La conversación en torno a Claude Mythos Preview de Anthropic se ha centrado comprensiblemente en los días cero. Si los sistemas de IA pueden identificar y explotar vulnerabilidades en todos los sistemas operativos y navegadores a escala, los defensores deben asumir que los plazos de explotación seguirán comprimiéndose.

Pero para los CISO, la pregunta más difícil es cuánto tiempo siguen siendo válidas las credenciales de acceso expuestas después de que los defensores descubren la exposición. Las credenciales determinan hasta dónde puede llegar un atacante, cuánto tiempo puede persistir y lo difícil que resulta la contención. Una vulnerabilidad solo les abre la puerta. Esa brecha entre el tiempo de explotación y el tiempo de revocación es donde muchas organizaciones están más expuestas. El informe State of Secret Sprawl de GitGuardian muestra que el 64% de los secretos válidos detectados en 2022 seguían activos y explotables cuatro años después, en un entorno donde la explotación ahora se reduce a horas. Las vulnerabilidades permiten la entrada a los atacantes, pero las credenciales deciden hasta dónde llegan.

El informe Mythos-ready, elaborado por más de 60 colaboradores y revisado por más de 250 CISO, apunta en esta dirección a través de sus acciones prioritarias. La rotación de secretos, la gobernanza de identidades no humanas, la MFA resistente al phishing y el despliegue de honeytokens aparecen en la lista de acciones prioritarias. Pero no nombra la métrica que las une. El tiempo de revocación debería ser esa métrica.

La velocidad de explotación se colapsa, pero el acceso sigue gobernando el impacto

Mythos representa un cambio radical en la capacidad ofensiva. El cronograma del documento muestra que el tiempo medio desde la divulgación de una vulnerabilidad hasta la explotación confirmada ha pasado de 2,3 años en 2019 a menos de un día en 2026. La ventana entre el descubrimiento y la weaponización ahora puede reducirse a horas o incluso minutos.

El descubrimiento de vulnerabilidades impulsado por IA ya no es experimental. Es operativo, y los defensores deben asumir que la capacidad seguirá propagándose y acelerándose. Una explotación más rápida no se ha traducido automáticamente en un impacto proporcional de las brechas. Muchas de las brechas más importantes recientes implicaron abuso de credenciales, ingeniería social o compromiso de la cadena de suministro, en lugar de exploits novedosos. El informe Global Threat Report 2026 de CrowdStrike cifra la rapidez con que se cierra la ventana. El tiempo medio de ruptura de eCrime se redujo a 29 minutos, un aumento del 65% en velocidad respecto al año anterior, con la ruptura más rápida registrada en 27 segundos. En una intrusión, la exfiltración de datos comenzó a los cuatro minutos del acceso inicial. Y el 82% de las detecciones estaban libres de malware; los adversarios se movían a través de credenciales válidas, flujos de identidad confiables, integraciones SaaS aprobadas y cadenas de suministro heredadas, mezclándose con la actividad normal en lugar de desplegar exploits novedosos.

Los días cero comprimen el cronograma del atacante. Las credenciales válidas convierten esa velocidad en alcance, persistencia e impacto.

Cuando la velocidad de explotación supera la velocidad de revocación

Los equipos de seguridad han pasado años mejorando el tiempo de detección y el tiempo de respuesta. En la era de los exploits de IA, necesitan agregar otra métrica: la rapidez con que pueden revocar. Si una credencial se expone hoy, ¿cuánto tiempo sigue siendo válida? ¿Quién la posee? ¿Qué servicios dependen de ella? ¿Se puede rotar de forma segura? ¿Existe un runbook, o el incidente rebota entre equipos mientras la clave sigue activa? Esas preguntas definen el radio de explosión.

La campaña de clientes de Snowflake de 2024 mostró cómo se ve esto en la práctica. Mandiant y Snowflake notificaron a aproximadamente 165 organizaciones potencialmente expuestas. Los atacantes habían utilizado credenciales de clientes expuestas, las instancias afectadas a menudo carecían de MFA y, en muchos casos, las credenciales no se habían rotado durante hasta cuatro años. Se detectaron casi 29 millones de nuevos secretos hardcodeados en commits públicos de GitHub solo en 2025, y el 28% de los incidentes relacionados con secretos en nuestros datos se originaron completamente fuera del código fuente, en Slack, Jira, Confluence y sistemas CI/CD. La superficie de ataque para la exposición de credenciales sigue creciendo. Pero la exposición es solo el primer fallo. La pregunta operativa más importante es qué sucede después.

