La aceleración en el descubrimiento de vulnerabilidades de software viene acaparando titulares desde hace meses. Se trata de una cuestión que incluso ha llevado al gobierno de Estados Unidos a crear la iniciativa Gold Eagle para coordinar iniciativas de investigación relacionadas con el descubrimiento, la mitigación y la corrección de vulnerabilidades.

Una muestra de la presión que enfrentan los defensores de la ciberseguridad puede observarse en la cantidad de parches distribuidos a través del Patch Tuesday de Microsoft durante los últimos cuatro meses: 169 CVE en abril, 118 CVE en mayo, 571 CVE en total en junio (incluidos 208 CVE correspondientes directamente a Microsoft) y otras 622 vulnerabilidades en julio, entre ellas vulnerabilidades de día cero explotadas activamente.

Una presentación magistral en Black Hat USA 2026 detalló una investigación realizada por el profesor asociado Yan Shoshitaishvili y el equipo de la Universidad Estatal de Arizona sobre el uso cada vez más extendido de modelos de IA para el descubrimiento de vulnerabilidades. Shoshitaishvili hizo referencia a un artículo publicado por The Washington Post en junio, según el cual el modelo de nueva generación Claude Mythos, de Anthropic, había descubierto 479 vulnerabilidades en el kernel de Linux, cifra que el equipo universitario utilizó como referencia. Mientras tanto, utilizando generaciones anteriores de modelos GPT, el equipo había descubierto “apenas” unas 300 vulnerabilidades.

La diferencia se atribuyó al uso de flujos de trabajo en Mythos, por lo que el equipo se propuso integrar flujos de trabajo similares en tres modelos GPT, lo que dio como resultado el descubrimiento de alrededor de 600 vulnerabilidades. Posteriormente, entrenaron los modelos GPT utilizando las características de vulnerabilidades previamente conocidas y descubrieron aproximadamente 1.000 vulnerabilidades. Llegaron al punto de encontrar vulnerabilidades a tal velocidad que ya no podían mantener el ritmo de la elaboración de informes; cabe aclarar que este proceso implica una investigación detallada y la propuesta de correcciones, no simplemente la identificación del problema. La magnitud del fenómeno pone en duda todo el proceso de divulgación responsable que, en opinión del equipo, ya presentaba deficiencias debido a que la divulgación suele incrementar el riesgo.

Aplicar parches de manera oportuna en entornos de producción ya representaba un desafío para muchos equipos de ciberseguridad. Un crecimiento exponencial como este podría convertirse en el punto de quiebre y derivar en una mayor cantidad de software sin corregir y, por ende, en más oportunidades para los ciberdelincuentes. Alternativamente, podría impulsar la aplicación de parches sin las pruebas adecuadas, lo que a su vez podría generar problemas de compatibilidad en numerosos entornos.

Si analizo este tema desde una perspectiva lógica y adopto una visión optimista, podría decirse que nos dirigimos hacia un pico en el descubrimiento de vulnerabilidades y que luego podría existir un escenario más estable y predecible. Tradicionalmente, la investigación de vulnerabilidades por parte de seres humanos ha sido un proceso que requiere una gran cantidad de recursos que produce un flujo constante de hallazgos, con un crecimiento sostenido año tras año. Esto podría deberse a que hay más investigadores, más software y también mayores incentivos económicos para descubrir vulnerabilidades mediante programas de recompensas por errores (bug bounty) y otras iniciativas similares. Si pasamos de la investigación humana a la impulsada por IA, el cambio podría compararse con un salto cuántico en la capacidad de descubrimiento. Sin embargo, es importante recordar que la IA aún se encuentra en una fase de aprendizaje: como mostró el equipo de Arizona, ajustar el modelo y sus flujos de trabajo puede permitir descubrir aún más vulnerabilidades.

También está el factor del software heredado (legacy software). Pensemos en el enorme volumen de software desarrollado durante los últimos 30 años:ningún esfuerzo humano podría descubrir todas las vulnerabilidades presentes en el software actual y en versiones heredadas o desarrolladas hace décadas. Sin embargo, la magnitud del descubrimiento asistido por IA podría, potencialmente, llegar a cubrir todo ese universo en algún momento. A partir de entonces, los nuevos hallazgos dependerían principalmente de mejoras en los modelos utilizados para identificar vulnerabilidades.

Por supuesto, no debemos olvidar que constantemente se desarrolla software nuevo. También aquí la lógica sugiere que cualquier equipo de desarrollo moderno utilizaría las mismas capacidades de IA disponibles para eliminar posibles vulnerabilidades antes de lanzar sus productos. Y a medida que los modelos sigan mejorando, la posibilidad de contar con software prácticamente libre de fallas podría convertirse en una realidad.

Si esta lógica termina imponiéndose, podríamos llegar a ese escenario de calma y estabilidad en el que se descubran muy pocas vulnerabilidades nuevas. Aunque, por supuesto, esta visión también podría ser simplemente un sueño o una muestra de mi optimismo mal encaminado.