El 6 de agosto de 2026, Nozomi Networks publicó un informe que marca un punto de inflexión en la ciberseguridad de infraestructura crítica: modelos de inteligencia artificial frontera desarrollaron pruebas de concepto funcionales para vulnerabilidades de Firefox y Windows en apenas 31 minutos. En el mismo ejercicio, la IA generó exploits para 18 de 21 vulnerabilidades del kernel de Windows en pocas horas, y completó las 8 cadenas de escalada de privilegios analizadas en menos de 18 horas. El costo de operación: aproximadamente 2.000 dólares más acceso a API.

El dato no es anecdótico. Es el síntoma de un cambio estructural en la economía del ataque.

El volumen de vulnerabilidades registradas creció un 263% entre 2020 y 2025. FIRST revisó al alza su proyección para 2026: de 59.000 a 68.000 nuevos CVEs. El NIST, en tanto, solo puede priorizar entre el 15 y el 20% de esos registros. El resultado es que la mayoría de las vulnerabilidades conocidas circula sin cobertura prioritaria.

Pero el indicador más revelador es el tiempo medio de explotación (MTOE). Pasó de aproximadamente un mes a valores negativos: los exploits funcionales aparecen antes de que los parches sean públicos. Mientras los sistemas Windows tardan siete días en alcanzar el 90% de cobertura de actualización, los entornos OT industriales —refinerías, compresoras, plantas de procesamiento— pueden demorar semanas o meses. En ese intervalo, la ventana de exposición permanece abierta de manera estructural.

El parche periódico presupone un tiempo de reacción que la IA ya eliminó.

Nozomi Networks identifica tres elementos técnicos que los operadores de infraestructura industrial no pueden diferir. El primero es el descubrimiento continuo de activos: sin visibilidad permanente de qué equipos están conectados y en qué versión de firmware operan, no hay superficie de ataque gestionable. El segundo es el parche virtual en el borde de red —firewalls y sensores industriales— que bloquea la explotación de una vulnerabilidad sin necesitar bajar el sistema para aplicar una actualización. El tercero son los controles compensatorios documentados: medidas auditables que puedan verificarse durante los mantenimientos programados y ante cualquier revisión regulatoria.

Estos tres elementos no reemplazan el ciclo de parches; lo vuelven complementario en lugar de principal.

Los operadores que aún gestionan la ciberseguridad OT con ciclos de mantenimiento trimestrales o semestrales están operando bajo un modelo de riesgo que dejó de ser válido en agosto de 2026. La adopción de monitoreo continuo, parche virtual y controles compensatorios no es un proyecto de mejora: es la condición mínima para seguir siendo operable cuando un atacante con acceso a IA puede pasar de CVE público a exploit funcional antes de que el equipo de seguridad reciba la alerta de parche crítico. La ventana para hacer esa transición de forma planificada es más estrecha de lo que parece desde los tableros de gestión actuales.