Sigue los puntos

Ayer me puse a leer algo que casi nadie lee: las notas de la versión de la más reciente actualización de iOS. Y lo que encontré me dejó helado, no por las nuevas funcionalidades o los emojis, sino por lo que se esconde en la sección de seguridad.

Revisé personalmente los boletines oficiales de seguridad de Apple de las últimas cinco actualizaciones menores del sistema operativo, CVE por CVE. El promedio de vulnerabilidades parchadas ya venía en ascenso sostenido, rondando entre 40 y 60 por versión. Sin embargo, esta última actualización rompe la tendencia con la friolera de 87 correcciones de seguridad críticas — casi 75% arriba de ese promedio ya elevado.

Para ponerlo en perspectiva, preparé esta gráfica comparando el volumen de parches de las últimas 6 versiones:

¿De qué tipo de parches estamos hablando? Al resumir el reporte, no son errores superficiales. Estamos viendo correcciones profundas de corrupción de memoria en el Kernel, vulnerabilidades de ejecución de código arbitrario en WebKit, fallas de escalamiento de privilegios en CoreBluetooth y agujeros en el Sandbox. Errores complejos, laberínticos, del tipo que a un equipo de ingenieros humanos le tomaría meses auditar y descubrir.

Y aquí es donde empieza mi especulación.

Especulando: el factor Fable 5

Quiero ser sumamente claro: no tengo información interna de Apple ni documentos filtrados que lo comprueben. Esto es pura especulación basada en la observación del mercado. Pero como dicen los estadounidenses: “follow the dots” (une los puntos).

Sabemos por notas de prensa recientes que Apple está integrando IA masivamente en sus procesos de desarrollo interno. Sabemos también que tienen alianzas estratégicas y pláticas avanzadas con gigantes de la inteligencia artificial, incluyendo a Anthropic.

Si recordamos mi columna anterior, donde les conté cómo el modelo Fable encontró de forma autónoma vulnerabilidades en nuestro GitLab en cuestión de minutos (cobrándonos una fortuna en el proceso), el salto en los parches de seguridad de iOS de una versión a otra deja de parecer un esfuerzo puramente humano.

Mi hipótesis es esta: Apple soltó a Fable 5 (o a un agente de IA de capacidades similares) sobre su propio código fuente. Están utilizando agentes autónomos de IA de última generación para auditar millones de líneas de código legacy, encontrando vulnerabilidades que llevaban años dormidas en el sistema operativo.

El problema de los “big pockets”

Si estoy en lo correcto, deberíamos alegrarnos como usuarios de iPhone, ¿no? Nuestro teléfono es ahora mucho más seguro. Sí, pero como analista de la industria, esto me genera una preocupación profunda.

Si Fable 5 es el responsable de esta limpieza masiva de código, estamos presenciando el nacimiento de una brecha tecnológica insalvable. Como documenté hace unos días, usar estos modelos de frontera para auditar sistemas es brutalmente caro.

El costo de auditar con IA de frontera: a mi equipo le costó $845 USD que la IA encontrara solo dos problemas irrelevantes, en unas horas. Auditar un sistema operativo móvil completo implicaría, según esta lógica, millones de dólares en tokens y consumo de API.

Imaginemos el costo computacional de auditar el sistema operativo móvil más usado del mundo. Estamos hablando de millones de dólares en tokens y consumo de API.

Apple, Microsoft, Google y la banca internacional tienen los “big pockets” (los bolsillos profundos) para pagar esto. Tienen acceso irrestricto —y acuerdos preferenciales de volumen— a los modelos más avanzados del mundo. Pueden permitirse tener a Fable 5 corriendo 24/7, blindando sus sistemas contra zero-days.

Pero, ¿qué pasa con las PYMES? ¿Qué pasa con la startup que desarrolla software de contabilidad en México? ¿Qué pasa con el hospital regional que tiene un sistema de gestión propio?

Ellos no pueden pagar la factura de Fable. Ellos tendrán que seguir dependiendo de auditorías humanas anuales o de escáneres de vulnerabilidades tradicionales que están a años luz de la capacidad de razonamiento de un modelo frontera.

La nueva era de la inseguridad asimétrica

No creo que esta brecha se vaya a cerrar pronto. Mientras el costo de inferencia de los modelos verdaderamente avanzados siga siendo prohibitivo, la ciberseguridad se convertirá en un lujo corporativo.

Las grandes empresas serán fortalezas digitales impenetrables auditadas por IA, mientras que el resto del mercado será un campo abierto de vulnerabilidades legacy esperando a ser explotadas (irónicamente, por ciberdelincuentes que también usarán IA para encontrarlas).

Veamos qué depara el futuro. Seguro en los próximos meses esta tendencia se confirmará, habrá filtraciones y sabremos si me equivoco o si, efectivamente, Apple acaba de inaugurar la era de la “ciberseguridad de élite automatizada”.

¿Qué opináis vosotros? ¿Veis esta brecha de seguridad ampliándose en vuestras industrias?