SentinelOne: los modelos de OpenAI hacen en 8 horas una ingeniería inversa que lleva de 4 a 6 semanas

Gregor Stewart, de SentinelOne, ha afirmado que las capacidades de ciberseguridad de los modelos de OpenAI alcanzan el nivel humano en ingeniería inversa: un trabajo que a un investigador de primer nivel le lleva de cuatro a seis semanas, la IA lo resuelve en unas ocho horas. Si se cuenta el tiempo laboral con una semana de 40 horas, son entre 160 y 240 horas frente a ocho, es decir, una aceleración de aproximadamente 20 a 30 veces. La fuente es a la vez proveedor y socio: el vídeo se publicó en el canal de OpenAI.

Qué es exactamente lo que se acelera

Se trata de ingeniería inversa, es decir, del análisis de código malicioso: a partir de un archivo compilado, el analista reconstruye qué hace el programa, cómo se oculta y con qué se comunica. Es una de las tareas más laboriosas de la seguridad. La realizan pocos especialistas y cada hora de su trabajo es cara. Por eso los equipos se ven obligados a elegir qué muestras merecen un análisis en profundidad; el resto queda en la cola o ni siquiera se estudia.

Stewart lo plantea en términos económicos: «Es el tipo de inteligencia que antes sencillamente no podíamos permitirnos». Lo importante aquí no es la velocidad en sí. Cuando el análisis en profundidad se abarata decenas de veces, cambia el umbral de «¿merece la pena dedicar tiempo a esta muestra?» y entra en el trabajo lo que antes se descartaba.

Qué aporta esto a un equipo de seguridad

SentinelOne señala tres efectos:

• más muestras de malware analizadas con las mismas personas;
• la posibilidad de vincular amenazas emparentadas: código común, infraestructura, técnicas de distintas familias;
• una imagen más clara de cómo evolucionan los ataques con el tiempo.

El tercer punto se deriva de los dos primeros. Cuantas más muestras se analizan hasta el nivel de la lógica, más fácil es detectar que tres herramientas «distintas» las escribió el mismo equipo o parten de la misma base de código. Antes, estos vínculos solían pasar inadvertidos simplemente porque nadie llegaba a analizar hasta la mitad de las muestras.

Qué falta en el material

La fuente es escasa: una breve descripción del vídeo y un enlace al caso en el sitio de OpenAI. Quedan varias preguntas abiertas:

• qué modelo o sistema se utilizó exactamente;
• con qué muestras y según qué criterio se determinó la «calidad humana» del resultado;
• si las ocho horas son tiempo puro de máquina o incluyen la revisión por parte del analista;
• cuál es la tasa de errores y cuánto control humano se necesita después de la IA.

El último punto es fundamental. En ingeniería inversa, una conclusión errónea sobre una muestra es peor que no tener ninguna: puede desviar la investigación o crear una falsa sensación de amenaza cerrada. La comparación «8 horas frente a 4–6 semanas» solo es válida si los resultados son comparables en profundidad y precisión, y eso no se puede comprobar con el material publicado.

Qué hacer en la práctica

Si diriges un equipo de threat research o un SOC, conviene no trasladar la cifra a tu propio trabajo, sino verificarla con tus datos. Toma varias muestras que tus analistas ya hayan examinado y pásalas por un asistente de IA. Compara el resultado con la referencia: exhaustividad, errores y tiempo de verificación.

Evalúa por separado lo que se ha acumulado en la cola de muestras sin analizar. Ahí es donde la IA puede aportar más, porque para ese trabajo no había tiempo humano en absoluto. Y incluye en el proceso una revisión humana obligatoria: una aceleración de 20 a 30 veces es útil mientras las conclusiones se puedan confirmar con rapidez.

Para el mercado, la señal es esta: los proveedores de seguridad empiezan a hablar de la IA en términos de coste de la experiencia, y no de comodidad de la interfaz. Todavía no hay mediciones independientes, y hasta que las haya, la cifra de SentinelOne debe leerse como una afirmación, no como un resultado medido.