Dos movimientos del gobierno de EE. UU., cada uno a su manera, redefinen cómo el sector público gestiona las vulnerabilidades y cómo la IA entra en la ciberdefensa federal. En Tech86 seguimos estos cambios de cerca porque lo que la CISA decide hoy para agencias federales tiende a convertirse en el estándar de mercado mañana.
BOD 26-04: CVSS dejó de ser el driver
Según la CISA, el BOD 26-04 reemplaza al BOD 22-01 y al BOD 19-02, que usaban CVSS como criterio principal de priorización de parches. El nuevo modelo es diferente: 4 factores binarios determinan el plazo de corrección.
Los factores son preguntas de sí o no: ¿el activo está expuesto públicamente? ¿La vulnerabilidad está en el catálogo KEV (Known Exploited Vulnerabilities)? ¿La explotación es automatizable? ¿El atacante gana control total o parcial? Cuatro factores binarios generan 16 combinaciones posibles. El tier más alto exige corrección en 3 días corridos. Según la CISA, ese tier se alcanza cuando la vulnerabilidad está en el KEV y da control total al atacante, independientemente de exposición o automatización. Alternativamente, activo expuesto + explotación automatizable + control total también llega al tier de 3 días, incluso sin KEV.
Según la CISA, en una gran agencia civil, solo cerca del 1% de las vulnerabilidades caerá en el tier de 3 días. Más del 60% puede diferirse al próximo ciclo de upgrade. Este es un cambio estructural: el foco deja de ser "corregir todo con CVSS alto" y pasa a ser "corregir primero lo que realmente importa".
En Tech86 vimos esta dinámica en la práctica. Patch parity, aplicar parches en todos los activos por igual, no es lo mismo que coverage parity, garantizar que los activos más críticos estén protegidos primero. El BOD 26-04 formaliza lo que quien opera seguridad ya sabía: priorizar por riesgo real supera priorizar por score genérico.
La amenaza que el patching no resuelve
En una publicación complementaria, según la CISA, los actores de amenaza "no comprometen redes centrales primariamente a través de vulnerabilidades de producto." Usan credenciales válidas y configuraciones explotables, la táctica conocida como living off the land (LOTL). Esto es consistente con lo que observamos en operaciones reales: el camino más probable de compromiso no es un zero-day, es una credencial filtrada combinada con falta de MFA.
LOTL se aborda con hardening, segmentación de red y MFA resistente a phishing, no con patching. La CISA está diciendo explícitamente que aplicar parches no resuelve el vector de ataque más probable. Esto no significa que el patching sea irrelevante: significa que el patching solo es insuficiente.
La compresión de tiempo que la IA trajo a la ventana de vulnerabilidad lo hace más urgente. Si la ventana entre descubrimiento y explotación colapsó, priorizar lo que realmente importa no es optimización: es supervivencia.
EO 14409: IA como herramienta de defensa
Según la Casa Blanca, la Executive Order 14409, firmada el 2 de junio de 2026, establece plazos concretos. En 30 días, la CISA debe emitir BODs para acelerar la defensa de sistemas federales civiles, expandir herramientas defensivas habilitadas por IA y facilitar acceso a covered frontier models para agencias federales, autoridades estatales y locales e infraestructura crítica, incluyendo hospitales rurales, bancos comunitarios y servicios públicos locales. Según la CISA, el BOD 26-04, emitido dentro del plazo establecido por la EO 14409, fue emitido el 10 de junio.
En 60 días, según la EO, la NSA debe desarrollar benchmarking clasificado para definir qué constituye un covered frontier model. La orden también establece un framework voluntario para que los desarrolladores ofrezcan acceso de hasta 30 días antes del release, plazo reducido respecto a los 90 días de borradores anteriores, según publicaciones oficiales y borradores previos de la EO.
La EO forma un AI Cybersecurity Clearinghouse (central de intercambio), liderado por el Tesoro con participación de la NSA, la CISA y el National Cyber Director, para coordinar scanning, validación y distribución de parches en colaboración voluntaria con la industria de IA. Y la Sección 3(c) es clara: nada autoriza licenciamiento gubernamental obligatorio, pre-clearance (aprobación previa) o permitting (licenciamiento) para modelos de IA. El framework es voluntario.
La paradoja de capacidad
Según reportes de medios especializados, la CISA perdió aproximadamente un tercio de su fuerza laboral entre pérdidas permanentes, impactos temporales del shutdown y recortes propuestos. La propuesta presupuestaria de FY2027 propone recortar 867 posiciones. El acting director Nick Andersen reconoció impactos de capacidad, según declaraciones públicas.
La agencia que debe implementar defensa habilitada por IA, emitir BODs en 30 días, coordinar un clearinghouse y facilitar acceso a frontier models opera con capacidad reducida. Esto no es un detalle: es el contexto que determina si las políticas salen del papel o quedan en la intención.
En Tech86 sabemos que una política sin capacidad de ejecución es solo un documento. Lo mismo vale para operaciones privadas: definir priorización basada en riesgo real es el paso correcto, pero sin automatización de detección y respuesta, la priorización se queda en la planilla y no llega al endpoint.
Conclusión
El BOD 26-04 y la EO 14409 representan el mismo cambio de paradigma: priorizar por riesgo real y usar IA para defensa. La CISA formalizó que, para BODs federales, 4 factores binarios son más eficaces que CVSS como driver de priorización. La Casa Blanca determinó que la IA debe ser herramienta de defensa, no solo de ataque. La cuestión central es de ejecución, y la CISA opera con capacidad reducida justo cuando recibe más atribuciones. Para operaciones privadas, la lección es clara: quien no automatiza el triaje y la respuesta a la velocidad que el riesgo real exige está aplicando parches a ciegas. Nosotros ayudamos a ver y a actuar más rápido, con EDR, monitoreo en tiempo real y respuesta autónoma.