Paquetes de IA: la explotación ya llegó antes de que acelere la adopción

Por qué importa

El contraste es operativo: la superficie de riesgo de los paquetes de IA ya incluye vulnerabilidades con explotación observada mientras la difusión en los canales de desarrolladores todavía no acelera de forma uniforme. En el recorte actual de Virtual Arena AI, el 16.4% de 578 filas de vulnerabilidad en 15 tecnologías de IA monitorizadas no tiene una versión corregida conocida; 10 aparecen en el catálogo Known Exploited Vulnerabilities de CISA y 12 tienen EPSS de al menos 50%. Al mismo tiempo, el crecimiento mediano en 4 canales independientes de adopción/actividad fue de 2.3% en 30 días. Esto no significa que la adopción cause vulnerabilidades; es una señal de prioridad. Si la exposición explotable ya existe antes de que acelere la adopción, inventariar dependencias, usar KEV/EPSS para priorizar y sustituir componentes sin corrección es más barato ahora que después de que crezca la base instalada.

Contraseñales

• A coorte é curada e não representa todo o ecossistema open source; os números descrevem as 15 tecnologias monitoradas.(Metodologia)
• O crescimento de 2,3% mede atividade de desenvolvedores em 4 canais, não implantação em produção, e não estabelece causalidade com vulnerabilidades.(Metodologia)

Evidencias

• 16,4% de 578 registros de vulnerabilidade na coorte de 15 tecnologias de IA não têm versão corrigida conhecida.(OSV)
• 10 vulnerabilidades da coorte estão no catálogo KEV, isto é, têm exploração observada.(CISA KEV)
• 12 vulnerabilidades têm EPSS ≥ 50%; em paralelo, a atividade nos 4 canais monitorados cresceu medianamente 2,3% em 30 dias.(EPSS + developer activity)

Limitaciones