Hace lo que parece una eternidad, a los equipos de seguridad les preocupaba que los atacantes examinaran manualmente las aplicaciones en busca de vulnerabilidades que pudieran explotar.
En apenas un par de meses, ese proceso parece ahora casi pintoresco en su forma de explotar vulnerabilidades, ¿no es así?
Con la aplicación de modelos de IA de vanguardia y proyectos como Claude Mythos al código de aplicaciones y a los ecosistemas de código abierto, el descubrimiento de vulnerabilidades se ha vuelto, en muy poco tiempo, exponencialmente más rápido, infinitamente más escalable e incluso mucho menos costoso. Y lo mismo ha ocurrido con la posible explotación de esas vulnerabilidades descubiertas.
“Los equipos pueden confiar en una evaluación dinámica de amenazas que se centra en los comportamientos realmente maliciosos y permite que el tráfico legítimo circule sin impedimentos.”
En lugar de que un único investigador encuentre un fallo, la IA analiza rápidamente los repositorios, detecta patrones inseguros y ayuda a generar vías de explotación. El resultado es una nueva realidad: se descubrirán más vulnerabilidades antes y se convertirán en armas con mayor rapidez.
Para las aplicaciones web y las API, así como para los millones de organizaciones de todo el mundo que las desarrollan y utilizan, la pregunta ya no es: «¿Veremos intentos de explotación?»; ahora es: «¿Qué exploits son los más importantes y podemos detener a tiempo los que realmente importan?»
El problema: ahogados en el ruido del WAF mientras se aceleran los exploits
Los firewalls de aplicaciones web (WAF) son un control esencial para bloquear ataques habituales. Sin embargo, los WAF tradicionales suelen obligar a tomar una decisión tajante: permitir o denegar el acceso a una aplicación o API. Esto puede generar un ciclo laborioso y lento para sus equipos de seguridad, con demasiadas alertas, incluidos falsos positivos y eventos de baja prioridad que requieren ajustes manuales (es decir, lentos) por parte de expertos para reducir el ruido sin bloquear el tráfico legítimo, pero con cada vez menos expertos disponibles (es decir, una brecha creciente de competencias y conocimientos).
Mientras tanto, los atacantes que utilizan la IA no van a bajar el ritmo porque tengáis una acumulación de tareas pendientes. De hecho, cuentan con que vuestros equipos de SecOps estén sobrecargados, desbordados y, en algunos casos, sencillamente hartos.
Pasar de las «alertas» a las «prioridades»
Por eso, la evaluación de riesgos se ha vuelto esencial.
El enfoque actual de asignar el mismo peso a todas las señales de un WAF genera demasiadas alertas, lo que provoca fatiga por alertas en unos equipos que ya están sobrecargados de trabajo. También genera demasiados falsos positivos, lo que puede frustrar a los usuarios de su aplicación.
Los equipos de SecOps se enfrentan a un equilibrio constante: ajustar continuamente las firmas del WAF para mantener una protección sólida y, al mismo tiempo, minimizar los falsos positivos. El ajuste manual del WAF es complejo y suele requerir una coordinación laboriosa entre los equipos de seguridad, desarrollo y operaciones, que normalmente ya están sobrecargados. Cuando las decisiones implican encontrar un equilibrio entre la rapidez, la precisión y el esfuerzo conjunto de varios equipos, la corrección se ralentiza y la exposición persiste. Por eso, las capacidades de WAF más avanzadas y basadas en IA son ahora más necesarias y esenciales que nunca.
En lugar de tratar todas las señales del WAF por igual, un modelo basado en el riesgo responderá a la verdadera pregunta operativa: «¿Sobre qué debemos actuar primero para reducir el riesgo al máximo?»
