{"id":2875,"date":"2026-10-15T21:23:42","date_gmt":"2026-10-15T21:23:42","guid":{"rendered":"https:\/\/touchconsulting.io\/es\/?p=2875"},"modified":"2026-10-15T21:25:07","modified_gmt":"2026-10-15T21:25:07","slug":"gestion-vulnerabilidades-ia","status":"publish","type":"post","link":"https:\/\/touchconsulting.io\/es\/blog\/gestion-vulnerabilidades-ia\/","title":{"rendered":"Gesti\u00f3n de vulnerabilidades con IA: por qu\u00e9 parchear todo ya no alcanza"},"content":{"rendered":"

La gesti\u00f3n de vulnerabilidades con IA<\/strong> ya no es una opci\u00f3n para equipos que quieren innovar. Es una necesidad para sostener el ritmo actual. Seg\u00fan el an\u00e1lisis del Grupo de Inteligencia de Amenazas de Google<\/a>, publicado el 30 de septiembre, las vulnerabilidades divulgadas cada mes pasaron de 5.045 en enero a 10.477 en julio de 2026.<\/p>\n

Adem\u00e1s, las vulnerabilidades explotadas en ataques reales subieron de un promedio de 10,5 al mes en 2025 a 18 al mes entre enero y agosto de 2026. Por eso, parchear todo en orden de llegada dej\u00f3 de ser viable.<\/p>\n

En este art\u00edculo ver\u00e1s qu\u00e9 dicen los datos, por qu\u00e9 el CVSS no alcanza y c\u00f3mo armar un modelo de priorizaci\u00f3n por riesgo con herramientas que tu equipo ya puede usar.<\/p>\n

M\u00e1s vulnerabilidades, m\u00e1s explotaci\u00f3n: lo que muestran los datos de 2026<\/h2>\n

El informe de Google aporta cifras \u00fatiles para decidir. Entre enero y agosto de 2026 registr\u00f3 141 vulnerabilidades distintas explotadas en ataques, m\u00e1s que las 127 de todo 2025. Sin embargo, solo el 0,23% de todas las vulnerabilidades divulgadas en 2026 se explot\u00f3, es decir, aproximadamente una de cada 431.<\/p>\n

Esto cambia la conversaci\u00f3n. El problema no es la cantidad de fallos, sino saber cu\u00e1les son los pocos que los atacantes realmente usan. Adem\u00e1s, Google advierte que parte del volumen est\u00e1 inflado. Solo las entradas asociadas a un \u00fanico componente central de c\u00f3digo abierto generaron unas 5.000 vulnerabilidades en ese per\u00edodo, sin ning\u00fan zero-day explotado asociado.<\/p>\n

El crecimiento de la explotaci\u00f3n vino sobre todo de vulnerabilidades ya conocidas, llamadas n-days, y no de zero-days. Los zero-days pasaron de un promedio de 8 al mes en 2025 a 11 en 2026. Seg\u00fan Google, es posible que los atacantes usen modelos de lenguaje para comparar versiones, parches y pruebas de concepto. As\u00ed, convertir\u00edan un fallo conocido en un ataque con mayor rapidez.<\/p>\n

\u00bfQu\u00e9 cambia cuando la IA encuentra los fallos?<\/h2>\n

Google tambi\u00e9n analiz\u00f3 las vulnerabilidades que probablemente descubri\u00f3 la IA. Reconoce que los datos p\u00fablicos las subestiman, porque no existe una etiqueta est\u00e1ndar para identificarlas. Aun as\u00ed, el patr\u00f3n es claro: el 50% de ellas permite ejecuci\u00f3n remota de c\u00f3digo, frente al 26% del conjunto general.<\/p>\n

Adem\u00e1s, la IA encuentra menos fallos de bajo riesgo. Entre las vulnerabilidades descubiertas con IA, el 58% es de riesgo medio, frente al 28% del resto. Por lo tanto, la gesti\u00f3n de vulnerabilidades con IA debe asumir que cada fallo que llega a tu lista pesa m\u00e1s y que el tiempo de reacci\u00f3n se acorta. No obstante, Google aclara que son se\u00f1ales tempranas y que los datos son incompletos.<\/p>\n

\u00bfPor qu\u00e9 el CVSS solo no basta para priorizar?<\/h2>\n

La puntuaci\u00f3n CVSS mide la severidad t\u00e9cnica de un fallo. No mide si alguien lo est\u00e1 explotando ni cu\u00e1nto da\u00f1o har\u00eda en tu negocio. Por eso, Google usa su propia clasificaci\u00f3n de riesgo, basada en inteligencia de amenazas, en lugar del CVSS para su an\u00e1lisis.<\/p>\n

Por ejemplo, un fallo con puntuaci\u00f3n media en un servidor expuesto y con explotaci\u00f3n conocida merece atenci\u00f3n antes que uno con puntuaci\u00f3n cr\u00edtica en un sistema aislado y sin explotaci\u00f3n. La puntuaci\u00f3n sigue siendo \u00fatil como una entrada m\u00e1s, pero no como \u00fanico criterio.<\/p>\n

En la pr\u00e1ctica, necesitas cruzar al menos cuatro se\u00f1ales:<\/p>\n