Más de la mitad de las vulnerabilidades del año 2025 con explotación confirmada fue atacada el día de su divulgación o antes. Quien solo reacciona a los avisos de CVE y a los ciclos de patches defiende una ventana temporal que ya no existe. VamiSec opera el Zero-Day-Monitoring como Managed Service — con apoyo de IA, de forma continua y con los mismos métodos que emplean hoy los atacantes.
Desde el exterior con VamiRedteam · junto al código con VamiAppSec · con atención permanente de VamiSec
Proporción de las vulnerabilidades con explotación confirmada que fueron atacadas el día de su divulgación o antes. Elaboración propia con datos de la iniciativa sectorial zerodayclock.com ↗
La Zero Day Clock — una iniciativa sectorial respaldada por más de 120 profesionales de la investigación en seguridad y de la industria — mide la distancia entre la publicación de una vulnerabilidad y su primera explotación confirmada. El resultado a lo largo de ocho años de publicación de CVE es inequívoco.
Mediana de días entre la publicación del CVE y la primera explotación confirmada, por año de CVE. Escala logarítmica. El año 2025 alcanza 0 días — el ataque y la divulgación coinciden en el mismo día.
Fuentes: Zero Day Clock (base de datos de 3.568 CVE con explotación confirmada procedentes de CISA KEV, VulnCheck KEV y VulnCheck XDB; fecha de divulgación según el NVD; datos de julio de 2026) e informe del BSI sobre la situación de la seguridad informática en Alemania 2025. El año en curso 2026 no se representa de forma deliberada, ya que los valores parciales de la fuente todavía no son consistentes.
Lo que hasta hace poco era trabajo de especialistas durante meses lo resuelven hoy los sistemas de IA en horas — de forma verificable, documentada públicamente y en ambos lados del frente. No es un pronóstico, sino práctica demostrada.
Anthropic, junto con unos 50 socios, ha encontrado más de diez mil vulnerabilidades de gravedad alta o crítica en software de amplia difusión. En la verificación de 1.752 hallazgos por parte de empresas de seguridad independientes, el 90,6 % resultaron ser aciertos reales — la cifra de calidad pública más sólida para la búsqueda de vulnerabilidades asistida por IA.
Anthropic, Project Glasswing (2026)Una evaluación de ciberseguridad del mismo programa documenta cómo un modelo de IA encontró y explotó por sí solo una ejecución remota de código de 17 años en FreeBSD, desarrolló 181 exploits funcionales contra Firefox y descubrió un fallo de 27 años en OpenBSD — con costes del orden de cuatro a cinco cifras.
Anthropic, evaluación de ciberseguridad Mythos Preview (abril de 2026)El agente «Big Sleep» de Google fue en 2024 el primer sistema de IA en encontrar una vulnerabilidad real y hasta entonces desconocida en un entorno productivo (SQLite). En 2025 siguieron otros 20 hallazgos en software de código abierto de amplio uso — y con CVE-2025-6965 un caso en el que se cortó de forma demostrable una explotación inminente.
Google Project Zero / DeepMindEl agente autónomo de Pentest XBOW alcanzó en junio de 2025, como primer participante no humano, el primer puesto de la clasificación estadounidense de HackerOne — tras unos 90 días y más de mil informes enviados.
HackerOne US-Leaderboard, junio de 2025En la final de la DARPA AI Cyber Challenge, siete sistemas de IA encontraron 54 de 70 vulnerabilidades introducidas y las corrigieron con un patch en 45 minutos de media, a un coste de 152 dólares estadounidenses por caso — además descubrieron 18 vulnerabilidades reales hasta entonces desconocidas.
DARPA AIxCC, DEF CON 33 (agosto de 2025)Los modelos abiertos con pesos publicados no se pueden retirar. Los organismos británico y estadounidense de seguridad de la IA constataron, en un modelo puntero publicado abiertamente en julio de 2026, que sus mecanismos de protección no impedían los intentos de desarrollo de exploits ni de operaciones ofensivas.
UK AISI y US CAISI, julio de 2026Anthropic prevé que en un plazo de seis a doce meses otros proveedores dispongan de modelos de esta categoría de rendimiento — y que posiblemente los publiquen sin mecanismos de protección. Los defensores tienen que adaptarse para mantener el ritmo.
