitHub de curl no encajara con las necesidades del proyecto, y en marzo de 2026 volviera a mover la notificación de seguridad a HackerOne, todavía sin recompensa asociada. Valía la pena conservar la estructura. El cheque en blanco no.

El actor que merece ser nombrado es el que envía en masa con bajo esfuerzo: la persona que apunta una herramienta de IA a una lista de organizaciones, genera informes plausibles a escala y los dispara directamente a cualquier canal abierto que exista, sin plataforma, sin reputación, sin coste. Eso es lo que vio mi colega. No llegó a través de una tubería filtrada con una puntuación de reputación adjunta. Aterrizó en nuestra cola de soporte.

La puerta sin vigilancia que ahora a todos se nos dice que abramos

Aquí está por qué esto no es solo un problema de código abierto, y por qué debería preocupar a las organizaciones del mercado medio y a las pymes en las que paso la mayor parte de mi tiempo pensando.

La CVD se está convirtiendo en gobernanza estándar, por regulación. La propia visión de ENISA, expresada por su responsable de servicios de incidentes y vulnerabilidades, es que NIS2 y la CRA están normalizando la divulgación coordinada de vulnerabilidades: cada vez más se espera que las organizaciones tengan procesos estructurados para recibir informes de vulnerabilidades, y gestionarlos bien se está convirtiendo en una ventaja competitiva. En principio esto es bueno. Las organizaciones deberían tener una puerta de entrada para los informes de seguridad.

Pero cada organización que abre esa puerta hereda exactamente el problema de curl, normalmente con mucha menos experiencia para defenderla. Un proyecto voluntario con un equipo de seguridad dedicado y años de procesos luchó por sobrellevarlo. Un fabricante regional o una firma de servicios de tamaño medio, a la que acaban de decir que necesita un canal de divulgación, no tiene capa de reputación, ni músculo de triaje, ni una forma fácil de distinguir una extorsión disfrazada de un hallazgo genuino. La regulación está empujando a la existencia miles de puertas nuevas, abiertas y sin vigilancia, justo en el momento en que la IA ha hecho que sea gratis inundarlas. Esa es la tenaza, y las organizaciones menos equipadas para manejarla están caminando directas hacia ella.

Entonces, ¿con qué reemplazamos el mito?

No tengo un pulcro plan de diez puntos, y desconfío de cualquiera que afirme tenerlo. Esto es más grande que la cola de entrada de una sola empresa, y prefiero pensarlo en abierto que fingir que está resuelto.

De lo que estoy bastante seguro es de esto: el viejo filtro del coste ha desaparecido, y no va a volver. Así que el movimiento honesto es dejar de llamar a la CVD una cuestión de confianza y empezar a diseñar para un mundo donde no se pueda asumir la confianza en la puerta. Eso podría significar reintroducir coste o fricción deliberados del lado del remitente. Podría significar capas de reputación e identidad para los canales abiertos, no solo los alojados en plataformas. Podría significar capacidad de triaje compartida para organizaciones más pequeñas que no pueden construirla solas. Genuinamente no sé cuáles de estas resultarán viables.

Así que terminaré con las preguntas en lugar de las respuestas. Si el esfuerzo era el verdadero filtro y el esfuerzo ahora es gratis, ¿qué ponemos en su lugar que no deje fuera también al investigador honesto primerizo? ¿Y cómo damos a las organizaciones más pequeñas, las que ahora legalmente se espera que abran un canal de divulgación, una forma de sobrevivir a la inundación que incluso curl apenas pudo manejar?

Me gustaría oír cómo estás pensando sobre esto. No de forma retórica. Lo digo en serio.

Fuentes