Reducción del tiempo de protección con el agente autoevolutivo contra vulnerabilidades de Cato
En resumen: En la era de los modelos de IA de vanguardia, la detección de vulnerabilidades y el desarrollo de exploits están aumentando a un ritmo más rápido del que los defensores humanos pueden seguir manualmente. Los equipos de seguridad ya se enfrentan a un volumen cada vez mayor de CVE, a plazos de explotación más cortos y a procesos manuales para investigar vulnerabilidades, crear medidas de protección, validarlas y prepararlas para su implementación. Dado que los atacantes aprovechan las vulnerabilidades más rápido de lo que las organizaciones tardan en corregirlas, el «tiempo de protección» se está convirtiendo en un indicador de seguridad fundamental.
En Cato, hemos desarrollado el Agente auto evolutivo de protección multimodal contra vulnerabilidades para acelerar el proceso desde la divulgación de un CVE hasta la protección del cliente. A lo largo de dos fases piloto, el agente generó protecciones viables para múltiples clases de vulnerabilidades, con resultados coherentes. En la primera fase, varias de las protecciones generadas igualaron o superaron las protecciones ya implantadas en el entorno de producción. Tras las mejoras introducidas en el flujo de trabajo, en la segunda fase se obtuvieron firmas válidas para las seis CVE evaluadas, y la más rápida se completó en 45 minutos. En este blog, compartimos la metodología, los resultados y las conclusiones clave derivadas de la evaluación de un flujo de trabajo agéntico independiente del modelo, que mejora gracias a la retroalimentación de la validación, los registros de auditoría y la revisión por parte de los investigadores.
Flujo de trabajo del agente de protección CVE
El objetivo del flujo de trabajo es transformar una vulnerabilidad recién divulgada en una protección validada lo más rápido posible, manteniendo a los investigadores de seguridad en control de las decisiones finales.
A un alto nivel, el flujo de trabajo consta de cinco etapas e incluye un bucle de aprendizaje y refinamiento:
- Recolección de inteligencia sobre vulnerabilidades
- Análisis de «exploits»
- Generación de protecciones
- Validación
- Revisión del investigador
El flujo de trabajo combina varios modelos de inteligencia artificial con la capacidad de analizar diferentes tipos de elementos de seguridad, entre los que se incluyen avisos de proveedores, registros CVE, repositorios públicos y privados de confianza, capturas de pantalla y diagramas técnicos. Esto permite al agente adquirir una visión más amplia de la vulnerabilidad antes de generar y validar una medida de protección. La figura 1 presenta una visión general del flujo de trabajo de protección contra vulnerabilidades CVE basado en agentes, desde el análisis de vulnerabilidades hasta la validación y la revisión por parte de los investigadores.
Figura 1. El flujo de trabajo de alto nivel del agente para la protección multimodal contra amenazas de ciberdelincuencia (CVE)
Diseño multi-modelo y multimodal
El flujo de trabajo es tanto multi-modelo como multimodal. Se trata de un sistema multi-modelo, ya que puede utilizar distintos modelos de inteligencia artificial en función de la complejidad de la tarea, y multimodal, ya que puede analizar diferentes tipos de elementos de seguridad, entre los que se incluyen avisos de seguridad, código fuente, capturas de pantalla, diagramas técnicos y exploits de prueba de concepto.
Una de las metas clave del diseño era la flexibilidad. Las distintas fases de la investigación sobre vulnerabilidades requieren diferentes capacidades de razonamiento, por lo que resulta ineficaz utilizar el mismo modelo para todas las tareas. Durante nuestra evaluación, utilizamos principalmente Claude Sonnet 4.6 y Claude Opus 4.7, aunque también comenzamos a realizar evaluaciones con Claude Opus 4.8 y OpenAI GPT-5.5-Cyber poco después de su puesta en circulación.
Tareas como la extracción de metadatos, el análisis sintáctico de avisos y la coordinación de flujos de trabajo pueden gestionarse de manera eficiente mediante modelos de menor coste. Las actividades más complejas, como el análisis de vulnerabilidades, la generación de firmas y el perfeccionamiento de la validación, se benefician de modelos de razonamiento más sólidos. La arquitectura es intencionalmente agnóstica al modelo, permitiendo que las mejoras en los modelos base beneficien el flujo de trabajo sin rediseñar el sistema subyacente.
