Cómo encontrar vulnerabilidades automáticamente con Inteligencia Artificial y herramientas open source

Encontrar vulnerabilidades ya no depende únicamente de revisiones manuales, pentesting puntual o auditorías al final del proyecto. Hoy es posible automatizar gran parte del análisis de seguridad usando herramientas open source, pipelines DevSecOps e Inteligencia Artificial para revisar código, dependencias, contenedores, secretos, infraestructura como código, APIs y aplicaciones web.

La clave está en combinar técnicas. Una sola herramienta no basta. SAST revisa código fuente, SCA analiza dependencias, secret scanning detecta claves filtradas, container scanning revisa imágenes, IaC scanning valida configuraciones, DAST prueba aplicaciones en ejecución y la IA ayuda a priorizar, explicar, correlacionar hallazgos y proponer correcciones. OWASP ASVS recuerda que la seguridad de aplicaciones requiere requisitos verificables y controles técnicos, no solo una lista superficial de errores.

1. Qué significa encontrar vulnerabilidades automáticamente

Automatizar la detección de vulnerabilidades significa integrar controles de seguridad en el flujo normal de desarrollo y operación. El análisis debe ejecutarse en la computadora del desarrollador, en cada commit, en cada pull request, en el pipeline CI/CD, antes de desplegar contenedores y también sobre sistemas en ejecución.

GitHub CodeQL, por ejemplo, permite analizar código mediante consultas de seguridad; GitHub señala que sus consultas predeterminadas son mantenidas por expertos, investigadores y la comunidad, y que las consultas son open source en el repositorio github/codeql. OSV-Scanner conecta las dependencias de un proyecto con vulnerabilidades conocidas en la base OSV, mientras Trivy permite encontrar CVE, malas configuraciones, secretos y SBOM en repositorios, contenedores, Kubernetes y nubes.

2. Dónde entra la Inteligencia Artificial

La IA no debe usarse como un “oráculo” que declara si una aplicación es segura. Debe actuar como asistente de revisión. Puede leer hallazgos, buscar rutas de explotación en el código, explicar impacto, sugerir correcciones, generar pruebas unitarias, crear reglas Semgrep o plantillas Nuclei, y revisar si un parche realmente elimina la causa raíz.

Google publicó Mantis, un toolkit modular para agentes de codificación orientado a encontrar, reproducir y parchear vulnerabilidades. Su repositorio advierte que los agentes deben pedir aprobación humana antes de ejecutar comandos sensibles y que los reportes generados por IA no deben enviarse masivamente a mantenedores sin verificación.

3. Flujo recomendado: de código a producción

El flujo ideal no espera al final del proyecto. Primero se revisa el código localmente; luego se valida el pull request; después se analiza el contenedor; finalmente se escanea la aplicación desplegada en un entorno autorizado. La IA puede intervenir en cada etapa, pero siempre dentro de límites.

Desarrollador
  ↓
Pre-commit:
  - Gitleaks
  - Semgrep rápido
  - Bandit si es Python
  ↓
Pull Request:
  - CodeQL
  - Semgrep completo
  - OSV-Scanner
  - Trivy repo
  ↓
Build:
  - Trivy image
  - SBOM
  - revisión de secretos
  ↓
Staging autorizado:
  - Nuclei con templates controladas
  - pruebas DAST
  ↓
IA:
  - resume hallazgos
  - prioriza riesgos
  - propone parches
  - genera pruebas
  - verifica si el parche corrige la causa raíz
  ↓
Aprobación humana
  ↓
Producción

4. Semgrep: reglas rápidas para código vulnerable

Semgrep es una herramienta muy útil para análisis estático porque permite escribir reglas por patrones de código. Sirve para detectar SQL injection, XSS, uso inseguro de criptografía, comandos del sistema con entrada no validada, secretos, malas prácticas y patrones internos de una organización. La página de NIST sobre analizadores de código fuente incluye Semgrep como herramienta de análisis estático para encontrar errores, bugs lógicos y vulnerabilidades de seguridad.

Semgrep también ha incorporado capacidades asistidas por IA en su plataforma, como priorización, análisis LLM-backed y detección de riesgos en código generado por asistentes. Semgrep documenta flujos donde ejecuta análisis estático, SCA, detección de secretos y análisis respaldado por LLM para problemas como IDOR y fallos de autorización.

# Instalar
python3 -m pip install semgrep

# Escaneo recomendado para seguridad

semgrep scan --config p/security-audit .

# Escaneo OWASP Top 10

semgrep scan --config p/owasp-top-ten .

# Salida JSON para pasar a una IA o dashboard

semgrep scan --config p/security-audit --json --output semgrep-results.json .