Por qué la revocación falla en entornos empresariales

La revocación es estructuralmente más difícil que la detección. Ese es el problema central, y no se debe a la falta de conciencia. La persona que comprometió o filtró el secreto a menudo no es propietaria de la cuenta de servicio a la que pertenece. El incidente termina en una cola que debe ser enrutada antes de que alguien pueda actuar. Los equipos de seguridad no pueden rotar lo que no pueden mapear a una identidad no humana (NHI), carga de trabajo o servicio de negocio. Las NHI superan en número a los usuarios humanos, y pocas organizaciones tienen un inventario completo.

Los equipos temen romper la producción porque no saben qué depende de la credencial, por lo que la rotación se aplaza y la clave sigue activa. Encontrar un secreto filtrado ahora puede llevar minutos, pero revocarlo de forma segura a menudo lleva días porque el proceso de rotación es manual, no está documentado, o ambas cosas. Y sin monitorear el uso de credenciales después de la exposición, los equipos no saben si la clave fue explotada mientras permanecía activa. La brecha puede haber ocurrido ya. Cada uno de estos fallos extiende el período de riesgo. Juntos, explican por qué las credenciales expuestas de larga duración no son un caso atípico.

Cuatro pruebas para la preparación de la revocación

Si está construyendo un programa de seguridad Mythos-ready, el ejercicio más útil es poner a prueba si puede revocar secretos lo suficientemente rápido como para que importe, no solo encontrarlos.

  • Primero, encuentre credenciales expuestas fuera del código. La mayoría de los programas aún escanean repositorios y lo consideran completo, pero, nuevamente, casi un tercio de los incidentes relacionados con secretos en nuestros datos se originaron completamente fuera del código fuente, en Slack, Jira, Confluence, registros CI/CD, configuraciones de contenedores y los sistemas a los que ahora pueden acceder los agentes de IA. Si su escaneo se detiene en el repositorio, ahí es donde comienzan los atacantes.
  • Segundo, mapee cada credencial a un propietario y NHI. Cada secreto expuesto debe resolverse en una cuenta de servicio, carga de trabajo, aplicación, equipo y propietario de negocio. Sin ese mapeo, el incidente queda en triaje.
  • Tercero, rote sin romper la producción. La rotación necesita runbooks probados, contexto de dependencias y automatización cuando sea posible. Si la primera pregunta después de encontrar una clave filtrada es "¿qué se romperá?", entonces el cronograma de revocación se ha extendido días.
  • Cuarto, detecte el uso después de la exposición. Honeytokens, monitoreo de comportamiento y registros de acceso deberían indicarle si una credencial fue utilizada durante su ventana de acceso activo. Sin eso, está midiendo la rapidez con que revocó, pero no el daño ocurrido antes de la revocación.

La métrica del consejo que falta

Los consejos necesitan saber cuánto tiempo permanecen válidas las credenciales expuestas, cuántas no tienen propietario y con qué rapidez la organización puede revocar el acceso sin interrumpir las operaciones. En un programa de seguridad Mythos-ready, el tiempo de revocación debe estar junto al tiempo de detección y al tiempo de respuesta. Cuando la explotación se mueve a velocidad de máquina, las claves obsoletas convierten la velocidad del atacante en impacto empresarial.

Acerca del autor: Eric Fourrier es el CEO de GitGuardian, una plataforma de seguridad NHI de extremo a extremo para empresas. GitGuardian ayuda a tomar el control de la seguridad de las NHI descubriendo todos los secretos, priorizando y remediando filtraciones a escala, protegiendo en última instancia las identidades no humanas y reduciendo la exposición a brechas. Ampliamente adoptado por comunidades de desarrolladores, GitGuardian es utilizado por más de 600 mil desarrolladores y empresas líderes, incluyendo Snowflake, Orange, Iress, Mirantis, Maven Wave, ING, BASF y Bouygues Telecom.