Entre bastidores, el agente está gestionado por una capa de orquestación que coordina 16 pasos y subagentes a lo largo de todo el flujo de trabajo de principio a fin. Cada subagente también puede activar otros subagentes en paralelo para mejorar la eficiencia. Los controles de integridad verifican si cada paso se ha completado según lo previsto y, si un paso no cumple los criterios exigidos, se reinicia automáticamente hasta que supere la validación.
La generación de firmas no se lleva a cabo únicamente mediante un modelo genérico. El flujo de trabajo utiliza agentes especializados, entrenados a partir de los conocimientos acumulados por Cato en materia de investigación de seguridad, la lógica de detección, los patrones de firmas del IPS, las técnicas de evasión y la experiencia en validación. Cada agente está diseñado para especializarse en una clase concreta de vulnerabilidad, como la ejecución remota de código, la elusión de la autenticación, el recorrido de rutas, la denegación de servicio, la divulgación de información o la explotación genérica. Esta especialización específica para cada clase contribuye a que el flujo de trabajo genere protecciones más sólidas para cada tipo de vulnerabilidad, en lugar de basarse en un enfoque único para todos los casos.
El flujo de trabajo también está diseñado para analizar información procedente de múltiples fuentes y formatos, entre los que se incluyen avisos de la CVE, comunicados de los proveedores, blogs de investigación sobre seguridad, repositorios públicos y privados de prestigio, diagramas técnicos, imágenes y capturas de pantalla. La combinación de estos datos permite al agente adquirir una comprensión más profunda del comportamiento de la vulnerabilidad antes de generar posibles medidas de protección.
La validación es una parte fundamental del flujo de trabajo, no un paso secundario. Las protecciones generadas se someten a pruebas para detectar tanto falsos positivos como falsos negativos, comparándolas con datos recientes de tráfico real procedentes del almacén de datos de Cato. Esto permite comprobar que las medidas de protección detectan las variantes de ataque pertinentes sin bloquear el tráfico legítimo.
Por último, el flujo de trabajo mejora gracias a los ciclos de retroalimentación generados a partir de los resultados de la validación, las revisiones de los investigadores, los registros de ejecución y los registros de auditoría. Esta información se utiliza para perfeccionar, con el paso del tiempo, las indicaciones, las habilidades, la lógica de los flujos de trabajo, los agentes especializados y las decisiones de enrutamiento de los modelos.
Evolución autónoma a través de la retroalimentación operativa
Un principio de diseño fundamental del Agente de protección multimodal CVE es la mejora continua. Cada vez que el agente completa un flujo de trabajo de principio a fin y genera una solicitud de incorporación de cambios, los investigadores de seguridad revisan la protección propuesta y aportan sus comentarios cuando es necesario realizar ajustes. Las correcciones pueden ser aplicadas manualmente por los investigadores o de forma automática mediante herramientas de apoyo.
El proceso de retroalimentación no finaliza con una única solicitud de incorporación de cambios. De forma periódica, un flujo de trabajo de aprendizaje automático analiza las solicitudes de incorporación de cambios completadas, los comentarios de los revisores y los incidencias resueltas. Al comparar la protección generada inicialmente por el agente con la versión final aprobada, el sistema identifica errores recurrentes, lógicas que faltan y oportunidades de mejora. A continuación, esta información se utiliza para actualizar las habilidades, los flujos de trabajo, la lógica de validación y los conocimientos que emplea el agente, lo que contribuye a reducir errores similares en ejecuciones futuras.
En consecuencia, el agente no permanece estático. Cada ciclo de revisión se convierte en una oportunidad para mejorar la calidad de la protección, agilizar futuras investigaciones y perfeccionar continuamente el proceso de investigación de vulnerabilidades de principio a fin.
Método de investigación
Con el fin de evaluar la eficacia del agente de protección multimodal contra el CVE, hemos llevado a cabo un estudio piloto que abarca múltiples categorías de vulnerabilidad. La evaluación incluyó 20 vulnerabilidades reales que abarcaban seis clases principales de ataques. En la primera fase, evaluamos 14 vulnerabilidades reales que abarcaban seis clases principales de ataques, utilizando los CVE para los que ya existían medidas de protección. Esto nos permitió comparar las protecciones generadas por el agente con las protecciones de producción existentes. En la segunda fase, tras mejorar el flujo de trabajo a partir de los resultados de la primera fase, evaluamos seis CVE adicionales para los que no existían medidas de protección en nuestro entorno. Estos CVE de la segunda fase procedían de algunas de las mismas clases de vulnerabilidades, entre ellas la ejecución remota de código (RCE), la elusión de la autenticación y el recorrido de rutas, pero no pretendían abarcar todas las clases una por una.
