Detectar posibles vulnerabilidades en el software de código abierto se ha vuelto más fácil con las herramientas de inteligencia artificial, pero la facilidad para encontrar un supuesto problema no significa que sea una vulnerabilidad real y explotable. Como resultado, los responsables de los proyectos se enfrentan a un flujo de informes extensos, imprecisos o repetidos, lo que consume tiempo que podría dedicarse a corregir defectos y desarrollar el software.
La iniciativa Akrites, anunciada por la Linux Foundation en junio, intenta abordar esta brecha mediante un equipo conjunto de respuesta a incidentes de seguridad (SIRT). Su misión consiste en recopilar y verificar informes de vulnerabilidades y coordinar las correcciones con los responsables de los proyectos originales. En una entrevista con The New Stack durante la Open Source Summit Europe en Praga, Christopher Robinson, director técnico de Akrites y arquitecto jefe de seguridad de la Open Source Security Foundation (OpenSSF), y Laura Guazzelli, arquitecta de seguridad de inteligencia artificial y sistemas agénticos en la Linux Foundation, explicaron la naturaleza del problema y el funcionamiento de la iniciativa.
De la «investigación espontánea» a la carga operativa
Robinson afirma que ahora basta con tener una cuenta de pago de 20 dólares para empezar a buscar vulnerabilidades, en una señal de que la barrera de entrada para las personas no especializadas ha disminuido. Adrianne Marcum, directora de personal de OpenSSF, describió este patrón de forma satírica con la expresión «vibe researching», para referirse al uso de herramientas de inteligencia artificial para examinar código y enviar los resultados sin contar con el contexto de seguridad ni la experiencia necesarios para verificarlos.
Robinson calcula que revisar una sola solicitud de seguridad puede exigir al ingeniero hasta ocho horas. Además, según su descripción, los informes automatizados son muy detallados, pero a menudo imprecisos; exageran la gravedad del problema y no siempre proporcionan los datos necesarios para escribir una corrección o comprender el método de explotación.
¿Por qué no basta con detectar código sospechoso?
Una de las principales limitaciones es que el modelo puede detectar un fragmento sospechoso sin comprender toda la arquitectura de seguridad del proyecto. Puede haber controles adicionales en otro lugar que impidan explotar el fallo, lo que convierte el informe en una falsa alarma o reduce su gravedad real. Además, los modelos similares tienden a detectar los mismos defectos, por lo que llegan a los responsables varios informes sobre el mismo problema.
Sin embargo, Akrites no considera que ignorar los informes generados por inteligencia artificial sea una opción práctica. Robinson afirma que la calidad de los resultados ha mejorado durante el último año, especialmente en los modelos de pago más costosos. Las herramientas también pueden, en ocasiones, relacionar problemas de baja gravedad y transformarlos en una cadena de explotación mayor, una tarea que a un investigador humano podría llevarle meses o un año.
Revisión humana antes de que el informe llegue al proyecto
Akrites utiliza inteligencia artificial para evaluar los informes recibidos y detectar duplicados; después, ingenieros en comisión de servicio los revisan antes de remitirlos a los responsables. Su función no se limita a determinar si existe la vulnerabilidad, sino que también incluye resumir el informe y añadir casos de prueba, pruebas de concepto y correcciones, para que el proyecto pueda tomar una decisión más rápida y basada en evidencias.
La iniciativa cuenta entre sus miembros fundadores con Anthropic, OpenAI, Google, Microsoft, AWS, NVIDIA, Cisco, IBM, Red Hat, Citi y JPMorganChase. Según Robinson, se pide a los miembros que aporten recursos de ingeniería además de financiación, y el compromiso puede llegar a 10 ingenieros a tiempo completo por miembro. Afirma que cuenta con unos 200 ingenieros en comisión de servicio, muchos de ellos colaboradores o responsables de proyectos de código abierto.
¿Qué cambia en la práctica?
Akrites coloca una capa de clasificación y verificación entre las herramientas de detección de vulnerabilidades y los responsables de los proyectos, en lugar de transferir directamente cada resultado automatizado a los propietarios del código. Esto puede reducir el ruido y mejorar la utilidad práctica de los informes, pero no elimina la necesidad de experiencia humana ni de financiación continua, ya que la infraestructura y el uso de modelos de lenguaje consumen muchos recursos.
Otra iniciativa vinculada a la Linux Foundation, el open source Cyber Reasoning System (OSS-CRS), trabaja en el desarrollo de herramientas que ayuden a los propios proyectos a investigar vulnerabilidades y proponer correcciones. Mientras Akrites se centra en coordinar el ciclo de los informes entre los proyectos, OSS-CRS busca permitir que los responsables ejecuten una parte mayor del trabajo. La eficacia de las correcciones propuestas sigue siendo una cuestión abierta, ya que debe verificarse que aborden la causa raíz y no introduzcan nuevas vulnerabilidades ni rompan funciones existentes.