Riesgo encadenado: el modelo operativo y la economía de las pruebas adversariales

El trimestre pasado, tres evaluaciones no detectaron hallazgos. Ninguna preguntó si se podía inducir al modelo a llamar a la función que alcanza el destino de baja severidad; el análisis estático ya había dejado de ser prioritario.

Ese es el riesgo encadenado: hallazgos de gravedad poco destacable, distribuidos entre las capas de una aplicación, que se combinan hasta generar un impacto crítico que ninguno de ellos provoca por sí solo. La gravedad se asigna a cada hallazgo. El peligro es una propiedad de la secuencia.

Este documento técnico expone qué responde cada disciplina adversarial, dónde pierde visibilidad cada una y cuánto cuesta ejecutar las tres.