La tabla 1 resume las categorías de vulnerabilidad incluidas en el proyecto piloto y el número de CVE analizados en cada categoría.
Tabla 1. Categorías de vulnerabilidades incluidas en la evaluación piloto
Proceso de evaluación
Para cada vulnerabilidad, el agente analizó la información disponible al respecto, generó posibles medidas de protección y validó los resultados contrastándolos con los datos de telemetría disponibles y los flujos de trabajo de pruebas.
La evaluación varió ligeramente entre las dos fases piloto. En la primera fase, se eliminaron las protecciones existentes del entorno de pruebas, lo que nos permitió comparar las protecciones generadas por el agente con las que ya estaban disponibles en el entorno de producción. En la segunda fase, se sometió a prueba el flujo de trabajo frente a vulnerabilidades para las que no existían protecciones previas, lo que nos permitió evaluar el flujo de trabajo mejorado en condiciones nuevas y reales.
En ambas fases, la evaluación analizó el tiempo necesario para lograr la protección, la calidad de la protección y el nivel de intervención requerido por parte de los investigadores.
Resultados
La figura 2 resume la primera fase de la evaluación piloto, que abarca 14 vulnerabilidades pertenecientes a diversas clases de ataque. La figura destaca el tiempo de ejecución, el tiempo mínimo por CVE, la calidad de la protección y las tasas de éxito de los flujos de trabajo.
Figura 2. Resultados preliminares de la primera fase del proyecto piloto del proceso de gestión de CVE agénticos
Los resultados de la fase piloto muestran que el flujo de trabajo agéntico fue capaz de generar protecciones en un conjunto de datos CVE diverso, con características de tiempo y calidad uniformes.
La tabla 2 resume los principales indicadores de evaluación de la fase piloto.
Tabla 2: resumen de la evaluación piloto de la primera fase
Resultados del segundo piloto
Tras perfeccionar el flujo de trabajo a partir de la primera fase piloto, evaluamos el agente en seis vulnerabilidades que carecían de protecciones previas.
La figura 3 resume los resultados: En la segunda ronda del proyecto piloto 6-CVE, nuestro agente CVE generó firmas de vulnerabilidad válidas para todos los casos, y el tiempo mínimo por CVE fue de 45 minutos.
Figura 3. Resultados de la segunda fase del proceso de gestión de CVE agénticos
Hallazgos clave
Rápido y eficiente
A través de ambas fases piloto, el flujo de trabajo generó protecciones en horas en lugar de días. Esto es relevante porque la creación manual de protecciones suele requerir horas de trabajo de investigadores expertos en seguridad, lo que incluye el análisis de vulnerabilidades, el diseño de la lógica de detección, la validación, la revisión y el perfeccionamiento. En la primera fase, el tiempo de protección más rápido fue de 45 minutos. Tras las mejoras introducidas en el flujo de trabajo, en la segunda fase se obtuvieron firmas válidas para las seis CVE evaluadas, generándose múltiples protecciones en menos de una hora; la más rápida se completó en 45 minutos.
Alta tasa de éxito
El flujo de trabajo generó con éxito protecciones utilizables para casi todas las vulnerabilidades evaluadas. En la primera fase, varias de las protecciones generadas igualaron o superaron las protecciones ya implantadas en el entorno de producción. En la segunda fase, el agente produjo firmas de vulnerabilidad utilizables para los seis CVE recién divulgados.
Coherente y predecible
Los resultados obtenidos en ambas fases mostraron un comportamiento repetible en múltiples clases de vulnerabilidad, y el tiempo de ejecución se mantuvo dentro de unos límites razonables, en lugar de depender de ejecuciones aisladas que hubieran tenido éxito.
Los controles de seguridad funcionaron según lo previsto
En un caso, el flujo de trabajo detuvo correctamente el proceso debido a que no se disponía de suficiente información pública sobre el exploit. Esto puso de manifiesto la importancia de la aplicación de las políticas y de los mecanismos de protección en los flujos de trabajo de seguridad autónomos.
En la tabla 3 se presenta el conjunto de datos completo de la evaluación piloto, así como los resultados.
Tabla 3: Conjunto de datos y resultados de la evaluación piloto de la primera fase
La tabla 4 resume los resultados de la segunda fase piloto.
