Recientemente, Sangfor AI logró resultados sobresalientes en CyberGym , un referente internacional para evaluar las capacidades de seguridad de la IA. Sangfor AI superó el conjunto completo de desafíos de vulnerabilidad de alta dificultad, que incluían ARVO y OSS-Fuzz, resolviendo con éxito 1301 de las 1507 tareas y alcanzando una tasa de éxito general del 86,3 %. En esta evaluación, Sangfor AI compitió con modelos y agentes de IA líderes a nivel mundial, como OpenAI, Anthropic y Meta, situándose finalmente entre los cuatro primeros a nivel global.
Como referente en la evaluación de la seguridad de la IA, CyberGym va más allá de las pruebas teóricas estáticas o a pequeña escala tradicionales para centrarse en desafíos complejos del mundo real, abarcando una amplia gama de proyectos de software de código abierto populares y vulnerabilidades históricas de alta dificultad (por ejemplo, ARVO y OSS-Fuzz). Evalúa las capacidades de grandes modelos y agentes de seguridad en razonamiento, reproducción de vulnerabilidades y validación de pruebas de concepto en bases de código masivas, contextos complejos y entornos adversarios de múltiples etapas. Gracias a su estrecha alineación con escenarios de defensa industrial reales y sus rigurosos estándares de verificación, CyberGym se considera uno de los bancos de pruebas más prestigiosos y autorizados a nivel mundial para evaluar las capacidades operativas reales de los modelos de seguridad de código.
La arquitectura detrás del 86,3%: Colaboración de enjambre de agentes
La investigación de vulnerabilidades no es simplemente un análisis de código puntual o la generación de una prueba de concepto. Se trata, en cambio, de un proceso continuo de formulación de hipótesis, recopilación de evidencia, eliminación de rutas incorrectas y obtención de conclusiones finales en condiciones de información incompleta. Si bien un solo modelo puede realizar razonamientos localizados, el manejo estable de la exploración de cadenas largas, las hipótesis paralelas y la validación rigurosa requiere un mecanismo de sistema capaz de organizar, retener y limitar estas capacidades. Ante este desafío, en lugar de basarse en una simple acumulación probabilística, Sangfor AI fue pionera en una arquitectura colaborativa de "enjambre de agentes" e introdujo un riguroso mecanismo de "gobernanza de la evidencia". Esto garantiza que cada paso de la investigación de vulnerabilidades sea claro y creíble.
- Exploración: El enjambre de agentes amplía la búsqueda al abrir investigaciones independientes y claramente delimitadas en torno a distintas hipótesis de seguridad. Esto permite examinar explicaciones complementarias en paralelo sin que se produzca contaminación cruzada, garantizando que una suposición sin fundamento no se convierta tácitamente en una premisa compartida.
- Evidencia: Las investigaciones se coordinan mediante evidencia, en lugar de historiales de conversación completos. Tanto las observaciones validadas como las pistas refutadas permanecen disponibles, lo que significa que la evidencia se conserva a lo largo de las distintas fases de la investigación, evitando así la necesidad de redescubrir pistas erróneas.
- Evaluación: Un coordinador utiliza este estado de evidencia en constante evolución para determinar qué hipótesis siguen siendo viables, qué preguntas quedan sin resolver y dónde se justifica una investigación adicional. De este modo, las rondas sucesivas se convierten en una reducción del espacio de búsqueda guiada por la evidencia.
- Revisión: Solo cuando la evidencia respalda una estrategia de activación concreta, el sistema genera una entrada candidata y la somete a revisión adversaria. La revisión cuestiona tanto la reproducibilidad del fallo observado como su relación con la vulnerabilidad asignada. Una candidata rechazada puede utilizarse para redirigir la investigación, convirtiendo el juicio negativo en una restricción para el siguiente paso de la búsqueda. Solo una candidata que supere esta rigurosa revisión se convierte en la declaración de seguridad final del sistema.
Tal como se destaca en el diseño técnico del equipo del proyecto: «Las hipótesis amplían la búsqueda. La evidencia determina la afirmación». Este mecanismo permite al sistema explorar ampliamente múltiples hipótesis, manteniendo al mismo tiempo un nivel de evidencia extremadamente estricto antes de llegar a conclusiones. En definitiva, este enfoque logró una tasa de éxito del 87,2 % en las tareas ARVO, del 77,7 % en las tareas OSS-Fuzz y una tasa de éxito general del 86,3 % en las pruebas de referencia.
