Microsoft publicó en su blog de seguridad, en abril de 2026, lo que quienes operan seguridad ya sabían en la práctica: la IA comprimió la ventana entre descubrimiento y explotación de vulnerabilidades. La diferencia es que ahora tiene el peso de Microsoft confirmando con datos y anuncios de producto. En Tech86 vimos esta compresión ocurriendo antes de la declaración oficial, y el impacto es estructural, no circunstancial.
Lo que Microsoft confirmó
Según Microsoft, los modelos de IA pueden autónomamente descubrir vulnerabilidades en software, encadenar múltiples fallas de severidad baja en exploits end-to-end funcionales y generar código de prueba de concepto que funciona. La ventana entre descubrimiento y explotación fue significativamente comprimida.
Esto no es teoría. Microsoft usó su propio sistema, el MDASH, que orquesta más de 100 agentes de IA especializados, para encontrar 16 vulnerabilidades en el stack de red y autenticación de Windows, incluyendo 4 RCEs críticos en componentes como el stack TCP/IP del kernel y el servicio IKEv2. MDASH alcanzó 88,45% de éxito en el benchmark público CyberGym con 1.507 vulnerabilidades reales, según Microsoft. En menos de tres semanas, saltó a 96,55%.
La declaración más fuerte del post, firmado por Aleš Holeček, vicepresidente corporativo y arquitecto jefe de seguridad de Microsoft: para clientes que despliegan productos Microsoft en infraestructura propia, sea on-premise u hospedada localmente, mantenerse actualizado con todas las actualizaciones de seguridad "no es solo la mejor práctica; es un requisito fundamental para mantenerse seguro frente a la exposición de IA". Buena práctica era opcional. Requisito fundamental es obligatorio.
El desequilibrio estructural
Antes, un atacante necesitaba expertise, tiempo y herramientas especializadas. Ahora, según Microsoft, un modelo de IA puede hacer el trabajo de un pentester en horas, no semanas. Y puede encadenar vulnerabilidades que humanos no conectarían. Una falla de severidad baja sola es ruido. Tres encadenadas son un exploit.
El impacto en el ciclo de vida de vulnerabilidades es asimétrico. En el descubrimiento, la IA encuentra más rápido, en más codebases, con más precisión. En la validación, la IA puede probar si la vulnerabilidad es explotable automáticamente. En la explotación, la IA puede generar PoC funcional y encadenar issues de severidad baja. En la remediación está el gap. La remediación todavía es humana. Y lo humano es lento.
Atacantes con IA descubren y explotan en horas. Defensores sin IA aplican parches en días o semanas. La velocidad del ataque superó la velocidad de la defensa. Y Microsoft lo está diciendo abiertamente.
La responsabilidad se divide según el modelo de despliegue
Según Microsoft, para clientes PaaS y SaaS, las mitigaciones se aplican automáticamente. La plataforma absorbe el problema. Para quien opera infraestructura on-premise u hospedada localmente, la responsabilidad es enteramente suya.
La actualización de seguridad dejó de ser algo que se hace cuando conviene. Es algo que se hace antes de que el próximo scan de IA encuentre lo que no actualizaste. Microsoft está usando IA para escanear codebases de código abierto de forma proactiva, según su blog. Las vulnerabilidades identificadas se tratan vía coordinated disclosure. Si Microsoft está haciendo esto con codebases de código abierto, los atacantes lo están haciendo con codebases privadas, sin disclosure.
En el Build 2026, Microsoft anunció la expansión del preview del MDASH con integración a Microsoft Defender. Según Microsoft, el sistema combina análisis de IA con telemetría de más de 100 billones de señales de seguridad por día para identificar vulnerabilidades que pueden ser explotadas en la práctica. La solución estaba prevista para preview en junio de 2026.
La matemática cambió
La IA no está solo acelerando ataques. Está cambiando la matemática de la seguridad. Antes: costo de ataque alto, tiempo de explotación largo, barrera de expertise significativa. Ahora: costo de ataque bajo, tiempo de explotación corto, expertise democratizada por IA.
El Google Threat Intelligence Group ya identificó, según el propio grupo, el primer zero-day escrito por criminales usando IA: un bypass de autenticación de dos factores en una herramienta de administración web de código abierto. Palisade Research, según la propia organización, documentó un agente de IA que se autorreplicó vía hacking en 2h41m, haciendo 4 hops entre 4 países. La tasa de éxito de autorreplicación saltó de 6% a 81% en 12 meses, según Palisade Research. Estos no son datos de Microsoft, son datos del ecosistema de seguridad que confirman la misma tendencia, según el Google Threat Intelligence Group y Palisade Research, respectivamente.
Quien no automatiza la defensa a la misma velocidad está jugando un juego que ya perdió. La pregunta no es si la IA va a encontrar la vulnerabilidad que no corregiste. Es cuándo.
Conclusión
La declaración de Microsoft es un hito porque viene de quien tiene la mayor base instalada de software del mundo. Cuando Microsoft dice que mantener actualizaciones de seguridad es requisito fundamental, no buena práctica, es porque la ventana de tolerancia terminó. En Tech86 automatizamos la defensa a la velocidad que la IA exige, con EDR, monitoreo en tiempo real y respuesta autónoma. Si no sabes cuánto tiempo lleva entre el descubrimiento de una vulnerabilidad y la aplicación del parche en tu infraestructura, es hora de descubrirlo.