5. CodeQL: consultar el código como si fuera una base de datos

CodeQL permite construir una base de datos semántica del código y ejecutar consultas para encontrar vulnerabilidades. La documentación oficial indica que las consultas CodeQL se usan en análisis de code scanning para encontrar problemas en el código fuente, incluyendo potenciales vulnerabilidades de seguridad.

Su gran ventaja es que puede encontrar flujos complejos: entrada del usuario, transformación de datos, paso por funciones intermedias y llegada a un punto peligroso. Es muy útil para vulnerabilidades como inyección, path traversal, XSS, uso inseguro de deserialización o manejo incorrecto de datos sensibles.

# Crear base CodeQL
codeql database create db-codeql --language=javascript --source-root=.

# Ejecutar suite de seguridad

codeql database analyze db-codeql 
javascript-security-and-quality.qls 
--format=sarif-latest 
--output=codeql-results.sarif

La IA puede leer resultados SARIF, agrupar hallazgos repetidos, explicar la ruta vulnerable y proponer un orden de corrección. Pero la evidencia técnica sigue viniendo del análisis estático y de la revisión humana.

6. OSV-Scanner: detectar dependencias vulnerables

Muchas vulnerabilidades no están en el código escrito por el equipo, sino en dependencias. OSV-Scanner es el frontend oficial para la base OSV y conecta la lista de dependencias de un proyecto con vulnerabilidades que las afectan. Su documentación indica que cubre múltiples ecosistemas open source y puede escanear código fuente y lockfiles para detectar vulnerabilidades en dependencias.

# Escanear proyecto completo
osv-scanner scan source .

# Escanear lockfile específico

osv-scanner scan -L package-lock.json

# Guardar resultados

osv-scanner scan source . --format json --output osv-results.json

La IA puede ayudar a responder tres preguntas: si la dependencia vulnerable realmente se usa, si existe actualización segura compatible y qué pruebas deberían ejecutarse después de actualizar.

7. Trivy: contenedores, repositorios, Kubernetes, IaC y SBOM

Trivy es una de las herramientas open source más completas para seguridad de contenedores y repositorios. Su sitio oficial lo describe como un scanner todo-en-uno para encontrar CVE y malas configuraciones en repositorios, artefactos binarios, imágenes de contenedor y clusters Kubernetes.

La documentación de Trivy también indica que puede generar SBOM para imágenes de contenedor y buscar SBOM durante escaneos de vulnerabilidades. Esto es importante porque una organización no puede proteger lo que no conoce: el SBOM permite inventariar componentes y dependencias.

# Escanear repositorio local
trivy repo .

# Escanear imagen de contenedor

trivy image mi-app:latest

# Buscar vulnerabilidades, secretos y malas configuraciones

trivy fs --scanners vuln,secret,misconfig .

# Generar SBOM

trivy image --format cyclonedx --output sbom.json mi-app:latest

8. Gitleaks: encontrar secretos antes de que lleguen a producción

Las credenciales filtradas son una de las fallas más peligrosas y frecuentes. Gitleaks está diseñado para encontrar secretos en repositorios, directorios y archivos. Su repositorio oficial lo presenta como una herramienta para “find secrets” y permite escanear repositorios Git, además de integrarse con pre-commit y acciones de CI/CD.

# Escanear el repositorio actual
gitleaks detect --source .

# Escanear directorio de trabajo

gitleaks dir .

# Generar salida JSON

gitleaks detect --source . --report-format json --report-path gitleaks-results.json

9. Bandit: análisis automático para proyectos Python

Si trabajas con Python, Bandit es una herramienta directa y útil. Su documentación oficial indica que está diseñada para encontrar problemas comunes de seguridad en código Python, procesando archivos, construyendo el AST y ejecutando plugins contra los nodos del árbol sintáctico.

# Instalar
python3 -m pip install bandit

# Escanear proyecto Python

bandit -r .

# Salida JSON para revisión posterior

bandit -r . -f json -o bandit-results.json

La IA puede transformar los hallazgos de Bandit en una lista priorizada: qué corregir primero, qué falso positivo descartar, qué prueba agregar y qué patrón de codificación segura adoptar.

10. Nuclei: escaneo dinámico con plantillas

Nuclei es un scanner rápido basado en plantillas YAML para aplicaciones, APIs, redes, DNS y configuraciones cloud. ProjectDiscovery lo describe como un scanner diseñado para probar aplicaciones modernas, infraestructura, plataformas cloud y redes, ayudando a identificar vulnerabilidades explotables.

Las plantillas son el núcleo de Nuclei. La documentación explica que definen solicitudes específicas para comprobar vulnerabilidades con baja tasa de falsos positivos y que pueden compartirse como archivos YAML. La herramienta también incorpora generación de plantillas con IA a partir de descripciones en lenguaje natural, lo que puede ayudar a crear pruebas reproducibles para vulnerabilidades propias, siempre dentro de entornos autorizados.

