¿Qué le sucedió al modelo de "recolector tonto" de la industria de la seguridad?

Respuesta breve: Durante años, los proveedores aconsejaron que el procesamiento local en el endpoint estaba obsoleto e impulsaron agentes ligeros que reenvían telemetría sin procesar a la analítica en la nube. Los ataques modernos en memoria contra bibliotecas centrales del sistema operativo han dejado al descubierto ese modelo: los agentes siguen ejecutándose, pero quedan efectivamente ciegos y mudos.

Por qué se adoptó el modelo

Era más barato de construir. La ingeniería a nivel de kernel es difícil y costosa; enviar la telemetría a la nube permitía a los proveedores distribuir software de endpoint económico, monetizar grandes reservas de almacenamiento en la nube y comercializar capacidades de IA en la nube. El modelo se optimizó para la economía del desarrollo, no para la defensa.

Por qué está fallando ahora

Estos agentes dependen por completo de componentes nativos del sistema operativo para funcionar y recopilar datos. Cuando los atacantes comprometen esos componentes en memoria, el agente no se bloquea; sigue ejecutándose y no reporta nada, dejando un panel de control que indica que todo está bien mientras se exfiltran los datos.

También existe una interdicción deliberada documentada: atacantes, y en algunos casos verificados competidores que buscan ocultar sus propias deficiencias, explotan activamente estas dependencias de bibliotecas para forzar la terminación o sabotear las defensas del endpoint.

El callejón sin salida arquitectónico

Corregir esto exigiría que los proveedores heredados abandonen las canalizaciones de telemetría orientadas a la nube y reconstruyan para la computación local a nivel de kernel en el borde ("edge computing"), un esfuerzo de varios años. Las adquisiciones recientes y la inversión de capital de riesgo muestran que la industria avanza aún más hacia la analítica en la nube y los lagos de datos centralizados, en lugar de hacerlo en la dirección contraria.