La inteligencia artificial está transformando radicalmente la ciberseguridad al acelerar la detección de vulnerabilidades en el software. Sin embargo, esta eficiencia ha provocado un aumento masivo de fallos que los equipos humanos luchan por gestionar. Empresas como Microsoft, Oracle y Google están viendo un incremento exponencial en las vulnerabilidades corregidas, planteando un dilema sobre la capacidad de actualizar y proteger sus sistemas a tiempo.
En junio de 2026, el reconocido “martes de parches” de Microsoft registró un récord de 206 vulnerabilidades, incluyendo tres de tipo “zero day”. En julio, esta cifra se triplicó, superando con creces el récord anterior. Este fenómeno no es exclusivo de Microsoft; empresas y proyectos como Oracle, Chrome o Firefox también han experimentado un crecimiento significativo en las vulnerabilidades corregidas en sus últimas versiones. Esta situación se debe a la inteligencia artificial (IA), que está facilitando la detección de estos problemas y, en teoría, haciendo el software más seguro que nunca. No obstante, esto está generando un efecto colateral preocupante.
Durante décadas, localizar una vulnerabilidad grave en un proyecto de software requería tiempo, expertos y una dosis considerable de suerte. La IA está modificando este equilibrio, ya que permite analizar enormes bases de código y señalar fallos a una velocidad y escala previamente inalcanzables. El resultado esperado sería un software más seguro que nunca. Sin embargo, el problema radica en que se están descubriendo vulnerabilidades mucho más rápido de lo que los humanos pueden verificarlas, corregirlas, priorizarlas e instalar sus respectivos parches.
Los análisis automáticos de código no son una novedad. Las grandes tecnológicas llevan años utilizando el fuzzing, una técnica que "bombardea" las aplicaciones con entradas de datos inesperadas para intentar provocar errores. La limitación de esta técnica es que algunas áreas del código son más susceptibles a ser explotadas que otras. Con los modelos de IA, la situación cambia, ya que pueden leer el código fuente, establecer conexiones entre pistas aparentemente no relacionadas y razonar sobre cómo explotar esos puntos débiles de manera combinada. Mozilla afirma que, hasta hace poco, esta capacidad estaba reservada a una pequeña élite de expertos en ciberseguridad.
Google corrigió un total de 1.072 vulnerabilidades en Chrome 149 y 150, las dos versiones lanzadas en junio de 2026. Esta cifra supera las 1.036 vulnerabilidades solucionadas en las 23 versiones anteriores, publicadas aproximadamente en los últimos dos años. La compañía atribuye este incremento en gran medida a la IA aplicada a esta tarea, y su director de ingeniería describe el cambio de manera clara: encontrar fallos se ha convertido en un proceso automatizado a escala industrial.
Chrome ya estaba avanzando hacia un futuro donde las versiones principales se publicarían cada quince días y las actualizaciones de seguridad cada semana. Este torrente de parches ha llevado al equipo de desarrollo a probar una frecuencia aún más intensiva: habrá correcciones y parches del navegador dos veces por semana. Existe una contradicción peculiar aquí: Chrome es más seguro que nunca, pero esto nos obliga a actualizarlo constantemente. No obstante, en Google creen que este ritmo podría disminuir una vez que se agote la reserva de errores acumulados.
Mozilla aplicó una versión preliminar de Claude Mythos a Firefox y corrigió en Firefox 150 un total de 271 vulnerabilidades detectadas en esa evaluación inicial. Anteriormente, habían probado con Claude Opus 4.6 y habían encontrado otros 22 problemas relevantes. En Mozilla aseguran que no han hallado ningún fallo localizable por humanos que no pueda ser detectado por el nuevo modelo de Anthropic.
El Patch Tuesday de julio de 2026 corrigió 622 CVE (frente a 206 en junio). Este lote incluyó 59 vulnerabilidades críticas y tres vulnerabilidades "zero day" que fueron divulgadas públicamente, dos de las cuales estaban siendo explotadas activamente. Microsoft ya había advertido que la detección de problemas de seguridad asistida por IA aumentaría el número de actualizaciones, pero lo sucedido demuestra que ni siquiera ellos anticiparon que su software tuviera tantos problemas.
Existe otro ejemplo aún más sorprendente: en la actualización trimestral de julio, Oracle incluyó 1.449 parches en todo su catálogo de productos de software. Solo 64 de ellos fueron detectados por investigadores externos, lo que sugiere que la IA desempeñó un papel absolutamente crucial. Al igual que en los demás casos, el desafío reside en que han tenido que parchearlos todos, y sus clientes deben actualizar todos esos componentes antes de que los ciberdelincuentes aprovechen la situación.
Es importante destacar que no todas las vulnerabilidades son graves ni requieren la misma urgencia. En el caso de los 1.449 parches de Oracle, solo diez tenían la calificación de máxima gravedad CVSS 10.0. En el caso de Microsoft, se registraron 59 fallos críticos. Las cifras totales son impresionantes, pero los administradores de sistemas son quienes deben discernir lo importante de lo secundario y priorizar para evitar que estas actualizaciones generen nuevos conflictos. Esto, de hecho, podría llevar a que el remedio sea peor que la enfermedad.
