ENISA advierte de que la IA podría convertir nuevas vulnerabilidades en armas en solo 15 minutos

La Agencia de la Unión Europea para la Ciberseguridad (ENISA) advierte de que la IA de frontera podría reducir a solo 15 minutos el tiempo necesario para convertir en arma vulnerabilidades recién descubiertas, según escribe Security Affairs.

La advertencia procede del informe de ENISA de julio de 2026, Ciberseguridad en la era de la IA de frontera, que sostiene que la IA está acelerando casi todas las fases de un ciberataque, desde el reconocimiento y la explotación hasta el robo de datos.

La IA está acelerando drásticamente los ciberataques

ENISA afirma que el tiempo medio entre un compromiso inicial y el robo de datos puede reducirse ahora a unos 72 minutos.

Más preocupante aún, los atacantes podrían convertir en arma una vulnerabilidad recién descubierta en apenas 15 minutos.

Los sistemas basados en IA pueden automatizar trabajo que antes requería una investigación manual considerable y conocimientos técnicos, lo que permite a los atacantes moverse mucho más rápido que los equipos de seguridad tradicionales.

Las herramientas de IA están encontrando muchas más vulnerabilidades

ENISA también destacó el caso de una organización que antes identificaba alrededor de 80 CVE por trimestre.

Tras introducir herramientas de IA, esa cifra saltó, según los informes, a aproximadamente 500 vulnerabilidades al día.

El aumento muestra cómo la IA puede escalar drásticamente el descubrimiento y el análisis de vulnerabilidades, lo que crea un reto cada vez mayor para las organizaciones que aún dependen de procesos manuales más lentos.

ENISA advierte de una «brecha de autoridad»

ENISA describe otro problema emergente como la «brecha de autoridad».

El término se refiere a situaciones en las que los procesos internos de aprobación y toma de decisiones tardan más de lo que un ataque automatizado necesita para establecer persistencia dentro de una red.

Los equipos de seguridad pueden identificar un problema grave rápidamente, pero los procedimientos manuales de revisión, autorización y remediación pueden impedirles responder a la misma velocidad que los atacantes basados en IA.

Eso podría hacer que los flujos de trabajo tradicionales de gestión de vulnerabilidades sean cada vez más ineficaces.

ENISA quiere que las organizaciones automaticen la remediación

ENISA recomienda desviar recursos de simplemente encontrar más vulnerabilidades hacia una priorización y una remediación más rápidas.

Las organizaciones pueden utilizar sistemas de triaje automatizado como el Exploit Prediction Scoring System (EPSS) y el Vulnerability Exploitability Exchange (VEX) para identificar qué fallos requieren la respuesta más rápida.

ENISA también recomienda mantener inventarios de activos precisos para que los equipos de seguridad puedan priorizar de inmediato los sistemas críticos.

La agencia afirma que las organizaciones deberían aspirar a tiempos de detección y respuesta de un solo dígito en minutos a medida que la automatización de los ataques siga mejorando.

La IA también puede ayudar a los defensores a abordar vulnerabilidades a gran escala. Las actualizaciones de Microsoft del Patch Tuesday de septiembre de 2026, por ejemplo, corrigieron 966 vulnerabilidades.

Sin embargo, algunos fallos todavía pueden eludir esas mejoras de seguridad. La vulnerabilidad ShieldCrash, revelada recientemente, demostró que incluso los sistemas Windows totalmente actualizados pueden seguir expuestos.

La advertencia de ENISA sugiere que las organizaciones quizá necesiten replantearse por completo la gestión de vulnerabilidades a medida que la IA sigue comprimiendo los plazos de los ataques de días u horas a minutos.