En junio de 2026 el célebre «martes de parches» de Microsoft marcó un récord con 206 vulnerabilidades, de las cuales tres eran «zero day». En julio ese récord se quedó en ridículo, porque se triplicó esa cifra. No es el único caso: Oracle, Chrome o Firefox están entre las empresas y proyectos que han visto cómo se han multiplicado las vulnerabilidades corregidas en sus últimas versiones. La culpa es de una IA que está ayudando a detectar todos estos problemas y hacer el software más seguro que nunca, pero eso está provocando un efecto colateral preocupante.
Qué dilema. Durante décadas, encontrar una vulnerabilidad seria en un proyecto software requería tiempo, expertos y bastante suerte. La IA está cambiando ese equilibrio, porque con ella es posible recorrer enormes bases de código, analizarlas y señalar fallos a una velocidad y escala antes imposible. El resultado teórico debería ser estupendo, porque gracias a todo ello deberíamos tener software más seguro que nunca. El problema es que se están descubriendo vulnerabilidades mucho más rápido de la que los humanos pueden comprobarlas, corregirlas, priorizarlas e instalar sus parches.
Del fuzzing a la IA. Los análisis automáticos de código no son en absoluto nuevo. Las grandes tecnológicas llevan años usando fuzzing, una técnica que «bombardea» a las aplicaciones con entradas de datos inesperadas para intentar provocar errores. La limitación es que algunas zonas del código se dejan «explotar» mejor que otras. Con los modelos de IA la cosa cambia, porque pueden leer el código fuente, crear nexos entre pistas que parecían no tener relación y razonar sobre cómo explotar esos puntos débiles de forma combinada. Mozilla sostiene que hasta hace poco eso solo lo podían hacer una pequeña élite de expertos en ciberseguridad.
Chrome se anima. Google corrigió nada menos que 1.072 vulnerabilidades en Chrome 149 y 150, las dos versiones publicadas en junio de 2026. Son más que las 1.036 vulnerabilidades solucionadas en las 23 versiones anteriores, que se publicaron aproximadamente en los últimos dos años. La empresa indica que ese salto se ha debido en gran medida a la IA aplicada a esa tarea, y su director de ingeniería describe el cambio de una forma clara: encontrar fallos se ha convertido en un proceso automatizado a escala industrial.
Dos parches por semana. Chrome ya estaba caminando hacia un futuro en el que las versiones principales se publicarían cada quince días y las actualizaciones de seguridad cada semana. Este aluvión de parches ha hecho que el equipo de desarrollo pruebe ahora una frecuencia aún más agresiva: habrá correcciones y parches del navegador dos veces por semana. Hay una contradicción curiosa (y probablemente molesta) aquí: Chrome es más seguro que nunca, pero eso obliga a que lo actualicemos cada tres por cuatro. Eso sí, en Google creen que este ritmo podría bajar una vez se elimine la reserva de errores acumulados.
Firefox ya lo anticipó. Mozilla aplicó una versión preliminar de Claude Mythos a Firefox y corrigió en Firefox 150 un total de 271 vulnerabilidades detectadas en aquella evaluación incial. Antes lo habían intentado con Claude Opus 4.6 y se habían encontrado otros 22 problemas relevantes. En Mozilla aseguran que no han visto ningún fallo localizable por humanos que no pueda ser detectado por el nuevo modelo de Anthropic.
Microsoft y su martes de parches. El Patch Tuesday de julio de 2026 corrigió 622 CVE (206 en junio). En ese lote se incluyeron 59 vulnerabilidades críticas y tres vulnerabilidades «zero day» que fueron dvulgados públicamente: dos estaban siendo explotados de forma activa. Microsoft ya había avisado de que la detección de problemas de seguridad asistida por IA aumentaría el número de actualizaciones, pero lo que ha ocurrido demuestra que ni siquiera ellos preveían que su software tuviera tantos problemas.
Lo de Oracle es de órdago. Hay otro ejemplo aún más llamativo: en la actualización trimestral de julio Oracle reunió 1.449 parches en todo su catálogo de productos software. Solo 64 de ellas fueron detectadas por investigadores externos, lo que parece dejar claro que la IA desarrolló aquí un papel absolutamente protagonista. Como en el resto de casos, el problema es que han tenido que parchearlos todos… y sus clientes actualizar todos esos componentes antes de que los ciberdelincuentes aprovechen la circunstancia.
¿Mucho ruido, pocas nueces? Aquí es importante señalar que no todas las vulnerabilidades son graves ni requieren la misma urgencia a la hora de actuar. En el caso de los 1.449 parches de Oracle, solo diez tenían la calificación de máxima gravedad CVSS 10.0. En el caso de Microsoft había 59 fallos críticos. Los números totales impresionan, pero aquí son los administradores de sistemas los que deberán separar el grano de la paja y priorizar para evitar que esas actualizaciones provoquen nuevos conflictos. Eso, de hecho, puede hacer que se cumpla el célebre «es peor el remedio que la enfermedad».
Imagen | Mohammad Rahmani
–
La noticia
La IA ha resuelto uno de los grandes problemas de la ciberseguridad: encontrar fallos. Ahora tenemos otro mucho mayor
fue publicada originalmente en
Xataka
por
Javier Pastor
.
