//72,833
CVE divulgados
Enero a septiembre de 2026 en la serie analizada [01]. No corresponde a una medición global de CVE descubiertos por IA.
ZTC RESEARCH / INVESTIGACIÓN INDEPENDIENTE
La nueva asimetría de la ciberseguridad
La inteligencia artificial está acelerando el descubrimiento de vulnerabilidades y, en determinados escenarios, reduciendo el tiempo disponible para proteger los sistemas frente a técnicas de explotación automatizada. Este contexto exige revisar los criterios normativos, actualizar e implementar las políticas internas y evolucionar hacia una gestión continua de la exposición y de su duración.
El tiempo de exposición se ha convertido en una decisión de arquitectura.
La aceleración de las divulgaciones y las capacidades demostradas de descubrimiento asistido por IA desafían los ciclos de seguridad heredados. Esta investigación separa evidencia, inferencia y recomendaciones operativas para convertir el riesgo en decisiones verificables.
43 días
Mediana de remediación completa
Vulnerabilidades del catálogo KEV en la muestra de Verizon DBIR 2026 (datos 2025) [29].
≤ 4 h
Objetivo propuesto de contención
Referencia voluntaria de ZTC Research para exposición extrema; no constituye un plazo normativo universal.
Distinguir descubrimiento, divulgación y explotación es indispensable: una cifra de CVE no demuestra por sí misma que la IA haya causado un aumento global de ataques exitosos.
Tres hallazgos para cambiar las decisiones
01
La velocidad de descubrimiento está cambiando
El volumen de divulgaciones crece en las fuentes examinadas, mientras que los casos técnicos acreditan capacidades reales de la IA. La proporción agregada atribuible a IA sigue sin estar demostrada.
02
Los plazos normativos requieren interpretación contextual
PCI DSS, CISA, ISO/IEC 27001, NIST y otros marcos responden a alcances diferentes. Cumplir una ventana de parcheo no sustituye la protección inmediata ante explotación activa.
03
La resiliencia exige pruebas, no declaraciones
Identidad por carga, segmentación, privilegios mínimos, aislamiento y cierre verificado limitan rutas de ataque cuando están implementados y probados.
La investigación invita a organismos normativos y organizaciones a revisar y actualizar sus criterios, traduciendo las políticas internas en controles efectivamente implementados, probados, medidos y sujetos a mejora continua. El objetivo de contención en horas es una propuesta técnica basada en riesgo, no una obligación general impuesta por los estándares.
La velocidad cambia el problema; la arquitectura determina su alcance
La IA puede acelerar determinadas etapas del descubrimiento y análisis de vulnerabilidades. Esa capacidad reduce los márgenes de decisión para las organizaciones, aunque los datos disponibles todavía no permiten atribuir a la IA el conjunto del crecimiento mundial de CVE o de incidentes exitosos. El análisis exige distinguir descubrimiento, divulgación, explotación y daño efectivo.
La respuesta requiere actuar en tres planos relacionados: identificar con mayor continuidad dónde existe exposición, contener el impacto mediante límites arquitectónicos eficaces y remediar con trazabilidad. Los calendarios de evaluaciones trimestrales o anuales constituyen referencias de cumplimiento y aseguramiento; su frecuencia mínima puede complementarse con seguimiento continuo, comprobaciones ante cambios y escaneos priorizados por riesgo.
01 · Visibilidad continua
Inventario de activos y superficie expuesta, señales de explotación activa, cambios relevantes y monitoreo de configuraciones. Escaneos automatizados con frecuencia basada en criticidad, alcance autorizado y protección de la operación.
02 · Contención arquitectónica
Segmentación, identidad de cargas, privilegios mínimos, aislamiento por cliente, controles de salida y límites de propagación para reducir consecuencias incluso cuando una vulnerabilidad se explota.
03 · Cierre verificable
Protección compensatoria cuando procede, corrección definitiva, validación técnica y evidencia de tiempos de exposición, contención, restauración y eficacia de controles.
PROPUESTA TÉCNICA ZTC RESEARCH · NO REQUISITO NORMATIVO VIGENTE
CCA-01 · Contención Arquitectónica del Impacto
Objetivo del control propuesto
La arquitectura debe asegurar que comprometer un servicio, identidad o componente no conceda automáticamente acceso a otros sistemas, clientes, datos o funciones críticas. La efectividad se demuestra mediante límites implementados y pruebas que reproduzcan, con autorización, escenarios plausibles de compromiso.