Tabla 4: Resultados de la segunda fase utilizando el flujo de trabajo mejorado
Análisis con calidad de protección
Más allá de la velocidad, la evaluación se centró en determinar si las protecciones generadas eran precisas, eficientes y adecuadas para su revisión por parte de los investigadores. A lo largo de la fase piloto, varias protecciones generadas alcanzaron niveles de calidad de producción, y algunas de ellas solo requirieron unos pequeños ajustes antes de su aprobación.
El agente fue capaz de tener en cuenta aspectos importantes relacionados con la detección, tales como las variaciones de los ataques, las diferencias de codificación, la especificidad de las firmas y la reducción de los falsos positivos. Esto contribuyó a garantizar que las medidas de protección generadas no solo se elaboraran con rapidez, sino que también resultaran prácticas para su aplicación en la vida real.
Estos resultados sugieren que la investigación sobre la vulnerabilidad de los agentes puede contribuir a una ingeniería de protección más rápida y eficaz, al tiempo que permite a los investigadores mantener el control sobre la validación y la aprobación finales.
Evaluación temprana de Claude Opus 4.8
Una de las ventajas de una arquitectura independiente del modelo es la capacidad de adoptar rápidamente nuevos modelos base a medida que estén disponibles.
Poco después de que Claude Opus 4.8 estuviera disponible el 28 de mayo de 2026, lo evaluamos utilizando CVE-2026-41940, una vulnerabilidad de cPanel de la que ya habíamos hablado anteriormente. La tabla 5 muestra los resultados de esta evaluación temprana de Claude Opus 4.8.
Tabla 5: Evaluación temprana de Claude Opus 4.8
El flujo de trabajo generó una protección de alta calidad en la primera ejecución en menos de una hora.
Por qué es importante la plataforma
La eficacia de la protección contra la vulnerabilidad agéntica no viene determinada únicamente por el modelo de IA subyacente. Un modelo puede ayudar a analizar una vulnerabilidad o a generar una medida de protección potencial, pero el verdadero valor reside en la arquitectura que lo rodea, la coordinación, la validación, los ciclos de retroalimentación y la capacidad de implementar medidas de protección de forma rápida y segura a gran escala.
La arquitectura nativa en la nube de Cato permite que el agente de protección multimodal contra vulnerabilidades (CVE) pase del análisis de vulnerabilidades a la protección del cliente sin que este tenga que realizar ninguna acción. Las nuevas medidas de protección pueden validarse con datos de tráfico reales, implementarse en toda la red global de puntos de presencia (PoP) de Cato y proporcionarse a través de una plataforma de seguridad unificada sin necesidad de ventanas de mantenimiento, actualizaciones de dispositivos ni intervención manual. Esto refuerza un principio más general que ya comentamos en The Mythos Moment: el valor a largo plazo de la IA no proviene únicamente del modelo base, sino también de la arquitectura, la coordinación y los ciclos de retroalimentación que se construyen a su alrededor.
The Mythos Moment | Read the blogAnálisis y conclusiones
La investigación piloto y los estudios de seguimiento demostraron que la investigación sobre la vulnerabilidad agéntica puede reducir de manera significativa el tiempo necesario para garantizar la protección en múltiples categorías de vulnerabilidad. El agente de protección multimodal contra amenazas informáticas (CVE) generó de forma constante medidas de protección con tiempos de ejecución predecibles, costes razonables y resultados de gran calidad. Igualmente importante es que la investigación puso de manifiesto que el cuello de botella está cambiando: generar protecciones ya no es la parte más difícil; es a la hora de validarlas y ponerlas en práctica de forma segura a gran escala donde la arquitectura de la plataforma, la telemetría del mundo real y la supervisión de los investigadores cobran un carácter fundamental.
Esto ya no es solo un piloto. Los investigadores de Cato ya están utilizando este proceso para contribuir a ofrecer a los clientes protecciones más rápidas y sólidas. La experiencia humana sigue siendo fundamental en el proceso: los investigadores revisan los resultados, validan los casos complejos y toman las decisiones finales de detección cuando es necesario, mientras que el agente automatiza las tareas repetitivas de investigación e ingeniería a escala de máquina. A medida que los modelos base siguen evolucionando, las arquitecturas independientes del modelo, como esta, ofrecen una vía práctica para traducir los avances en IA en una protección más rápida de los clientes.
