Black Hat 2026: lo que defendieron las ponencias principales

Black Hat USA se celebró del 1 al 6 de agosto en Las Vegas y, por primera vez, el debate central de la conferencia no giró en torno a un ataque o una defensa concretos. Giró en torno a la economía.

David Weston, responsable de seguridad agéntica en Microsoft, abrió el miércoles con «The End of Rare: Defending When Offense Is Cheap». Su premisa: sin que nadie lo dijera en voz alta, toda la estructura de la seguridad moderna se ha calculado partiendo de la escasez. Escribir exploits es difícil, así que damos por hecho que los límites de red, de proceso, de identidad y de sandbox aguantarán casi siempre, e invertimos en parchear rápido y en detectar comportamientos conocidos. Ese cálculo ya no vale. El Security Response Center de Microsoft procesa nueve veces el volumen de vulnerabilidades que gestionaba en marzo, y la cifra se duplica cada seis semanas. La frase de Weston: la lucha cuerpo a cuerpo con los atacantes es una estrategia perdedora para quien defiende.

Los datos que aportó eran incómodos. Un sistema interno de IA de Microsoft tomó 200 vulnerabilidades del kernel de Linux y convirtió 182 en pruebas de concepto que, como mínimo, provocaban un cuelgue —muchas de ellas, exploits de root funcionales— con un coste medio de 3,61 $ y 21 minutos cada una. Fallos que, según dijo, antes costaba un año elaborar a mano ahora se «escupen a velocidad industrial», y no solo en Windows.

La conclusión se desprende de la aritmética. Si encontrar fallos es casi gratis y corregirlos uno a uno no lo es, la única palanca que queda es dejar de corregirlos uno a uno. La receta de Weston: lenguajes con seguridad de memoria, para que clases enteras de fallos no puedan existir; verificación formal, para que los componentes críticos se demuestren correctos en lugar de limitarse a probarlos; y corrección automatizada, para que los parches que sigan haciendo falta lleguen a la velocidad del descubrimiento.

Yan Shoshitaishvili, de la Universidad Estatal de Arizona, tomó el relevo el jueves con «Vulnerability Research in the Agentic Age». Si Weston habló como defensor, Shoshitaishvili lo hizo como investigador que ha dedicado su carrera a encontrar fallos. Según su análisis, las herramientas agénticas han apartado la habilidad humana del hallazgo en sí para llevarla al diseño de estrategias de búsqueda, pipelines de validación y comprobaciones de explotabilidad. Describió un trabajo sobre el kernel de Linux que pasó de cientos de hallazgos candidatos a bastante más de mil posibles escaladas de privilegios en cuanto el flujo de trabajo incorporó conocimiento sobre las propiedades de las vulnerabilidades, con la salvedad de que se trataba de un dato orientativo, no de un benchmark controlado. También señaló el problema que tratamos en Veintiséis mil hallazgos, doscientos parches: el descubrimiento avanza más deprisa que la capacidad de cualquiera para gestionar los hallazgos de forma responsable.

De las 121 charlas (briefings), 35 trataban directamente de seguridad de la IA, red teaming u ofensiva asistida por LLM. El hilo conductor de ponencias principales y charlas: si encontrar fallos es barato, el objetivo es que sean imposibles, no que se puedan encontrar.