El nivel que nunca escala es el que importa
En el triaje de dos niveles, un modelo rápido decide la mayoría de las peticiones web y pasa el resto a un nivel más lento y cuidadoso. El diseño supone que el nivel rápido es conservador. Un artículo publicado en arXiv el 5 de noviembre prueba qué ocurre cuando el nivel rápido se topa con una familia de ataques que nunca ha visto, y la respuesta es que una petición que el nivel rápido cierra no la examina nada más.
El montaje deja fuera cada una de siete familias de ataque del entrenamiento, del recalibrado y del ajuste de umbrales, y después injerta las cargas útiles en los parámetros de tráfico de navegación real. La comparación enfrenta modelos de decisión sin ejemplos —que devuelven una probabilidad para una pregunta tipada— con detectores supervisados, un modelo de lenguaje local, el Core Rule Set de OWASP y una línea base de anomalías.
Una respuesta equivocada y segura
El detector supervisado falla de la peor manera posible: no dudando, sino estando seguro. En diez ejecuciones de entrenamiento, ModernBERT asigna una probabilidad por debajo de 0,05 a entre el 37% y el 60% de las peticiones de recorrido de rutas excluidas. Dentro de un presupuesto benigno del 5% escala solo entre el 50% y el 81% de ellas, frente a casi todas esas mismas peticiones cuando el recorrido de rutas sí está en sus datos de entrenamiento.
La diferencia no es un temblor de calibración. Las mismas peticiones, juzgadas por el mismo modelo, pasan de escalarse casi siempre a cerrarse con confianza según si la familia apareció en el entrenamiento.
Los modelos alojados lo hacen mejor, con una salvedad que los autores declaran
Jev y Clef, dos modelos de decisión alojados cuyas decisiones de presupuesto no dependen de la familia excluida, escalan al menos el 97,6% de cada familia dentro del mismo presupuesto. Los autores lo matizan de inmediato: los datos de entrenamiento de ambos no se divulgan, y estas son familias de ataque públicas, así que puede que la condición de exclusión no lo sea en absoluto para ellos.
También informan del coste de esa cautela. Jev escala el 37% de los gemelos benignos, peticiones construidas a partir de los exploits con el ataque sustituido por valores legítimos, lo que es una tasa de falsos positivos sobre tráfico que parece un ataque y no lo es. Y los detectores entrenados con exploits más antiguos resultan haber aprendido qué aspecto tiene una petición de escáner, no qué es un ataque.
Localizable, e inestable
El último resultado es el que conviene asimilar. Una búsqueda guiada por la propia probabilidad de Jev cuela el 43% de los ataques excluidos ante Jev en 300 consultas. Eso es un ataque práctico contra la capa de triaje, usando la puntuación del defensor como señal.
Lo complica que Jev no responde dos veces igual: preguntado de nuevo, escala esas mismas peticiones en el 60% de sus respuestas. Un defensor que lea eso como robustez lo está leyendo mal: la varianza significa que el atacante solo necesita que la petición se cierre una vez, mientras que el defensor necesita que se escale siempre.
La lectura práctica para quien opere un triaje de dos niveles es que medir el nivel rápido con familias conocidas exagera lo que hará con la siguiente, y que una puntuación de confianza por petición es a la vez aquello sobre lo que corre el sistema y aquello contra lo que optimiza un atacante.
