La carrera de la IA contra el tiempo
Más vulnerabilidades, detectadas más rápido, explotadas antes.
Explosión mundial de CVE
72,812
Las vulnerabilidades (CVE) publicadas en 2026 hasta septiembre ya superan en un 51 % el total de todo el año 2025.
Reducción del tiempo hasta la puesta en explotación
−7 días
Tiempo medio hasta la explotación en 2025: actualmente, los ataques comienzan, de media, antes de que se publique un parche
Lo que espera la CRA
Los fabricantes deben notificarlo a la ENISA y a su CSIRT nacional en tres fases, comenzando tan solo 24 horas después de tener conocimiento de que se ha aprovechado una vulnerabilidad.
24 h
Alerta temprana
Primera alerta, con la causa presunta y los países afectados
72 h
Notificación
Detalles sobre la vulnerabilidad, los productos afectados y las medidas de mitigación adoptadas
14d
Informe final
En un plazo de 14 días desde que la solución esté disponible, indicando la gravedad, el impacto y la medida correctiva
¿Listo para presentar el informe en 24 horas?
Para cumplir con cada plazo, necesitas respuestas rápidas:
- ¿Se trata de vulnerabilidades reales o solo de posibles puntos débiles?
- ¿Son accesibles y se pueden aprovechar en tu producto?
- ¿Existe alguna solución verificada, o se puede crear una rápidamente?
Las deficiencias en la gestión de vulnerabilidades de la CRA
La CRA te hace responsable de todas las vulnerabilidades de tu producto, ya se encuentren en tu propio código, en un componente de terceros o en una biblioteca de código abierto. Las obligaciones están establecidas por ley, mientras que la carga de trabajo que conllevan no deja de aumentar.
Más código, lanzamientos más rápidos
El desarrollo basado en la inteligencia artificial implica más código, más dependencias y ciclos de lanzamiento más cortos. Cada lanzamiento trae consigo nuevos componentes propios, de terceros y de código abierto, así como nuevas posibilidades de que surjan fallos de seguridad.
Es difícil establecer prioridades
Sin pruebas de vulnerabilidad, las puntuaciones de gravedad son el único criterio que determina el orden de prioridad. Los equipos dedican esfuerzos a cuestiones irrelevantes, mientras que el riesgo real queda en segundo plano.
No hay pruebas de riesgo
Los escáneres detectan miles de incidencias, pero rara vez indican si una vulnerabilidad es accesible, explotable y relevante para tu producto.
Registro de auditoría limitado
El código interno y los componentes externos suelen gestionarse en flujos de trabajo independientes, y las decisiones se encuentran dispersas entre tickets, chats y hojas de cálculo. Recopilar pruebas trazables y listas para una auditoría en un plazo de 24 o 72 horas es prácticamente imposible.
Solución de vulnerabilidades basada en IA, integrada en tu ciclo de desarrollo
Keysight AI Analysis for CRA es un servicio de análisis de código basado en inteligencia artificial que incluye gestión de vulnerabilidades y automatiza todo el ciclo de vida de las mismas. Basado en la experiencia de Keysight en materia de seguridad, nuestro marco propio impulsado por inteligencia artificial identifica vulnerabilidades, comprueba si pueden ser explotadas, sugiere y valida soluciones, y documenta cada paso.
Capacidades clave
Triaje inteligente
Clasifica las vulnerabilidades CVE y los resultados de SAST basados en la SBOM, filtra los falsos positivos y prioriza los riesgos explotables.
Soluciones verificadas
Compila, prueba y valida cada corrección en un entorno aislado para confirmar que la vulnerabilidad se ha resuelto.
Análisis de accesibilidad
Muestra qué vulnerabilidades pueden alcanzarse y explotarse realmente desde puntos de acceso reales del entorno de producción.
Pruebas de la CRA
Crea registros trazables y listos para auditoría relativos a la gestión de vulnerabilidades, la divulgación coordinada, la notificación de incidentes y la evaluación de la conformidad.
- Incorporación
- Evaluación inicial
- Análisis y validación de la IA
- Revisión de los resultados
- Retrospectiva
Incorporación
Nos facilitas el acceso a tu repositorio de código fuente y a los detalles de tu entorno. Dado que analizamos el código fuente, y no los binarios, cada hallazgo señala la línea exacta, y las correcciones se entregan en forma de parches listos para fusionar.
Evaluación inicial
Keysight evalúa los requisitos previos y resuelve los obstáculos junto contigo antes de realizar el análisis completo.
Análisis y validación de la IA
Nuestro marco recopila datos de SCA y ejecuta un SAST basado en IA; a continuación, crea un entorno de pruebas para comprobar la accesibilidad y la vulnerabilidad, así como para verificar cada parche.
Revisión de los resultados
Tu equipo y Keysight revisan conjuntamente las conclusiones, los resultados de los parches y las recomendaciones de corrección.
Retrospectiva
Identificamos las lagunas en la cobertura y recopilamos opiniones para introducir mejoras en el futuro.
Todas las opciones abarcan código propio, de terceros y de código abierto en un único flujo de trabajo unificado de IA, y próximamente se incorporará la integración con el proceso de CI/CD.
Tu IP sigue siendo tuya
Tu código fuente es tu activo más valioso. Y así es como lo tratamos.
- Aloja proyectos en servidores de IA sin conexión, sin enviar datos a la nube
- Elige modelos de IA que se ajusten a la normativa regional
- Opción de ejecutarse en proveedores de servicios en la nube basados en IA
- No se ha impartido formación sobre los datos de los clientes
Preguntas frecuentes
La obligación de notificar las vulnerabilidades que se estén explotando activamente y los incidentes graves entrará en vigor el 11 de septiembre de 2026. El resto de requisitos, incluidos la gestión de vulnerabilidades y las listas de componentes de software (SBOM), entrarán en vigor el 11 de diciembre de 2027.
No. La IA sugiere parches y los verifica en un entorno de pruebas. Los parches críticos siempre se someten a una revisión humana antes de incorporarse a tu código fuente.
No. Los proyectos pueden ejecutarse en servidores de IA sin conexión, y tus datos nunca se utilizan para entrenar modelos.
Ya sabes qué vulnerabilidades de tu producto son accesibles y pueden ser objeto de explotación, y cada hallazgo cuenta con un registro que permite su seguimiento. Cuando surge una nueva vulnerabilidad que ha sido objeto de explotación, puedes evaluar rápidamente su impacto e informar al respecto con pruebas.
Los resultados se integran en tu flujo de trabajo actual, por ejemplo, como tickets de Jira priorizados o elementos de sprint.
Con una prueba de concepto basada en uno de tus propios productos. Sigue los cinco pasos anteriores y concluye con una retrospectiva de los resultados.