Casi 40.000 CVE en seis meses: Microsoft muestra cómo la IA acorta el tiempo hasta el ataque
Las máquinas asumen tareas que antes llevaban días y requerían especialistas escasos
A los defensores les queda cada vez menos tiempo entre la divulgación de una vulnerabilidad y el primer ataque. Microsoft contabilizó casi 40.000 CVE publicados solo en la primera mitad de 2026 y advierte que la IA reduce la preparación de algunos ataques de días a horas e incluso minutos.
En el informe Microsoft Digital Defense Report la empresa describe cómo la IA ayuda a buscar vulnerabilidades, crear mensajes de phishing, analizar datos robados y preparar la explotación de errores encontrados. En uno de los experimentos, el sistema completó por sí solo una cadena de 32 pasos.
El tiempo entre la detección de una vulnerabilidad y la aparición de una herramienta de ataque se está reduciendo con especial rapidez. La mediana ya ha bajado por debajo de las 24 horas. Al mismo tiempo, a las empresas suele llevarles entre 30 y 60 días arreglar problemas críticos en sistemas externos. Microsoft advirtió anteriormente que los ciclos de actualización habituales encajan cada vez peor con la velocidad de los ataques.
También crece la cantidad de problemas encontrados. Casi 40.000 CVE en medio año no significa necesariamente que los programas sean menos seguros. La IA ayuda a revisar más rápido enormes volúmenes de código y a encontrar errores que antes podían permanecer sin ser detectados durante mucho tiempo.
Esa misma tecnología ayuda a los atacantes a desglosar correcciones, comparar versiones de programas y buscar vías de explotación. Sin embargo, los ciberataques complejos completamente autónomos aún no se han convertido en la norma. En muchos casos, una persona todavía debe supervisar las acciones del sistema.
En el informe Microsoft ofrece otra cifra ilustrativa. Los sistemas en la nube expuestos en internet se enfrentan de media a un ataque en tan solo 5,3 horas. En ese contexto, el enfoque tradicional, en el que las actualizaciones se estudian, prueban e instalan según un calendario, deja una ventana demasiado amplia para los atacantes.