La inteligencia artificial está transformando la ciberseguridad al detectar un número récord de vulnerabilidades en software como Microsoft, Oracle y Chrome. Si bien esto promete un software más seguro, el ritmo acelerado de descubrimiento supera la capacidad humana de implementar parches, generando un dilema sobre la frecuencia y gestión de las actualizaciones.
En junio de 2026, el "martes de parches" de Microsoft reportó un récord de 206 vulnerabilidades, incluyendo tres "zero day". En julio, esta cifra se triplicó, superando con creces el récord anterior. Este patrón no es exclusivo de Microsoft; empresas como Oracle y proyectos como Chrome o Firefox también han experimentado un aumento significativo en las vulnerabilidades corregidas en sus últimas versiones. La causa de este fenómeno es la inteligencia artificial, que, al ayudar a identificar estos problemas, está haciendo el software más seguro que nunca, aunque esto conlleva un efecto colateral preocupante.
Durante décadas, encontrar una vulnerabilidad grave en un proyecto de software requería tiempo, expertos y una dosis considerable de suerte. La IA está alterando este panorama, ya que permite analizar vastas bases de código y señalar fallos a una velocidad y escala previamente inalcanzables. Teóricamente, esto debería resultar en un software más seguro. Sin embargo, el problema radica en que las vulnerabilidades se están descubriendo mucho más rápido de lo que los humanos pueden verificarlas, corregirlas, priorizarlas e instalar sus respectivos parches.
Los análisis automáticos de código no son una novedad. Las grandes tecnológicas han utilizado durante años el fuzzing, una técnica que "bombardea" las aplicaciones con entradas de datos inesperadas para provocar errores. La limitación de esta técnica es que algunas áreas del código son más susceptibles a la explotación que otras. Con los modelos de IA, el escenario cambia, ya que pueden leer el código fuente, establecer conexiones entre indicios aparentemente inconexos y razonar sobre cómo explotar esas debilidades de forma combinada. Mozilla afirma que, hasta hace poco, esta capacidad estaba limitada a una pequeña élite de expertos en ciberseguridad.
Google corrigió un total de 1.072 vulnerabilidades en Chrome 149 y 150, versiones lanzadas en junio de 2026. Esta cifra supera las 1.036 vulnerabilidades solucionadas en las 23 versiones anteriores, publicadas en los últimos dos años. La empresa atribuye este salto a la aplicación de la IA en esta tarea. El director de ingeniería de Google describe este cambio como la transformación de la detección de fallos en un proceso automatizado a escala industrial.
Chrome ya se encaminaba hacia un futuro con versiones principales cada quince días y actualizaciones de seguridad semanales. Este aluvión de parches ha llevado al equipo de desarrollo a experimentar con una frecuencia aún más agresiva: habrá correcciones y parches del navegador dos veces por semana. Esto genera una contradicción curiosa y potencialmente molesta: Chrome es más seguro que nunca, pero esto exige actualizaciones mucho más frecuentes. No obstante, Google cree que este ritmo podría disminuir una vez que se agote la reserva de errores acumulados.
Mozilla aplicó una versión preliminar de Claude Mythos a Firefox y corrigió 271 vulnerabilidades detectadas en esa evaluación inicial en Firefox 150. Previamente, habían probado con Claude Opus 4.6 y descubierto otros 22 problemas relevantes. En Mozilla, aseguran que no han encontrado ningún fallo detectable por humanos que no pueda ser identificado por el nuevo modelo de Anthropic.
El Patch Tuesday de julio de 2026 de Microsoft corrigió 622 CVE (frente a 206 en junio). Este lote incluyó 59 vulnerabilidades críticas y tres vulnerabilidades "zero day" que se hicieron públicas, dos de las cuales estaban siendo explotadas activamente. Microsoft ya había advertido que la detección de problemas de seguridad asistida por IA aumentaría el número de actualizaciones, pero lo sucedido demuestra que ni siquiera ellos anticiparon la magnitud de los problemas en su software.
El caso de Oracle es aún más sorprendente: en la actualización trimestral de julio, Oracle reunió 1.449 parches en todo su catálogo de productos de software. Solo 64 de estas vulnerabilidades fueron detectadas por investigadores externos, lo que sugiere un papel preponderante de la IA. Como en los demás casos, el desafío es que todos estos parches deben ser aplicados por Oracle, y sus clientes deben actualizar todos esos componentes antes de que los ciberdelincuentes puedan explotar las circunstancias.
Es importante destacar que no todas las vulnerabilidades son graves ni requieren la misma urgencia. En el caso de los 1.449 parches de Oracle, solo diez tenían la calificación de máxima gravedad CVSS 10.0. Microsoft, por su parte, reportó 59 fallos críticos. Aunque los números totales son impresionantes, son los administradores de sistemas quienes deben discernir la importancia de cada parche y priorizar para evitar que las actualizaciones generen nuevos conflictos. De hecho, esta situación podría llevar a que el remedio sea peor que la enfermedad.
