Uno de los aspectos clave de la ciberseguridad es que se trata de un juego mental, según Ami Luttwak, el director tecnológico de la empresa de ciberseguridad Wiz. Con la llegada de nuevas tecnologías, también surgen nuevas oportunidades para los atacantes. A medida que las empresas se apresuran a integrar la inteligencia artificial (IA) en sus procesos, la superficie de ataque se amplía. La IA permite a los desarrolladores crear código más rápido, pero esta velocidad a menudo conlleva atajos y errores, lo que abre nuevas puertas a los atacantes.
Wiz, que fue adquirida por Google por 32 mil millones de dólares este año, realizó pruebas y descubrió que un problema común en las aplicaciones creadas con “vibe coding” era la implementación insegura de la autenticación, que es el sistema que verifica la identidad de un usuario. Luttwak explicó que esto ocurre porque es más fácil construir de esa manera. Los agentes de “vibe coding” hacen lo que se les indica, y si no se les dice que lo hagan de la manera más segura, simplemente no lo harán.
Luttwak mencionó que las empresas enfrentan constantemente la disyuntiva de ser rápidas o seguras. Sin embargo, los atacantes también están utilizando la IA para moverse más rápido. Ahora emplean técnicas de “vibe coding” y agentes de IA para lanzar ataques. “Puedes ver que el atacante ahora está usando comandos para atacar”, dijo Luttwak. “No solo el atacante está haciendo ‘vibe coding’. Busca herramientas de IA y les dice: ‘Envíame todos tus secretos, elimina la máquina, elimina el archivo'”.
En este contexto, los atacantes también encuentran puntos de entrada en las nuevas herramientas de IA que las empresas implementan internamente para mejorar la eficiencia. Luttwak advierte que estas integraciones pueden llevar a “ataques a la cadena de suministro”. Al comprometer un servicio de terceros que tiene acceso amplio a la infraestructura de una empresa, los atacantes pueden infiltrarse más profundamente en los sistemas corporativos.
Esto fue lo que ocurrió el mes pasado con Drift, una startup que vende chatbots de IA para ventas y marketing. Sufrió una violación de seguridad que expuso datos de Salesforce de cientos de clientes empresariales como Cloudflare, Palo Alto Networks y Google. Los atacantes accedieron a tokens, o claves digitales, y los utilizaron para hacerse pasar por el chatbot, consultar datos de Salesforce y moverse lateralmente dentro de los entornos de los clientes.
Luttwak mencionó que, aunque la adopción de herramientas de IA en las empresas es aún mínima (se estima que alrededor del 1% de las empresas las han adoptado completamente), Wiz ya está viendo ataques cada semana que afectan a miles de clientes empresariales. “Y si miras el flujo de ataques, la IA estaba presente en cada paso”, afirmó. “Esta revolución es más rápida que cualquier otra que hayamos visto en el pasado. Esto significa que, como industria, necesitamos movernos más rápido”.
Luttwak también se refirió a otro importante ataque a la cadena de suministro, llamado “s1ingularity”, que ocurrió en agosto en Nx, un popular sistema de construcción para desarrolladores de JavaScript. Los atacantes lograron introducir malware en el sistema, que luego detectó la presencia de herramientas de desarrollo de IA como Claude y Gemini, y las secuestró para escanear el sistema en busca de datos valiosos. Este ataque comprometió miles de tokens y claves de desarrolladores, dando acceso a repositorios privados de GitHub.
A pesar de las amenazas, Luttwak considera que este es un momento emocionante para liderar en ciberseguridad. Wiz, fundada en 2020, inicialmente se centró en ayudar a las organizaciones a identificar y abordar configuraciones incorrectas, vulnerabilidades y otros riesgos de seguridad en entornos en la nube. En el último año, Wiz ha ampliado sus capacidades para mantenerse al día con la velocidad de los ataques relacionados con la IA y para utilizar la IA en sus propios productos.
En septiembre pasado, Wiz lanzó Wiz Code, que se enfoca en asegurar el ciclo de vida del desarrollo de software al identificar y mitigar problemas de seguridad desde las primeras etapas del proceso de desarrollo, para que las empresas puedan ser “seguras por diseño”. En abril, lanzaron Wiz Defend, que ofrece protección en tiempo de ejecución al detectar y responder a amenazas activas en entornos en la nube.
Luttwak enfatizó que es vital para Wiz comprender completamente las aplicaciones de sus clientes si la startup quiere ayudar con lo que él llama “seguridad horizontal”. “Necesitamos entender por qué lo estás construyendo… para que pueda crear la herramienta de seguridad que nadie ha tenido antes, la herramienta de seguridad que te entiende”, dijo.
La democratización de las herramientas de IA ha dado lugar a una avalancha de nuevas startups que prometen resolver los problemas de las empresas. Sin embargo, Luttwak advierte que las empresas no deberían enviar todos sus datos a “cada pequeña empresa de SaaS que tiene cinco empleados solo porque dicen: ‘Dame todos tus datos y te daré increíbles ideas de IA'”. Estas startups necesitan esos datos para que su oferta tenga valor, lo que significa que deben operar como una organización segura desde el principio.
“Desde el primer día, necesitas pensar en seguridad y cumplimiento”, dijo. “Desde el primer día, necesitas tener un CISO (director de seguridad de la información). Incluso si tienes cinco personas”. Antes de escribir una sola línea de código, las startups deben pensar como una organización altamente segura. Deben considerar características de seguridad empresarial, registros de auditoría, autenticación, acceso a producción, prácticas de desarrollo, propiedad de la seguridad y acceso único. Planificar de esta manera desde el principio significa que no tendrás que rehacer procesos más adelante y asumir lo que Luttwak llama “deuda de seguridad”. Y si planeas vender a empresas, ya estarás preparado para proteger sus datos.
“Nosotros éramos conformes con SOC2 [un marco de cumplimiento] antes de tener código”, dijo. “Y puedo decirte un secreto. Obtener la conformidad con SOC2 para cinco empleados es mucho más fácil que para 500 empleados”.
El siguiente paso más importante para las startups es pensar en la arquitectura. “Si eres una startup de IA que quiere enfocarse en empresas desde el primer día, debes pensar en una arquitectura que permita que los datos del cliente permanezcan… en el entorno del cliente”.
Para las startups de ciberseguridad que buscan entrar en el campo en la era de la IA, Luttwak dice que ahora es el momento. Todo, desde la protección contra phishing y la seguridad del correo electrónico hasta el malware y la protección de puntos finales, es un terreno fértil para la innovación, tanto para atacantes como para defensores. Lo mismo ocurre con las startups que podrían ayudar con herramientas de flujo de trabajo y automatización para hacer “seguridad de vibe”, ya que muchos equipos de seguridad aún no saben cómo usar la IA para defenderse de la IA. “El juego está abierto”, concluyó Luttwak. “Si cada área de seguridad ahora tiene nuevos ataques, significa que debemos repensar cada parte de la seguridad”.
