Vulnerabilidades en dependencias del ecosistema de IA

En una aplicación con IA hay dependencias que se parecen a las de cualquier software —bibliotecas web, clientes de bases de datos— y otras propias del ecosistema: el cargador que abre los archivos de pesos, el tokenizador que trocea el texto, el servidor de inferencia que expone el modelo, el conversor de formatos y los cuadernos donde el equipo de datos prueba modelos nuevos. Estas últimas tienen una particularidad: muchas reciben como entrada un archivo de modelo, y un archivo de modelo de origen externo es una entrada no confiable, igual que un formulario web.

Por eso el inventario no se queda en «qué paquete y qué versión». Anota también dónde se usa cada instalación y qué recibe: qué formato de pesos abre, si lee archivos que suben usuarios, si su consola está expuesta. Sin esa columna no se puede saber si un aviso aplica.

Un aviso trae al menos cuatro datos que importan: qué versiones afecta, en cuál se corrige, cuál es su puntuación base de severidad según el sistema común de puntuación que mantiene FIRST, y si hay constancia de que alguien lo está aprovechando. Muchos boletines añaden la condición en que aplica. La explotación conocida, cuando además la condición se cumple en tu entorno, pesa más que unos puntos de diferencia en la puntuación base: catálogos públicos como el de vulnerabilidades explotadas conocidas de CISA existen justamente para eso. Cruza el aviso con explotación conocida con el inventario de producción.

El parche no termina en producción. Los entornos de laboratorio y la cuarentena también abren archivos de modelo, a menudo recién descargados y todavía sin revisar, que es exactamente la condición más peligrosa. Cuenta todas las instalaciones del inventario, en cualquier entorno, que tienen una versión afectada por ese aviso y cumplen su condición.

Ordenar por puntuación base es cómodo y suele equivocarse. Una vulnerabilidad de 9,1 en una función que tu entorno no usa no abre ninguna puerta hoy; una de 7,8 que se está aprovechando y cuya condición se cumple en un servicio de producción sí. La puntuación base describe la vulnerabilidad en abstracto; la prioridad la deciden la explotación conocida y la exposición real en tu inventario. Lo que no aplica hoy se programa igual, pero detrás.