Integración de innovaciones en el desarrollo empresarial
Con el rápido avance de la IA, los atacantes están aprovechando estas tecnologías para reducir drásticamente la barrera de acceso al análisis y la explotación de vulnerabilidades, acortando el tiempo desde el descubrimiento de errores hasta la explotación a gran escala. Para las empresas, es imperativo identificar, validar y corregir las vulnerabilidades antes de que lo hagan los adversarios. En consecuencia, las pruebas de seguridad estáticas de aplicaciones (SAST) tradicionales, basadas en la coincidencia de reglas, deben evolucionar rápidamente hacia agentes de seguridad equipados con razonamiento autónomo, comprensión de código, análisis de lógica empresarial y capacidades de validación de vulnerabilidades. Estos nuevos agentes de seguridad no solo deben identificar con precisión vulnerabilidades convencionales como la inyección SQL y la ejecución de comandos, sino también comprender profundamente flujos de trabajo empresariales complejos para descubrir problemas de alto riesgo, como el control de acceso deficiente y las omisiones de autenticación, que las herramientas tradicionales no logran detectar. Mientras tanto, el uso de modelos complejos para lograr avances en los sistemas de seguridad de desarrollo impulsados por IA es clave para mantener la iniciativa en la seguridad del código.
La clasificación en la tabla de CyberGym representa mucho más que un simple referente; demuestra las capacidades prácticas de los agentes de seguridad de IA en escenarios reales de seguridad de código de nivel empresarial. Sangfor AI está potenciando toda su línea de productos, integrándose profundamente en el ciclo de vida del desarrollo empresarial y ofreciendo un valor transformador para los usuarios.
- Mejora de la detección de vulnerabilidades: Superar eficazmente las limitaciones de las herramientas SAST tradicionales mediante la identificación exhaustiva de fallos en la lógica empresarial, la escalada de privilegios y las omisiones de autenticación, ampliando así significativamente la cobertura de seguridad del código.
- Reducción de los costes de auditoría manual: Aprovechar la IA para automatizar la comprensión del código, el análisis de correlación entre archivos, el razonamiento sobre rutas de ataque y la validación de riesgos, reduciendo significativamente la carga de trabajo manual para los expertos en seguridad.
- Minimizar los falsos positivos y aumentar la eficiencia: Basándonos en el razonamiento en varias etapas y en mecanismos rigurosos de validación de pruebas para reducir las tasas de falsos positivos, podemos permitir que los desarrolladores se centren en los riesgos que realmente requieren corrección y eviten modificaciones ineficaces.
- Acortar el ciclo de desarrollo y entrega: Integrar las pruebas de seguridad en la fase de codificación y en los pipelines de CI/CD para lograr una "auditoría automática al confirmar el código", reduciendo los costes de reelaboración en las últimas etapas y acelerando la implementación empresarial.
- Mejorar la postura general de seguridad empresarial: Ayudar a las empresas a establecer defensas de seguridad más sólidas en las primeras etapas del proceso de desarrollo, reduciendo los riesgos financieros y de cumplimiento normativo causados por las filtraciones de datos y las interrupciones del negocio, al tiempo que se protegen las operaciones digitales.
Para los usuarios empresariales, el valor fundamental de los agentes de seguridad de IA va mucho más allá de simplemente "encontrar más errores". Reside en lograr un salto cualitativo en la eficiencia del desarrollo y la seguridad del código gracias a una mayor precisión, un menor esfuerzo manual y una mayor capacidad de respuesta.
Este excelente desempeño como una de las soluciones de seguridad de IA líderes en China, según la evaluación de CyberGym, representa un hito significativo para Sangfor AI en su camino hacia la seguridad inteligente del código. De cara al futuro, seguiremos siendo pioneros en innovaciones en tecnologías de seguridad para modelos a gran escala, transformando capacidades de vanguardia en productividad práctica para escenarios empresariales y haciendo que la transformación digital sea más sencilla y segura para todos los usuarios.
