Palo Alto Networks ha presentado PAN-OS 12.2 Ceres , una actualización de su plataforma de seguridad de red con más de 55 novedades que parte de un desfase operativo cada vez más difícil de gestionar: la inteligencia artificial puede descubrir y convertir una vulnerabilidad en un ataque mucho más rápido de lo que una empresa puede probar y desplegar un parche. La compañía intenta cubrir esa diferencia con protección en la red, automatización mediante agentes y preparación para cambios en criptografía, tráfico de IA e infraestructuras críticas.
PAN-OS 12.2 Ceres lleva el parcheado virtual a la era de la IA
La pieza principal del lanzamiento es Advanced Virtual Patching. Palo Alto Networks sostiene que una organización tarda de media 55 días en probar y desplegar un parche convencional, un plazo difícil de conciliar con vulnerabilidades que pueden empezar a explotarse horas después de conocerse. Anand Oswal, vicepresidente ejecutivo de Network Security, describió durante la presentación ese desfase como «patch panic»: equipos obligados a encadenar pruebas, ventanas de mantenimiento y actualizaciones mientras el tiempo disponible para reaccionar se reduce.
La propuesta aplica protecciones sobre el tráfico antes de que el exploit alcance el sistema vulnerable. No modifica el activo ni requiere reiniciarlo, algo especialmente relevante en fábricas, energía, minería y otros entornos OT donde un sistema legado puede permanecer años en producción. La empresa afirma que puede distribuir estas defensas en cuestión de horas y acercar la ventana de exposición a cero, aunque esa cifra describe el efecto de la protección de red y no sustituye la corrección posterior del software vulnerable.
Para distribuir protecciones antes incluso de que una vulnerabilidad sea pública, Palo Alto Networks ha desarrollado «vaulted protection». El objetivo es impedir que una actualización defensiva revele suficiente información como para reconstruir el fallo que pretende bloquear. Hasta ahora, explicó Oswal, las nuevas protecciones se distribuían una vez divulgado el CVE. El nuevo modelo intenta adelantar ese momento sin convertir la actualización en una pista para el atacante.
NOVA acelera el descubrimiento de vulnerabilidades
La dimensión del problema aparece en la investigación de Unit 42 que acompaña al lanzamiento. Su sistema NOVA, un entorno autónomo apoyado en varios modelos de IA, analizó 3.915 proyectos de código abierto en dos meses y produjo 14.090 vulnerabilidades confirmadas. Solo 85 coincidieron con registros públicos, de modo que 14.005 eran hallazgos nuevos según la comparación realizada por el equipo. Con CVSS 4.0, 5.600, el 39,7%, recibieron una clasificación alta o crítica.
NOVA estudia la arquitectura del proyecto, localiza posibles rutas vulnerables, genera una prueba de concepto, reproduce el comportamiento en un entorno limpio y produce candidatos de parche y documentación para divulgación. El diagrama de la página 9 del informe muestra agentes diferenciados para alcance, descubrimiento, prueba y verificación, además de controles de aislamiento. Unit 42 señala que los modelos encuentran conjuntos distintos de fallos, motivo por el que utiliza un enfoque multimodelo.
El alcance resulta especialmente relevante para empresas que dependen de software abierto. El sistema encontró fallos de autorización, path traversal, inyección de código o SSRF, además de 5.421 hallazgos relacionados con cadena de suministro, incluidos 4.141 casos de exposición en aplicaciones que dependían de componentes vulnerables. Una debilidad en un paquete pequeño puede propagarse así a numerosos productos aguas abajo.
La misma capacidad tiene implicaciones ofensivas. Las mejoras en modelos y herramientas reducen la barrera para automatizar investigación de vulnerabilidades, aunque el informe mantiene un papel central para especialistas humanos en prioridades, cadenas de explotación complejas y casos que requieren interpretación. La velocidad, en cualquier caso, cambia la gestión del parche.
PAN-OS 12.2 Ceres automatiza también la operación de red
La segunda capa de automatización está dentro del trabajo del administrador. PAN-OS 12.2 Ceres incorpora seis Network Security Agents disponibles a través de Strata Cloud Manager para tareas como incorporación de firewalls, cambios de configuración, evaluación de amenazas, endurecimiento de políticas y diagnóstico. Los agentes mantienen contexto del entorno y registran sus acciones, mientras el cliente puede elegir cuánto control humano conserva en cada flujo.
Oswal utilizó una analogía con la evolución de la conducción asistida. Un administrador puede exigir aprobación para cada cambio y, tras comprobar repetidamente el comportamiento del agente, permitir que determinadas tareas se ejecuten automáticamente y se notifiquen después. La progresión importa porque una configuración errónea sigue pudiendo provocar interrupciones. Trazabilidad, memoria operativa y límites de autorización adquieren así tanto peso como la capacidad de ejecutar acciones.
A esa automatización se suma Advanced IP Defense, orientado a técnicas que eluden filtros basados en dominios y URL. La compañía observa un mayor uso de conexiones directas a direcciones IP, CDN y redes de proxies residenciales para ocultar infraestructura de mando y control. El servicio utiliza telemetría de más de 70.000 clientes, valida la relación entre conexiones IP y resoluciones DNS legítimas y aplica más de 40 atributos de seguridad para decidir qué tráfico bloquear.
Criptografía, hardware y OT amplían el alcance de Ceres
La actualización incorpora además medidas para el «cryptographic reset» que Palo Alto Networks vincula al acortamiento de la vida útil de los certificados digitales y a la preparación para criptografía poscuántica. La plataforma amplía el inventario criptográfico mediante integraciones con herramientas de endpoint, SIEM y gestión de vulnerabilidades y puede automatizar parte del ciclo de vida de certificados.
Para activos que no puedan actualizarse a tiempo, la compañía plantea un Cipher Translation Proxy capaz de colocar sistemas antiguos detrás de controles de red y traducir su tráfico hacia cifrados poscuánticos en las comunicaciones externas. Es una medida compensatoria para ganar tiempo, especialmente en IoT y OT, donde sustituir hardware o modificar firmware puede requerir años.
El mismo razonamiento aparece en los nuevos firewalls de quinta generación, con interfaces de 400 Gb y latencias anunciadas de cinco microsegundos para centros de datos que procesan cargas de IA y tráfico cifrado más exigente. La familia se extiende a equipos robustecidos para instalaciones industriales y emplazamientos remotos.
El paquete incorpora también Prisma AIRS como servicio cloud para proteger modelos, aplicaciones y flujos de agentes de IA, además de una integración entre Prisma Browser y los firewalls de nueva generación destinada a unificar controles entre navegador y red. Son extensiones laterales de Ceres frente al núcleo del lanzamiento, concentrado en acortar los tiempos de protección y automatizar parte de la operación.
La estrategia desplaza una parte creciente de la respuesta desde el endpoint hacia la red, que pasa a funcionar como capa de compensación cuando el activo todavía no puede corregirse. Ese enfoque puede reducir exposición y comprar tiempo, pero no elimina la gestión de vulnerabilidades, la reparación del software ni la seguridad de la cadena de suministro, prácticas que el propio estudio de Unit 42 mantiene entre sus recomendaciones. Para los responsables de seguridad, la decisión operativa estará en cuánto confiar en protecciones intermedias y agentes autónomos mientras los ciclos de parcheo, certificación y renovación de infraestructura siguen avanzando a una velocidad mucho menor.
