¿Por qué la IA ha disparado el número de vulnerabilidades?
En junio de 2026, el célebre "martes de parches" de Microsoft marcó un récord con 206 vulnerabilidades, de las cuales tres eran "zero day". En julio, esa cifra se triplicó, demostrando que no es un caso aislado. Oracle, Chrome y Firefox son solo algunos de los proyectos que han visto cómo se han multiplicado las vulnerabilidades corregidas en sus versiones más recientes. La IA está haciendo el software más seguro, pero ha provocado un efecto colateral preocupante: la velocidad de detección supera nuestra capacidad de gestión.
Durante décadas, encontrar una vulnerabilidad seria requería tiempo, expertos y mucha suerte. La IA ha cambiado este equilibrio, permitiendo recorrer enormes bases de código, analizarlas y señalar fallos a una velocidad y escala antes imposible. El dilema técnico es claro: aunque el software debería ser más seguro, los humanos no logran comprobar, corregir y priorizar parches al mismo ritmo que la IA los encuentra.
¿Cómo pasó el fuzzing a ser una herramienta de IA?
Los análisis automáticos no son nuevos. Las grandes tecnológicas llevan años usando fuzzing, una técnica que "bombardea" aplicaciones con entradas de datos inesperadas para provocar errores. Sin embargo, el fuzzing tradicional tiene limitaciones en ciertas zonas del código. Los modelos actuales pueden leer el código fuente, crear nexos entre pistas aisladas y razonar sobre cómo explotar puntos débiles de forma combinada. Mozilla sostiene que esta capacidad, antes reservada a una élite de expertos, ahora está democratizada.
Para entender este fenómeno, debemos observar cómo se visualiza el código en un entorno de desarrollo moderno, donde la IA actúa como un auditor constante.
Esta representación visual del código fuente es donde los modelos de lenguaje analizan patrones complejos para identificar vulnerabilidades que un humano pasaría por alto en una revisión manual. La integración de estos sistemas en los pipelines de CI/CD es lo que permite este volumen masivo de detecciones.
¿Cuál es el impacto real en el software de consumo?
Google corrigió nada menos que 1.072 vulnerabilidades en Chrome 149 y 150, publicadas en junio de 2026. Esta cifra supera las 1.036 vulnerabilidades solucionadas en las 23 versiones anteriores, publicadas aproximadamente en los últimos dos años. La empresa admite que la IA ha convertido la búsqueda de fallos en un proceso industrial.
Debido a este aluvión, Chrome está probando una frecuencia de actualizaciones agresiva: habrá parches dos veces por semana. En Google esperan que este ritmo disminuya una vez se limpie la "deuda técnica" de errores acumulados, pero por ahora, el usuario debe actualizar constantemente su navegador.
Por otro lado, Mozilla aplicó una versión preliminar de Claude Mythos a Firefox, corrigiendo 271 vulnerabilidades en la versión 150. Antes, con Claude Opus 4.6, detectaron otros 22 problemas. En Mozilla aseguran que el modelo de Anthropic detecta prácticamente todo lo que un humano podría encontrar.
¿Qué está pasando con los sistemas corporativos?
El caso de Oracle es extremo: en su actualización trimestral de julio, reunió 1.449 parches. Solo 64 fueron detectadas por investigadores externos, confirmando el papel protagonista de la IA. El problema es que los administradores de sistemas deben aplicar estas actualizaciones antes de que los atacantes aprovechen la información pública de los parches.
No obstante, no todo es crítico. De los 1.449 parches de Oracle, solo diez tenían una calificación CVSS de 10.0. En Microsoft, de los 622 CVE del Patch Tuesday de julio, solo 59 eran críticos. Los administradores deben separar el grano de la paja para evitar que el remedio sea peor que la enfermedad.
Vía Xataka.
