Lo que la prensa convencional no entiende sobre Mythos

A lo largo de los años, hemos visto cómo algunas historias sobre ciberseguridad han llegado a la prensa generalista: Kevin Mitnick como el "superhacker" en los años 90, ILOVEYOU en la década de 2000, Stuxnet en la década de 2010 y Log4J a principios de la década de 2020.

Lo que está sucediendo con Mythos es un punto de inflexión similar. Lo que la prensa ha captado con razón es aquí y aquí y aquí y aquí Mythos ya ha encontrado miles de vulnerabilidades de día cero; el 99 % de ellas no están parcheadas, algunas tienen décadas de antigüedad y existen en todos los sistemas operativos y navegadores principales. Si no has leído estos artículos, deberías hacerlo: la amenaza que representan Mythos y otros modelos LLM no es exagerada.

En esta publicación vamos a profundizar en algo que la prensa convencional NO está cubriendo: la capacidad casi mítica de Mythos para realizar ingeniería inversa en aplicaciones disponibles públicamente en la App Store y Google Play.

La historia menos contada: qué significa Mythos para la resiliencia de las aplicaciones

Según AISI, una organización financiada por el gobierno británico, Mythos puede tomar un binario de código cerrado sin protección, reconstruir un código fuente plausible y luego encontrar rutas a los servidores back-end. even más fácilmente y de manera más eficaz que los modelos anteriores.

Esta es una categoría diferente a la del descubrimiento de vulnerabilidades de día cero. Analiza tu aplicación y la convierte en un mapa (y una ruta) hacia tus sistemas de back-end.

Ya lo veíamos venir, y así lo dijimos en las entradas del blog previas a Mythos. aquí y aquíMythos no creó este vector de amenaza, pero lo ha industrializado de facto. Si Mythos puede reconstruir el código fuente a partir de un binario sin ofuscación, el código sin ofuscar se convierte en código abierto para cualquier modelo suficientemente capaz. Dejar el código de la aplicación sin ofuscar es como dejar las vulnerabilidades de Log4J sin parchear después de que se revelara la vulnerabilidad de día cero. Los modelos/agentes itinerantes ya están descargando millones de binarios de las tiendas de aplicaciones, analizándolos, encontrando rutas para explotar y luego recorriendo alegremente esas rutas directamente hasta su servidor backend.

“Table stakes” ahora no es *solo* SAST, es lo que OWASP denomina “Resiliencia” a la ingeniería inversa..

La capacidad de Mythos para realizar ingeniería inversa en las aplicaciones convierte la protección contra manipulaciones en un requisito indispensable, al igual que SAST se convirtió en un requisito indispensable alrededor de 2012. No puedes permitirte el lujo de no protegerte contra el análisis en tiempo de ejecución cuando este se puede realizar automáticamente y con un solo clic, en cualquier momento y lugar. Esto también convierte la protección contra el análisis estático en una necesidad imperiosa. Si no ofuscas tu código, esencialmente lo estás haciendo de código abierto, al menos desde la perspectiva de LLM.

Combate el fuego con fuego: usa la IA para configurar las protecciones.

La misma IA que acelera los ataques puede acelerar las defensas. Ya no podemos darnos el lujo de pasar un par de semanas o meses trabajando con nuestros clientes para establecer planes de protección. Hoy Digital.ai utiliza LLM para analizar el código que estamos protegiendo y para recomendar y luego ellos mismos redactan los planos de protección.

El genio ha salido de la botella.

No hay forma de devolver a Mythos a su sitio, ni de volver a meter la pasta de dientes en el tubo. Anthropic estima que los modelos con capacidades similares estarán más disponibles en un plazo de 12 a 18 meses.

La buena noticia (bueno, quizás no tan buena, pero sí menos mala) es que las mismas fuerzas que aceleran la superficie de ataque están ahora al alcance de los defensores. La ofuscación, que antes requería semanas para configurarse, ahora puede diseñarse, recomendarse y programarse con la misma clase de modelos que los ciberdelincuentes utilizan para desmantelar aplicaciones. La cuestión no es si usar IA en tu estrategia de protección, sino si llegar a ella antes que el adversario.

Mythos no cambió las reglas del juego. Eliminó el período de gracia que permitía a la mayoría de los equipos jugar a su propio ritmo. Los equipos que se mueven ahora —ofuscando binarios, reforzando su defensa contra RE con agentes y utilizando IA para configurar protecciones a la velocidad de la amenaza— son los que aún contarán con un perímetro defendible cuando modelos equivalentes estén disponibles para el público en general.

El resto se enfrentará al mismo destino que ellos cuando llegaron tarde a reparar. Vulnerabilidades de Log4J, APTs patrocinados por estados nación ignorados, Tardaron en adoptar AV después de que se extendiera ILOVEYOU., y e ignoraron el poder de la ingeniería social. tras la detención de Kevin Mitnick.