Un modelo basado en riesgos para las aplicaciones proporciona una puntuación de riesgo que traduce datos de seguridad complejos y aprovecha numerosas señales y fuentes de información para convertirlos en métricas cuantificables. La puntuación de riesgos mide la facilidad de explotación de una vulnerabilidad, la importancia crítica para el negocio y la sensibilidad de los datos. Aplicar este nivel de contexto a las vulnerabilidades de las aplicaciones moderniza y simplifica la priorización de parches, permite asignar los recursos de forma eficiente y reduce la brecha, cada vez menor, entre el riesgo técnico y el impacto empresarial.
Evaluar el riesgo de las vulnerabilidades ayuda a evitar la fatiga por alertas al identificar las amenazas más urgentes y críticas, de modo que los equipos de seguridad puedan parchear —o aplicar parches virtuales— a las vulnerabilidades que podrían causar el mayor daño potencial a la organización y a sus usuarios. La puntuación de riesgos aporta contexto y permite priorizar la protección, además de ayudar a estandarizar las evidencias de un enfoque de seguridad basado en riesgos, lo que simplifica el cumplimiento de la normativa.
WAF de F5 con tecnología de IA
En una entrada de blog publicada a principios de este año, «Protección de aplicaciones web sin complejidad: cómo el WAF basado en IA de F5 transforma la seguridad de los WAF», analizamos cómo las funcionalidades de WAF basado en IA de F5 Distributed Cloud WAF supusieron un avance significativo en la protección de aplicaciones web, al ofrecer una seguridad más sólida con menos falsos positivos y reducir, al mismo tiempo, la carga que supone para los equipos de SecOps el ajuste manual continuo. El WAF basado en IA cambia la forma en que se toman las decisiones sobre la seguridad de las aplicaciones, permitiendo que los equipos dejen atrás la gestión de reglas con una elevada carga de configuración y adopten una seguridad orientada a resultados.
En lugar de ajustar sin cesar cientos o miles de firmas, los equipos pueden confiar en una evaluación dinámica de las amenazas que detecta comportamientos realmente maliciosos y, al mismo tiempo, permite que el tráfico legítimo circule sin obstáculos. De este modo, las organizaciones pueden pasar más rápidamente al modo de bloqueo y obtener protección inmediata con un riesgo mucho menor de afectar a los usuarios reales.
Las funcionalidades basadas en IA de Distributed Cloud WAF ahora pueden asignar una puntuación numérica única e intuitiva para cuantificar la gravedad de las amenazas. Es muy similar a la ecuación que ya utilizan muchos equipos de seguridad: «Riesgo = Probabilidad × Impacto», pero expresada como una única puntuación numérica que los equipos pueden evaluar al instante.
La puntuación numérica incluye una puntuación de probabilidad, que mide la probabilidad de que un evento de seguridad se convierta en un ataque real, en lugar de corresponder a tráfico legítimo o a un falso positivo.
También incluye una puntuación de impacto, que cuantifica la gravedad que tendría la situación si el probable evento de seguridad se convirtiera en un ataque exitoso. Esta puntuación utiliza métricas vinculadas a consecuencias reales, como la confidencialidad, la integridad y la disponibilidad, además de indicadores como el sistema de puntuación de predicción de vulnerabilidades (EPSS) y la madurez del código de explotación.
Por qué esto es importante frente a la explotación de vulnerabilidades mediante IA
A medida que las herramientas de IA amplíen la investigación de vulnerabilidades, habrá más análisis, más sondeos y más «ataques frustrados por poco». El peligro radica en dedicar el escaso tiempo disponible para abordar amenazas reales a investigar eventos de seguridad equivocados, con el riesgo de que un exploit de gran impacto pase inadvertido para un equipo sobrecargado que ha estado centrando sus esfuerzos en la dirección equivocada.
La puntuación de riesgos ayuda a:
- Reducir la fatiga por alertas para que los equipos se centren en lo que realmente supone un peligro.
- Tome decisiones más rápidas y fundamentadas sobre si investigar, bloquear o ignorar una posible amenaza.
