Divulgaciones de vulnerabilidades aceleradas por IA abruman a los defensores
Un grupo de fallos críticos y brechas llegó en unas 48 horas, y algunas afirmaciones sobre atribución y procedencia siguen en disputa.
15kCVEs mensuales, según se reporta, subieron desde 4k
En corto
- En unas 48 horas, llegó un grupo de divulgaciones críticas y brechas al mismo tiempo.
- GitLab divulgó un fallo CVSS 10 que afecta a versiones desde 2014, y PHP2Shell es un RCE no autenticado en PHP.
- LiteLLM 1.107.0 salió con un robador de contraseñas, y Zeabur cierra tras una brecha que afectó a 321,810 cuentas.
- Microsoft atribuye el compromiso de la cadena de suministro de ConnectWise al grupo Storm-0940, alineado con China, que usó el marco agéntico ARTEX contra más de 2,250 inquilinos de Microsoft 365.
Por qué importa
La ola se lee como una prueba de si los defensores pueden seguir el ritmo del descubrimiento impulsado por IA. Los reportes no coinciden sobre si esto muestra que el ataque gana o que fue una auditoría defensiva, y Joshua Achiam habría dicho que solo unos 4 de unos 16 incidentes mayores ocurrieron esta semana. Para los desarrolladores, los casos de LiteLLM y Railway exigen revisar secretos y dependencias ahora, y se recomienda a los usuarios de Python actualizar pip, uv, certifi y los almacenes de CA del sistema.
“are going to get a lot worse before they get better.”