Project Canopy lanza su Vulnerability Intelligence Hub open source

Análisis ya en marcha

El lanzamiento llega en un momento en que los atacantes usan IA cada vez más avanzada para descubrir y explotar debilidades con mayor rapidez. Canopy responde aplicando técnicas de seguridad ofensiva basadas en IA al software de código abierto y a las infraestructuras que sostienen las redes administrativas y los servicios a la ciudadanía.

Sus investigadores han analizado proyectos como eGovFRAME, base de los servicios públicos de Corea del Sur, además de Spring Framework/Boot, Docker, LiteLLM, Grafana, Istio, libdb y python.org. Identificaron numerosos candidatos a vulnerabilidad, completaron pruebas de concepto y comunicaron los hallazgos, incluidos casos de alto riesgo, a los responsables de cada proyecto. Algunas correcciones clave ya están hechas. El resto se hará público a medida que se publiquen los parches oficiales, conforme a las pautas de divulgación coordinada de vulnerabilidades (CVD).

Un modelo basado en la demanda

Canopy también introduce una estructura participativa en la que los socios proponen qué analizar. Cuando una organización solicita revisar un software de código abierto que utiliza, el equipo evalúa el número de usuarios, los puntos ciegos (capacidad de parcheo, historial de incidentes) y la necesidad social, fija prioridades y comienza un análisis a fondo.

La red se ampliará más allá de gobiernos locales y entidades públicas hacia sectores como la sanidad y la educación, que suelen carecer de presupuesto y personal de seguridad. Cualquier organización o empresa puede unirse.

El presidente Park Se-jun afirmó que, si los atacantes explotan fallos a la velocidad de la IA, los defensores también deben emplearla de forma preventiva para proteger infraestructuras y ecosistemas de código abierto expuestos por la falta de fondos y personal.