# Solo escanear activos propios o con autorización expresa

# Escaneo básico sobre entorno de staging autorizado

nuclei -u https://staging.miempresa.com -severity medium,high,critical

# Guardar resultados

nuclei -u https://staging.miempresa.com -jsonl -o nuclei-results.jsonl

# Ejecutar una plantilla propia validada

nuclei -u https://staging.miempresa.com -t templates/mi-prueba.yaml

11. Mantis: agentes de IA para revisión de seguridad

Mantis, publicado por Google, propone un conjunto modular de habilidades para agentes de codificación orientadas a revisión de seguridad: modelado de amenazas, investigación, deduplicación, revisión, reproducción, encadenamiento, parcheo y reporte. Google Cloud explicó que las capacidades centrales de Mantis fueron abiertas como demostración del concepto y que el enfoque busca reducir el análisis bruto de código mediante un árbol jerárquico de resúmenes de seguridad.

Su valor está en usar la IA como investigador controlado, no como atacante autónomo sin límites. La documentación de Mantis recomienda envolver las habilidades en pipelines deterministas para entornos empresariales y configurar límites de seguridad para que el agente no escape fácilmente del entorno.

12. Qué vulnerabilidades puedes detectar automáticamente

Las herramientas automatizadas funcionan muy bien para ciertas familias de vulnerabilidades, pero no para todas. Son fuertes detectando patrones conocidos, dependencias vulnerables, secretos, configuraciones inseguras y errores repetibles. Son más débiles en lógica de negocio compleja, autorización contextual, abuso de flujos, fraude o decisiones funcionales que requieren entender el negocio.

13. Ejemplo de pipeline CI/CD básico

Una empresa pequeña puede empezar con un pipeline simple: secretos, SAST, dependencias y contenedores. Luego se agregan IA, dashboards, revisión humana y escaneo dinámico en staging.

stages:
  - secrets
  - sast
  - dependencies
  - container
  - report

secrets:
script:
- gitleaks detect --source . --report-format json --report-path gitleaks.json

sast:
script:
- semgrep scan --config p/security-audit --json --output semgrep.json .
- bandit -r . -f json -o bandit.json || true

dependencies:
script:
- osv-scanner scan source . --format json --output osv.json

container:
script:
- docker build -t mi-app:ci .
- trivy image --format json --output trivy-image.json mi-app:ci

report:
script:
- python3 generar_reporte_seguridad.py

14. Cómo priorizar hallazgos automáticamente

El error más común es tratar todas las alertas como iguales. Un CVE crítico en una librería no usada puede ser menos urgente que una clave AWS válida filtrada en el repositorio. Una IA bien usada puede correlacionar hallazgos y explicar prioridad, pero la regla de negocio debe ser clara.

15. Prompt útil para analizar resultados con IA

El siguiente prompt sirve para usar IA como analista de seguridad defensiva. Debe alimentarse con resultados JSON/SARIF generados por herramientas, nunca con secretos reales ni información que no pueda procesarse según las políticas de la organización.

Actúa como analista AppSec defensivo.
Analiza estos hallazgos de herramientas SAST/SCA/secret scanning.
No inventes vulnerabilidades.
No generes explotación ofensiva.
Para cada hallazgo indica:

1. Riesgo real.
2. Archivo y línea.
3. Evidencia técnica.
4. Posible falso positivo.
5. Prioridad: crítica, alta, media o baja.
6. Corrección recomendada.
7. Prueba para validar el parche.
8. Si requiere rotación de secretos o revisión de logs.

Devuelve una tabla ejecutiva y luego una lista técnica para desarrolladores.

16. Controles para que la IA no se vuelva un riesgo

Usar IA para seguridad también introduce riesgos: exposición de código sensible, filtración de secretos, parches incorrectos, falsos positivos convincentes, comandos peligrosos y reportes no verificados. El propio repositorio de Mantis advierte que los reportes de IA deben verificarse antes de enviarse, y recomienda aprobación humana para comandos sensibles.

17. Ruta práctica para implementar en una empresa

18. Errores comunes al automatizar seguridad con IA

19. Preguntas clave

Recomendamos

En resumen

Encontrar vulnerabilidades automáticamente con Inteligencia Artificial y herramientas open source es posible, pero debe hacerse con método. Semgrep, CodeQL, OSV-Scanner, Trivy, Gitleaks, Bandit y Nuclei cubren diferentes capas del riesgo. La IA agrega valor cuando explica, prioriza, correlaciona y ayuda a corregir, no cuando reemplaza la evidencia técnica.

El mejor enfoque es defensivo y progresivo: empezar con secretos, SAST, dependencias y contenedores; luego agregar DAST en staging, SBOM, reglas personalizadas, revisión asistida por IA y métricas de mejora continua. La automatización no elimina la responsabilidad humana: la hace más rápida, visible y medible.