¿La IA arreglará las vulnerabilidades del software? El NIST decidió que ya es hora de arriesgarse

La base de datos estadounidense de vulnerabilidades NVD se prepara para una reestructuración importante. El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) quiere adaptar una de las principales fuentes de datos sobre vulnerabilidades a la era de la inteligencia artificial, cuando se detectan problemas nuevos con mayor rapidez y procesar manualmente el flujo creciente de información se vuelve más difícil.

Durante más de dos décadas, la NVD ha servido como repositorio público de información estandarizada sobre vulnerabilidades. Las herramientas de protección, los desarrolladores de software y los sistemas de evaluación de riesgos se apoyan en los datos de la base. Actualmente, los registros CVE llegan automáticamente a la NVD aproximadamente una hora después de su publicación, tras lo cual los especialistas los complementan con valoraciones de severidad, información sobre las versiones de productos afectadas y otros datos.

El NIST considera que el modelo anterior para tratar las vulnerabilidades es cada vez menos adecuado para las condiciones modernas. La cantidad y complejidad de los problemas detectados crece, la calidad de los datos iniciales varía, y la inteligencia artificial permite acelerar la búsqueda, el análisis e incluso la explotación de vulnerabilidades. Los actores malintencionados pueden emplear estos sistemas para buscar masivamente puntos débiles y desarrollar ataques. Al mismo tiempo, la inteligencia artificial puede ayudar a los defensores a procesar más rápidamente la información entrante y preparar correcciones.

En lugar de verificaciones periódicas, evaluaciones estáticas de riesgo e instalación manual de correcciones, el NIST propone avanzar hacia un funcionamiento continuo y en gran medida automatizado. El instituto quiere determinar qué fases pueden confiarse a la inteligencia artificial, dónde debe permanecer el factor humano y cómo evitar una dependencia excesiva de las conclusiones obtenidas automáticamente. Otra cuestión es cuán transparentes son las decisiones para que las organizaciones puedan comprobar por qué el sistema asignó a una vulnerabilidad un determinado nivel de prioridad.

La automatización puede afectar no solo al análisis. El NIST estudia la posibilidad de aplicar la inteligencia artificial en la preparación e instalación de correcciones. El instituto pregunta a los participantes del sector qué mecanismos de protección serán necesarios para que una corrección creada por error no provoque nuevos problemas, así como quién debe supervisar los cambios preparados por la inteligencia artificial para empresas y proyectos de código abierto.

Parte del trabajo ya ha comenzado. El NIST está desarrollando la herramienta V-etalon, que aplica tecnologías de inteligencia artificial para complementar la información sobre vulnerabilidades. En el futuro, el desarrollo debería ayudar a evaluar la calidad de esa información. El instituto planea publicar V-etalon en GitHub y convocar a la comunidad para que verifique y continúe trabajando en el proyecto. Paralelamente, el NIST está actualizando la especificación CPE, que se utiliza para describir de forma uniforme los productos afectados.

El organismo también quiere entender qué debe ser la NVD en los próximos cinco años. Entre los objetivos figuran un procesamiento más rápido de los datos, la interoperación con otras fuentes de información sobre amenazas y vulnerabilidades, la mejora de los datos legibles por máquinas y una priorización más precisa teniendo en cuenta la infraestructura real de la organización. Al mismo tiempo, el NIST tiene la intención de conservar la transparencia, la precisión y la disponibilidad gratuita de la base.

Todavía no se ha aprobado una nueva arquitectura concreta de la NVD. El NIST abrió una convocatoria pública de propuestas dirigida a desarrolladores, especialistas en seguridad de la información, proveedores de software, organismos gubernamentales y otras organizaciones interesadas. Los comentarios se aceptan hasta el 13 de octubre de 2026, y el instituto tiene la intención de tener en cuenta las propuestas recibidas al elegir la arquitectura, desarrollar nuevas herramientas, normas y reglas para el manejo de los datos.