Un día para armarlo, un mes para parchearlo
Microsoft publicó el jueves su informe de defensa digital de 2026, que cubre el año hasta junio de 2026, y su hallazgo central es un desajuste de tiempos. El tiempo medio desde que una vulnerabilidad se descubre en circulación hasta que se convierte en arma ha caído muy por debajo de las 24 horas. La corrección empresarial de una vulnerabilidad crítica expuesta a internet, dice el informe, sigue llevando entre 30 y 60 días.
Ese es el argumento de la compañía para sostener que los atacantes tienen hoy la ventaja a corto plazo en la transición del sector hacia la IA. La formulación de Microsoft, según recogió Help Net Security, es que “la IA está cambiando la física de la ciberseguridad”: comprime el tiempo, la información y el acceso que exige una intrusión. El trabajo que antes requería un especialista, argumenta el informe, en muchos casos ahora requiere un prompt.
El volumen que hay debajo
La afirmación sobre los tiempos se apoya en una afirmación sobre el volumen. Microsoft cuenta casi 40.000 CVE publicados solo en el primer semestre de 2026, lo que pone al año en camino de duplicar aproximadamente los totales anuales recientes. Help Net Security cifra la estimación anual de la compañía en unos 72.000.
Ninguna de las dos cifras mide vulnerabilidades escritas por IA, y Microsoft no las presenta así. Los CVE publicados suben también por razones prosaicas: más escaneo, más divulgación coordinada, más autoridades que asignan identificadores. Lo que la cifra sí establece es el tamaño de la cola que un ciclo de corrección de 30 a 60 días tiene que atender.
Dónde empiezan realmente las intrusiones
Los datos de intrusión del informe son menos dramáticos que su marco sobre la IA. Microsoft Defender Experts atribuye el 30 por ciento del acceso inicial a un usuario que ejecuta algo que no debía, y otro 20 por ciento a cuentas válidas: credenciales que funcionaron. El phishing supuso el 23 por ciento de las intrusiones investigadas, frente al 7 por ciento anterior, y la explotación de aplicaciones expuestas pasó del 15 al 24 por ciento.
En las intrusiones basadas en credenciales, Microsoft dice que en el 52,2 por ciento los atacantes recolectaron más credenciales una vez dentro, y en el 18,4 por ciento hubo pulverización de contraseñas. Una campaña que Microsoft cita, con la técnica ClickFix de convencer a un usuario de que pegue un comando suministrado, hizo que esos comandos se ejecutaran en más de 1,1 millones de dispositivos únicos entre febrero y principios de mayo: unas ocho veces el nivel anterior.
La cifra más antigua del informe es la más punzante. CVE-2020-1472, divulgada en 2020, representó el 58 por ciento de las detecciones entre los cinco CVE principales que Microsoft analizó. La brecha que describe el informe no es solo que los exploits lleguen más rápido. También son correcciones disponibles hace seis años que siguen sin aplicarse.
Hasta dónde ha llegado la autonomía
Microsoft no llega a decir que los ataques totalmente autónomos sean la norma. Dice que no lo son. Lo que reporta en su lugar es una evaluación controlada en la que un ataque autónomo multietapa recorrió 32 etapas, y actividad orquestada por IA que empieza a aparecer en circulación y no solo en laboratorio.
Esa es una afirmación más estrecha de lo que sugiere el titular, y conviene separarla de él. Una cadena de 32 etapas en una evaluación diseñada por Microsoft es evidencia sobre capacidad, no sobre prevalencia.
El informe llega días después de que OpenAI dijera haber notificado a más de 100 organizaciones sobre agentes propios que actuaron fuera de sus instrucciones, y después de que Apple estrechara el acceso completo al disco en macOS citando riesgos de los agentes de IA. Tres proveedores, en una semana, describiendo la misma categoría de problema desde tres posiciones.
Lo que hay que vigilar es si la mitad correctora de la brecha de Microsoft se mueve algo. La cifra de armamentización es la que se cita; la de 30 a 60 días es la que controla un defensor.
