El impacto de los modelos de IA frontera en la detección de fallos
Microsoft ha identificado que la principal alteración que introducen los modelos de IA frontera no reside únicamente en la velocidad de escaneo de código o en el diseño de parches, sino en la cantidad masiva de hallazgos que generan. Los equipos de seguridad se enfrentan ahora a un volumen de vulnerabilidades detectadas muy superior al que cualquier proceso de revisión humana fue diseñado para gestionar, lo que desplaza el desafío desde la capacidad de detección hacia la capacidad de priorización y remediación correcta.
La compañía utiliza estos modelos avanzados para analizar su propia base de código, evaluando la validez, la severidad y el impacto potencial de cada fallo encontrado. Este proceso se ha automatizado en gran medida, permitiendo que la mayoría de las vulnerabilidades en el software de nube de Microsoft se mitiguen sin que el cliente final tenga que intervenir. Sin embargo, para el software on-premises (instalado localmente en los servidores del cliente), la situación es distinta y requiere una acción directa del usuario.
Un dato concreto que refleja este cambio es el volumen de parches emitidos en los llamados Patch Tuesdays. En septiembre de 2026, Microsoft registró una cifra récord cercana a las 1.000 vulnerabilidades publicadas, un aumento sustancial respecto a los volúmenes históricos previos a la implementación de modelos de IA frontera a principios de año. Este incremento es una consecuencia directa de la mayor capacidad de descubrimiento de fallos que aporta la inteligencia artificial.
Implementación de capas de control y el sistema MDASH
Debido a que los modelos de IA son no deterministas —es decir, que pueden arrojar resultados diferentes ante la misma consulta o según el modelo utilizado—, Microsoft ha implementado una capa de control denominada harness. Esta arquitectura actúa como un entorno envolvente que regula cómo los modelos acceden al código, valida las salidas generadas e integra los hallazgos directamente en los flujos de trabajo de triaje y remediación.
Esta metodología de harness se ha extendido a todos los grupos de ingeniería de la compañía para asegurar que los resultados del escaneo sean consistentes y accionables. Microsoft ha puesto a disposición de sus clientes una de estas herramientas, bajo el nombre en código MDASH, permitiendo que las organizaciones apliquen la misma rigurosidad en el escaneo de sus propias bases de código que la que la empresa utiliza internamente.
Además del escaneo automático, la compañía ha integrado la IA en sus actividades de Red Teaming. El Red Teaming es la práctica de simular ataques reales contra la propia infraestructura para encontrar debilidades en los controles de seguridad. La incorporación de IA en estas operaciones ha incrementado la eficiencia y la velocidad con la que el equipo puede identificar brechas de seguridad antes de que sean explotadas por actores malintencionados.
Recomendaciones estratégicas para los responsables de seguridad
Ante el escenario donde los atacantes también disponen de modelos de IA para acelerar la explotación de vulnerabilidades desconocidas o no parcheadas, Microsoft insta a los CISO a reevaluar la asignación de recursos. Es imperativo incrementar el presupuesto y el personal dedicado al parcheo y la priorización del software on-premises, dado que el volumen de actualizaciones seguirá siendo elevado en el futuro próximo.
Uno de los cambios más críticos propuestos es la modificación de los tiempos de aplicación de parches en sistemas esenciales, como los controladores de dominio y los dispositivos de borde (edge devices). Tradicionalmente, estas actualizaciones se programaban en fines de semana o festivos para evitar interrupciones en el servicio. No obstante, la IA ha reducido drásticamente el tiempo que transcurre entre la publicación de un parche y la creación de un exploit por parte de los atacantes.
Microsoft recomienda que los CISO consideren desplegar las correcciones en estos sistemas críticos en un plazo máximo de 24 horas, eliminando la espera hasta la siguiente ventana de mantenimiento. Asimismo, se sugiere que las organizaciones no esperen a tener acceso a los modelos de IA más avanzados para empezar a escanear su código, sino que utilicen los harnesses disponibles y asignen recursos específicos, tanto en tokens de procesamiento como en capital humano, para el triaje de errores.
Defensa en profundidad y el modo Baseline Security
La compañía sostiene que, dado que no todas las vulnerabilidades podrán parchearse a tiempo, la estrategia de defensa en profundidad cobra una importancia vital. Este concepto se basa en implementar múltiples capas de seguridad independientes para que, si una falla, las demás sigan protegiendo el activo. En este contexto, Microsoft ha desarrollado el Microsoft Baseline Security Mode (BSM).
El BSM es una herramienta que permite a las organizaciones implementar y monitorizar configuraciones de seguridad basadas en los mismos estándares que Microsoft utiliza para proteger su propia infraestructura. Este sistema permite realizar análisis de escenarios para evaluar el impacto de nuevos controles en los tenants existentes, facilitando un despliegue controlado y gradual. Los administradores pueden activar o desactivar controles y gestionar excepciones según las necesidades operativas de la empresa.
El despliegue de BSM está disponible para los clientes actuales dentro de sus acuerdos de licencia vigentes. Microsoft ha anunciado que los nuevos tenants de clientes comenzarán a implementar los controles de BSM de forma gradual y predeterminada, reduciendo la carga de configuración manual sobre el cliente y elevando la postura de seguridad inicial.
Filosofías de Secure by Design y Secure by Default
Para reducir la responsabilidad de implementación que recae sobre los clientes, Microsoft está aplicando los principios de Secure by Design y Secure by Default en todo su catálogo de productos. Secure by Design implica que la seguridad es la prioridad desde la fase de concepción del producto, siendo una característica inherente que el cliente no puede desactivar ni necesita activar manualmente.
Ejemplos concretos de Secure by Design incluyen la obligatoriedad de la autenticación multifactor (MFA) para los administradores de Microsoft Azure, la aplicación de políticas de Acceso Condicional para el registro de Windows Hello for Business y la implementación de seguridad integrada en la arquitectura interna de Azure.
Por otro lado, Secure by Default se refiere a que las protecciones y configuraciones seguras vienen activadas por defecto, sin requerir esfuerzo adicional del usuario. Entre las medidas implementadas bajo este criterio se encuentran la activación predeterminada del borrado suave en Azure Backup y la desactivación del acceso saliente predeterminado en Azure VNet. Aunque los clientes pueden optar por desactivar ciertos controles si aceptan un nivel de riesgo mayor, la configuración inicial busca maximizar la resiliencia.
Colaboración en el ecosistema de código abierto
Microsoft ha reconocido que el uso masivo de software de código abierto en las infraestructuras corporativas introduce un riesgo significativo en la cadena de suministro. Muchos mantenedores de proyectos open source carecen de las herramientas y los recursos necesarios para responder con la rapidez que exige la era de la IA, lo que facilita que los atacantes encuentren y exploten fallos antes de que exista una corrección.
Para mitigar este riesgo, la compañía ha establecido alianzas con otras empresas del sector tecnológico. El objetivo es coordinar el escaneo y el parcheo de vulnerabilidades en componentes críticos de código abierto. Mediante la puesta en común de recursos, estas organizaciones priorizan el análisis de paquetes open source y colaboran directamente con los mantenedores originales para implementar las soluciones técnicas antes de que sean detectadas por actores maliciosos.
Este enfoque colaborativo busca cerrar la brecha de seguridad en el software compartido, asegurando que la capacidad de descubrimiento impulsada por la IA no se convierta en una ventaja exclusiva para los atacantes, sino que sirva para fortalecer la base tecnológica global sobre la que se asientan la mayoría de las empresas modernas.