Anthropic, «Expanding Project Glasswing» (junio de 2026)
La gestión clásica de vulnerabilidades es imprescindible — pero es reactiva por diseño: solo puede actuar cuando una vulnerabilidad se ha publicado, se ha evaluado y existe un patch disponible. Precisamente en esa cadena está hoy el riesgo.
El Zero-Day-Monitoring no sustituye su gestión de vulnerabilidades. Cierra la brecha entre «todavía no publicado» y «ya explotado» — y aporta las pruebas con las que usted puede priorizar.
VamiSec opera el Zero-Day-Monitoring con dos plataformas propias asistidas por IA — una comprueba desde el exterior con la perspectiva del atacante, la otra con acceso completo al código y a la cadena de build. Juntas cubren lo que un atacante ve y lo que todavía no ve.
Plataforma de Pentesting nativa de IA y agéntica. Seis agents especializados cartografían, modelan y explotan de forma autónoma — dentro de un Authorization Cage firmado.
Plataforma de application security asistida por LLM. Seis scanner en un único pipeline, cada Finding enriquecido, deduplicado y con una corrección aplicable — allí donde surgen las vulnerabilidades.
Una herramienta por sí sola no hace a nadie más seguro. Como MSSP asumimos la operación, la evaluación y la traducción a medidas concretas — integradas en sus procesos y en sus obligaciones de evidencia.
Operamos ambas plataformas para usted: definición del scope, autorización, tuning y ejecución continua — sin que tenga que crear su propio equipo ofensivo.
Cada hallazgo relevante es revisado por nuestros analistas y acreditado con una prueba reproducible. Usted recibe rutas de ataque confirmadas con una recomendación de actuación, no listados de resultados.
Como complemento a las plataformas aportamos procedimientos de prueba clásicos — análisis dinámico, Fuzzing, Threat Modeling y Pentests manuales realizados por testers certificados.
Conexión con su SIEM/SOAR, su ticketing y sus pipelines de CI/CD. Los Findings llegan allí donde su equipo ya trabaja — incluida la conexión con VamiGRC para obtener evidencias auditables.
Cuando una vulnerabilidad se explota de forma activa, el reloj empieza a contar. Aportamos la base técnica para sus notificaciones conforme a CRA, NIS2/BSIG y RGPD — con sellos de tiempo y documentación sólida.
Informe técnico con pasos de reproducción para su equipo y un resumen ejecutivo condensado con la evolución del riesgo y de las tendencias para la dirección.
Ninguna norma prescribe literalmente el «Zero-Day-Monitoring». Pero varios marcos normativos exigen pruebas de seguridad eficaces, una detección que funcione y la notificación de vulnerabilidades explotadas de forma activa en plazos muy cortos. Precisamente a eso contribuye este servicio.
El Cyber Resilience Act obliga a los fabricantes a notificar las vulnerabilidades de sus productos que se estén explotando de forma activa: alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas e informe final como muy tarde 14 días después de que exista una medida correctora. El requisito previo es que la explotación llegue a advertirse. El anexo I parte II exige además pruebas de seguridad eficaces y periódicas.
El § 30 Abs. 2 BSIG exige, entre otras cosas, análisis de riesgos, gestión de incidentes de seguridad y la evaluación de la eficacia de las medidas; para las instalaciones críticas, el § 31 Abs. 2 requiere además sistemas de detección de ataques. Plazos de notificación según el § 32: 24 horas, 72 horas e informe final un mes después de la notificación de las 72 horas.
Para las entidades financieras, el Art. 10 exige mecanismos que permitan detectar sin demora actividades anómalas. El Art. 25 menciona expresamente en el programa de pruebas las evaluaciones y los escaneos de vulnerabilidades, las revisiones de código fuente y los Pentests; para las entidades identificadas se añaden las pruebas orientadas a amenazas conforme al Art. 26.
El Zero-Day-Monitoring continuo se puede asignar directamente a A.5.7 (Threat Intelligence), A.8.8 (gestión de vulnerabilidades técnicas) y A.8.16 (actividades de supervisión) — con informes que sirven como evidencia en la auditoría.
Nota: el Zero-Day-Monitoring es una medida de apoyo. Qué medidas resultan adecuadas y proporcionadas en su caso se deriva de su análisis de riesgos — y precisamente en eso le apoyamos. Esta página no constituye asesoramiento jurídico.
En una primera reunión sin compromiso definimos el scope, aclaramos la autorización y le mostramos cómo se concreta en su caso un Zero-Day-Monitoring continuo.
