Google reporta 90 'zero-days' explotados en 2025 y advierte que la IA acelera la carrera armamentística cibernética

El panorama de la ciberseguridad ha cruzado un umbral preocupante, según el recién publicado informe de Google 'Year in Review 2025' sobre vulnerabilidades zero-day. Este documento, un termómetro de los desafíos defensivos de la industria, detalla la explotación de asombrosas 90 zero-days en activo durante el último año. Esta cifra representa un aumento brusco y preocupante, subrayando una oleada ofensiva que supera rápidamente la capacidad global de defensa. Más alarmante aún, el análisis de Google señala a la inteligencia artificial como el principal catalizador de esta escalada, advirtiendo que "la IA está cambiando las reglas del juego" de maneras que amenazan con crear un ciclo insostenible de ataque y contramedida.

Una Oleada Sin Precedentes y un Giro Estratégico

Las 90 zero-days explotadas documentadas por Google rompen todos los récords anteriores, dibujando un panorama de un ecosistema de agentes de amenazas altamente agresivo y eficaz. No se trata solo de un aumento cuantitativo, sino de un cambio cualitativo en la estrategia de targeting. El informe señala una clara migración de los grupos de amenazas persistentes avanzadas (APT) y los sindicatos cibercriminales, que abandonan los productos de consumo masivo para dirigirse hacia software de nivel empresarial, herramientas de gestión IT y el propio software de seguridad. Este giro indica la búsqueda de objetivos de mayor valor, donde una sola vulnerabilidad puede proporcionar acceso a vastas redes corporativas, propiedad intelectual sensible e infraestructura crítica. La cadena de suministro de software empresarial se ha convertido en una superficie de ataque particularmente atractiva, como lo demuestran varios incidentes de alto perfil citados en el informe, donde una vulnerabilidad en el producto de un único proveedor condujo a compromisos en cascada en cientos de organizaciones.

El Acelerante de la IA: Un Arma de Doble Filo

La tesis central de la advertencia de Google gira en torno al papel transformador y desestabilizador de la IA. En el lado ofensivo, los agentes de amenazas están aprovechando la IA para automatizar y mejorar múltiples etapas del ciclo de vida del ataque. Los modelos de aprendizaje automático pueden ahora cribar montañas de código para identificar patrones de vulnerabilidad potenciales mucho más rápido que los investigadores humanos. Los fuzzers impulsados por IA pueden generar código de explotación novedoso con una sofisticación creciente. Además, la IA generativa se utiliza para crear señuelos de phishing y contenido de ingeniería social altamente convincentes y a gran escala, bajando la barrera de entrada para atacantes menos cualificados y aumentando el volumen de intentos de acceso inicial.

Este auge ofensivo impulsado por la IA está creando lo que el informe describe como un "ciclo insostenible". Los equipos defensivos, ya agobiados por el volumen de alertas y parches, se ven obligados a reaccionar a la velocidad de las máquinas. Si bien las herramientas defensivas con IA también están avanzando—automatizando la detección de amenazas, correlacionando la telemetría de seguridad y priorizando incidentes—el informe sugiere que la curva de adopción ofensiva es actualmente más pronunciada. La asimetría surge del hecho de que los atacantes solo necesitan encontrar un camino viable, mientras que los defensores deben asegurar un patrimonio digital completo y en constante expansión.

El Espectro Inminente y el Imperativo Defensivo

La cruda evaluación de Google sirve como un llamamiento urgente a la industria de la ciberseguridad. La era de depender únicamente de los programas tradicionales de divulgación de vulnerabilidades y los ciclos mensuales de parches está llegando a su fin. El informe implica que la comunidad debe experimentar un cambio de paradigma para evitar ser superada permanentemente.

Los imperativos clave para las organizaciones incluyen:

• Acelerar Radicalmente la Velocidad de Parcheo: La ventana entre la divulgación de una vulnerabilidad y su explotación se está colapsando. Las organizaciones deben pasar del despliegue de parches en semanas o días a horas. Esto requiere una gestión automatizada de activos, monitorización continua y canalizaciones de despliegue optimizadas.
• Adoptar Proactivamente una Postura de "Asumir la Brecha": Estrategias como la arquitectura de confianza cero, que verifica rigurosamente cada solicitud y limita el movimiento lateral, ya no son solo para empresas de élite. Deben convertirse en una práctica estándar para contener el impacto de una posible explotación zero-day.
• Invertir en Defensa Impulsada por IA a Escala: Para combatir la IA con IA, los defensores deben desplegar sus propios sistemas de aprendizaje automático para análisis de comportamiento, detección de anomalías y búsqueda predictiva de amenazas. Esto incluye usar IA para simular ataques y endurecer los sistemas antes de que sean objetivo.
• Asegurar la Cadena de Suministro de Software: La adopción rigurosa de la lista de materiales de software (SBOM), las evaluaciones de riesgo de proveedores y los mandatos para prácticas de desarrollo seguro son críticos para mitigar el riesgo proveniente de componentes de terceros.

Conclusión: Un Punto de Inflexión

El informe de zero-days 2025 de Google es más que un conjunto de estadísticas; es un diagnóstico de un sistema bajo estrés extremo. El número récord de vulnerabilidades explotadas, combinado con el giro estratégico hacia objetivos empresariales y el efecto catalizador de la IA, marca un punto de inflexión definitivo. El mensaje es claro: la carrera armamentística cibernética ha entrado en una nueva fase más peligrosa. La velocidad y sofisticación habilitadas por la IA están otorgando a los atacantes una ventaja temporal. La responsabilidad recae ahora en los líderes de seguridad, desarrolladores de software y responsables políticos para innovar defensivamente a un ritmo sin precedentes. La sostenibilidad de nuestro ecosistema digital puede depender de cerrar esta brecha antes de que el ciclo se descontrole por completo.