Microsoft ha lanzado un agente de IA autónomo que, según afirma, puede detectar malware sin asistencia humana.

El prototipo, llamado Proyecto Ire, realiza ingeniería inversa de software «sin ninguna pista sobre su origen o propósito» y luego determina si el código es malicioso o benigno, utilizando modelos de lenguaje extensos (LLM) y un conjunto de herramientas de ingeniería inversa y análisis binario.

«Fue el primer ingeniero inverso en Microsoft, humano o máquina, en generar un caso de condena (una detección lo suficientemente sólida como para justificar el bloqueo automático) para una muestra específica de malware de amenaza persistente avanzada (APT), que desde entonces ha sido identificada y bloqueada por Microsoft Defender», afirmó Redmond en una publicación de blog el martes.

Si funciona como se promete y a gran escala, el Proyecto Ire ayudará a los analistas de seguridad a liberarse del tedioso trabajo de analizar manualmente cada muestra y clasificarla como buena o mala. Esto puede llevar horas, lo que provoca fatiga y agotamiento por alertas, y también significa que hay menos ojos y cerebros humanos enfocados en las amenazas realmente sofisticadas y de rápida evolución que requieren detección y bloqueo inmediatos.

Pero esto sigue siendo una gran incertidumbre en este momento.

En una prueba real con aproximadamente 4.000 archivos «objetivo difícil», es decir, que no fueron clasificados por sistemas automatizados y que, de lo contrario, serían revisados manualmente por ingenieros inversos humanos, casi 9 de cada 10 archivos (89%) que Project Ire marcó como maliciosos eran en realidad maliciosos.

Sin embargo, el agente de IA solo detectó aproximadamente una cuarta parte (26%) de todo el malware en esta prueba.

«Si bien el rendimiento general fue moderado, esta combinación de precisión y una baja tasa de error sugiere un potencial real para futuras implementaciones», escribieron los ingenieros de seguridad de Microsoft.

El prototipo se integrará en el conjunto de herramientas de seguridad Defender de Microsoft, que abarca antivirus, endpoints, correo electrónico y seguridad en la nube, como un analizador binario para la detección de amenazas y la clasificación de software.

«Nuestro objetivo es escalar la velocidad y la precisión del sistema para que pueda clasificar correctamente los archivos de cualquier origen, incluso a primera vista», según Microsoft. «En última instancia, nuestra visión es detectar malware nuevo directamente en la memoria, a gran escala».

Una novedad, pero no nueva.

El análisis de malware basado en IA no es nuevo; proveedores de antivirus como Cylance llevan casi una década utilizando el aprendizaje automático para analizar archivos.

Sin embargo, «lo que aprendimos entonces, y que podemos aplicar ahora, es que los mejores resultados en la detección de malware implican una combinación de enfoques deterministas (como patrones y firmas), aprendizaje automático y técnicas probabilísticas (IA/GenAI)», declaró Neil MacDonald, vicepresidente de Gartner, por correo electrónico en respuesta a preguntas sobre el Proyecto Ire.

«Por eso, en este caso, Microsoft destacó su uso en el SOC como un proceso de detección y respuesta a incidentes, en lugar de en línea como control preventivo», añadió.

MacDonald señaló que el «porcentaje relativamente alto de falsos positivos y falsos negativos documentados en el informe muestra las limitaciones de este enfoque».

Sin embargo, esto no significa que las empresas de seguridad no deban invertir en IA, añadió.

«Es evidente que, en un mundo donde los hackers utilizarán la IA para crear rápidamente nuevos y novedosos ataques, este tipo de enfoque basado en IA/GenAI será fundamental para mantenerse al día con el volumen y la variación de las nuevas amenazas», afirmó MacDonald. «La IA, en manos de los defensores, será necesaria para contrarrestar la amenaza de la IA en manos de los atacantes».

Todos a bordo de la IA.

De hecho, el anuncio de Microsoft llega en un momento en que todas las grandes empresas de seguridad redoblan sus esfuerzos en la IA, especialmente en los agentes de IA, integrándolos en sus herramientas empresariales y ayudando a las empresas a proteger sus datos y a sus empleados contra las innumerables amenazas que presentan los sistemas y agentes de IA.

Si bien Redmond es posiblemente el que más ha avanzado en este proceso de integrar IA y agentes específicos para cada tarea en todos sus productos de seguridad, Google también está desarrollando su propio ejército de agentes de IA, incluyendo uno que analiza malware y determina el alcance de la amenaza que representa.

The Chocolate Factory anunció este agente de análisis de malware en su evento anual Cloud Next y, en ese momento, afirmó que estaría disponible en versión preliminar para clientes selectos de Google este año.

A finales del mes pasado, Palo Alto Networks firmó un acuerdo de 25.000 millones de dólares para adquirir la empresa israelí CyberArk e incorporar la tecnología de seguridad de identidad de la pequeña empresa, que no solo verifica la identidad humana, sino también la de máquinas e IA, a su plataforma de seguridad más amplia.

Según CyberArk, las identidades de las máquinas superan a las de los humanos en una proporción de 40 a 1, y se espera que esta cifra se dispare a medida que más empresas utilicen agentes de IA.