- Reduzca los ajustes manuales utilizando señales cuantitativas en lugar de modificar reglas sin cesar, lo que permite ahorrar un tiempo valioso a unos equipos de seguridad ya sobrecargados y con falta de personal.
- Permita que los equipos de SecOps más pequeños trabajen de forma eficaz, de modo que las nuevas incorporaciones puedan actuar basándose en una puntuación clara y no en conocimientos informales.
La conclusión
La IA de vanguardia está acortando el plazo entre «existe una vulnerabilidad» y «se está explotando activamente». En este contexto, la seguridad no puede reducirse a una lista de alertas sin clasificar. La puntuación de riesgos convierte el ruido del WAF en información clara, lo que ayuda a priorizar las amenazas reales y a detener la explotación de vulnerabilidades antes de que se convierta en un incidente.
Para obtener más información, consulte nuestro comunicado de prensa y nuestras páginas de producto sobre las soluciones WAF de F5.
Solicite una prueba gratuita o hable hoy mismo con un experto
Sobre los autores
Artículos relacionados del blog
El imperativo empresarial de la IA en un mundo de nube híbrida y multinube
Cómo la IA redefine los patrones de tráfico, el riesgo de las API y el cumplimiento normativo, y por qué el paquete Distributed Cloud Services Enterprise ofrece la profundidad necesaria en entornos híbridos multicloud.
STIG de F5 NGINX: un plan de seguridad para el sector público y los entornos regulados
Descubra cómo las STIG de F5 NGINX proporcionan un modelo de seguridad para el Departamento de Defensa de EE. UU. y los entornos regulados, ayudándole a cumplir la normativa mientras crea una infraestructura sólida de confianza cero con mayor visibilidad y resiliencia.
Cómo el marco AEGIS de Forrester valida un enfoque centrado en la inferencia
El auge de la IA agéntica está transformando el panorama de la seguridad empresarial. Estos agentes de IA autodirigidos funcionan de forma autónoma, toman decisiones en tiempo real y pueden interactuar entre distintos sistemas de maneras para las que las arquitecturas tradicionales de ciberseguridad no fueron diseñadas. Aunque esto abre nuevas posibilidades, también introduce riesgos sistémicos: fallos en cascada, secuestro de objetivos y superficies de ataque hasta ahora invisibles. El reciente […] de Forrester
La nueva superficie de riesgo de la IA: invisible, autónoma y ya está dentro
James White, vicepresidente de Ingeniería de F5 A mediados de 2025, es un buen momento para hacer balance de la adopción de la IA en las empresas y del estado de la seguridad de la IA. El uso de la IA generativa ya es habitual en las empresas En general, las empresas cuentan al menos con unos conocimientos básicos sobre la IA generativa. Entienden qué es y dónde puede […]
Protegiendo el futuro: cómo CalypsoAI se alinea con el Top 10 de OWASP para los LLM
Cuando OWASP publicó su Top 10 de 2025 para grandes modelos de lenguaje (LLM), proporcionó al sector un referente de seguridad muy necesario. Pero los referentes no sirven de nada si no se actúa. CalypsoAI aborda el 80 % del Top 10 de OWASP, dando prioridad a los riesgos reales más urgentes. La plataforma combina protección en tiempo real durante la ejecución y pruebas adversariales exhaustivas, ofreciendo una cobertura inigualable frente a las […]
Implementación de LLM en la empresa: mediante una API local
Por sí solos, sin medidas de protección ni protocolos adicionales de seguridad para la IA, el despliegue de modelos de IA generativa —en particular, modelos de lenguaje de gran tamaño (LLM)— en toda la empresa supone una oportunidad de alto riesgo y grandes beneficios para cualquier organización. Sin embargo, determinar exactamente cómo debe dar su organización este gran paso hacia el ámbito de la IA generativa requiere una planificación minuciosa. Quizá […]