Sophos incorporará los modelos GPT de OpenAI para verificar qué vulnerabilidades son realmente explotables

Sophos ha anunciado Exploit Path Verification (EPV), una nueva capacidad en desarrollo para su servicio Sophos Managed Risk que busca resolver uno de los problemas más persistentes de la gestión de vulnerabilidades: saber cuáles de los fallos detectados en un entorno son realmente aprovechables por un atacante, en lugar de limitarse a puntuaciones de severidad genéricas. Para ello, la compañía integrará los modelos GPT especializados en ciberseguridad de OpenAI a través de la OpenAI Daybreak Defense Network, una red a la que Sophos se sumó en junio de 2026.

El funcionamiento previsto combina el razonamiento del modelo de OpenAI con datos operativos aportados por Sophos: estado de los activos y de los parches, políticas de protección en los endpoints, alcanzabilidad de la vulnerabilidad dentro de la red, información de identidad y privilegios, y la disponibilidad de exploits conocidos para ese fallo concreto. Con todo ello, EPV clasificará cada hallazgo en una de cuatro categorías: Confirmada como explotable, Bloqueada por un control existente, No alcanzable, o Evidencia insuficiente. Sophos ha subrayado que cada veredicto vendrá acompañado de la evidencia que lo sustenta y será revisado por sus propios analistas de seguridad, un matiz relevante que indica que el sistema no operará de forma totalmente autónoma, sino con supervisión humana en el circuito.

Más allá de evaluar vulnerabilidades de forma aislada, la capacidad también está pensada para detectar cadenas de ataque: situaciones en las que varias vulnerabilidades individualmente de baja severidad pueden combinarse para abrir una vía de compromiso significativa, algo que los enfoques tradicionales de escaneo, centrados en puntuaciones por fallo, suelen pasar por alto. EPV incluirá además recomendaciones de remediación, orientando a los equipos de seguridad sobre qué corregir primero.

John Peterson, director de tecnología de Sophos, enmarcó el objetivo del proyecto en términos de reducción de ruido y priorización basada en evidencia: la idea es dejar claro qué parte del entorno es realmente alcanzable por un atacante, con pruebas que lo respalden, para que los equipos arreglen antes lo que de verdad importa. Por parte de OpenAI, McCall McIntyre, responsable de asociaciones cibernéticas globales, describió la colaboración como un ejemplo de aplicar razonamiento de frontera a un problema defensivo real, con las salvaguardas que exige un despliegue responsable, y situó el propósito de la Daybreak Defense Network en dar a los defensores la ventaja de la IA de frontera de forma segura.

Esta iniciativa se inserta en una tendencia más amplia del sector de la ciberseguridad hacia la llamada priorización basada en explotabilidad, que busca sustituir o complementar las puntuaciones estáticas de severidad por evaluaciones contextuales del riesgo real en cada entorno concreto. La fatiga de alertas y la imposibilidad práctica de parchear todas las vulnerabilidades detectadas han empujado a proveedores de gestión de riesgo a incorporar más contexto —configuración de controles, exposición de red, disponibilidad de exploits— antes de decidir qué remediar primero. La novedad aquí es el uso explícito de modelos de razonamiento de OpenAI como motor analítico dentro de ese proceso, en lugar de heurísticas o modelos de machine learning más tradicionales, y el hecho de que la propia OpenAI se presente como socio en una red pensada específicamente para casos de uso defensivos en ciberseguridad.

Por el momento, Sophos ha indicado que EPV se encuentra en desarrollo y dirigido a clientes empresariales y de mercado medio de Sophos Managed Risk, sin que se hayan concretado todavía fechas ni condiciones de disponibilidad general o de acceso anticipado, detalles que la compañía ha dicho que anunciará más adelante. Esto sitúa el anuncio en una fase temprana: se trata de una capacidad en construcción y no de un producto ya desplegado, por lo que su eficacia real en la práctica —tasa de falsos positivos o negativos en la clasificación de explotabilidad, calidad de las cadenas de ataque detectadas, o el grado real de supervisión analista que se mantendrá una vez escale— quedará por comprobar cuando lleguen los primeros accesos y despliegues efectivos.