Segmentación y aislamiento
Separación entre redes, servicios, planos de control y datos, y entornos de clientes; comunicaciones este-oeste y salidas restringidas por defecto.
Identidad y autorización
Identidades independientes por carga, credenciales efímeras, mínimo privilegio y autorización por recurso; pruebas que impidan escalar lateralmente desde una cuenta comprometida.
Resiliencia y limitación del impacto
Límites de acceso, cuotas, control de egress, aislamiento de componentes y mecanismos de degradación controlada para proteger funciones esenciales.
Pruebas y evidencia
Pruebas negativas de autorización y segmentación, escenarios de fallo autorizados, telemetría de bloqueos, excepciones documentadas y ejercicios de contención con responsables definidos.
Evidencia mínima para una evaluación CCA-01
Inventario de flujos y fronteras de confianza; políticas de segmentación y autorización activas; resultados de pruebas negativas y de aislamiento; alertas y registros; tiempos medidos de detección y contención; aceptación de excepciones y retest posterior a cambios significativos.
Revisión normativa y políticas internas
ZTC Research invita a organismos de normalización y autoridades reguladoras a revisar y actualizar la suficiencia de sus criterios, frecuencias mínimas y expectativas de contención ante amenazas cada vez más dinámicas. Las organizaciones pueden revisar, actualizar e implementar efectivamente sus políticas internas, complementar las evaluaciones periódicas con vigilancia continua y escaneos basados en riesgo, y medir su capacidad de contención en horas sin esperar a una reforma normativa.
Correspondencia con requisitos y controles existentes
PCI DSS 4.0.1
6.3.3 · 11.3.1/11.3.2 · 11.4.5/11.4.6 · A1.1.4
Parches críticos, escaneos internos y externos al menos trimestrales, pruebas de segmentación para el alcance CDE (11.4.5 y, para proveedores de servicios, 11.4.6) y separación lógica entre clientes cuando aplique (A1.1.4). CCA-01 propone medir adicionalmente la contención arquitectónica de compromisos.
ISO/IEC 27001/27002:2022
Anexo A: 5.7 · 8.8 · 8.16 · 8.20 · 8.22 · 8.27 · 8.32
Inteligencia de amenazas, gestión de vulnerabilidades, monitoreo, seguridad y segmentación de redes, principios de arquitectura e ingeniería segura y gestión de cambios. La selección y aplicación de controles responde al riesgo; no existe un plazo universal de parcheo fijado por estos controles.
NIST CSF 2.0
ID.RA · PR.AA · PR.IR · DE.CM · RS.MI
Evaluación de riesgos, identidad y acceso, resiliencia de infraestructura, monitoreo continuo y mitigación de incidentes. El CSF describe resultados de seguridad, sin prescribir una implementación única ni un objetivo universal de cuatro horas.
Los identificadores citados corresponden a controles y requisitos existentes de cada marco; CCA-01 y las métricas sugeridas constituyen una propuesta propia de ZTC Research. Su aplicabilidad depende del alcance y del perfil de riesgo. Los escaneos activos y las pruebas de penetración deben estar autorizados y planificados para proteger los entornos productivos.
Documentos y referencias
PDF de investigación · españolDescargar (PDF)
Full research report · EnglishDescargar (PDF)
Referencia bibliográfica y BibTeX (ES/EN)Descargar (.txt)
Método, alcance y límites
Investigación documental basada en fuentes públicas, series de divulgación y casos técnicos. No se realizaron pruebas de penetración, escaneos activos ni análisis forenses propios. Las cifras corresponden a las metodologías y periodos de cada fuente. Las propuestas operativas del informe se distinguen de los requisitos normativos.
[01] CVETodo data series. [29] Verizon DBIR 2026, 2025 reporting sample. Full bibliographic entries and limitations appear in the PDF.
Cómo citar esta investigación
ZTC Research / Zero Trust Consulting (2026). La nueva asimetría de la ciberseguridad. Versión 1.0. Informe ZTCR–AI–VM–2026–01.
https://zerotrust.consulting/research/ai-cybersecurity-2026/Otras publicaciones de ZTC
México ante la Transición Post-Cuántica 2026 (PDF)
ZTC Cyber Intelligence · revista semanal