Black Hat USA 2026: ¿la IA colapsará el descubrimiento de vulnerabilidades?
Una investigación presentada en Black Hat USA 2026 mostró cómo modelos de IA como Claude Mythos y GPT entrenados descubrieron hasta 1000 vulnerabilidades en poco tiempo. Esto pone en jaque el proceso de divulgación responsable y el Patch Tuesday.
La charla magistral de Yan Shoshitaishvili y su equipo de la Universidad Estatal de Arizona en Black Hat USA 2026 dejó clara una tendencia que ya se venía cocinando: los modelos de inteligencia artificial están acelerando el descubrimiento de vulnerabilidades a un ritmo que los procesos humanos actuales no pueden seguir.
El punto de partida fue un artículo de The Washington Post de junio de 2026 que reveló cómo Claude Mythos, el modelo de nueva generación de Anthropic, encontró 479 vulnerabilidades en el kernel de Linux. El equipo universitario tomó esa cifra como referencia y replicó flujos de trabajo similares en modelos GPT anteriores, que inicialmente detectaban alrededor de 300 fallos. Al ajustar los workflows, el número subió a 600. Luego, entrenando los modelos con características de vulnerabilidades conocidas, alcanzaron cerca de 1.000 hallazgos.
El problema no es solo la cantidad. Llegaron a un punto donde el descubrimiento superaba la capacidad de elaborar informes completos, que incluyen análisis detallado, propuesta de correcciones y pruebas. Eso es lo que realmente lleva tiempo, no la mera identificación.
Este salto tiene consecuencias directas sobre la divulgación responsable. Según el equipo, el proceso ya mostraba grietas porque publicar una vulnerabilidad suele aumentar el riesgo de explotación antes de que los parches estén listos. Con volúmenes mucho mayores, el desafío se multiplica: los equipos de ciberseguridad tendrán más dificultades para aplicar parches a tiempo en entornos de producción. El resultado posible es más software sin corregir o parches apresurados que generan incompatibilidades.
Los números del Patch Tuesday de Microsoft de los últimos meses dan una idea de la presión actual, sin IA a pleno: 169 CVE en abril, 118 en mayo, 571 en junio (208 de Microsoft) y 622 en julio, incluyendo varios zero-days explotados. Imaginen eso multiplicado por un factor de IA bien entrenada.
Desde una mirada optimista, este fenómeno podría representar un pico. La investigación humana de vulnerabilidades creció sostenidamente por más investigadores, más código y programas de bug bounty. La IA representa un salto cuántico, pero aún está en fase de aprendizaje: pequeños ajustes en prompts o flujos de trabajo generan mejoras notables, como demostró el equipo de Arizona.
Otro factor es el software heredado. Hay décadas de código desarrollado en los últimos 30 años que ningún equipo humano podría auditar por completo. La IA podría, en teoría, cubrir gran parte de ese universo legacy. Una vez hecho eso, los nuevos descubrimientos dependerían de mejoras en los propios modelos.
Del lado del desarrollo moderno, los equipos ya están usando herramientas de IA para detectar problemas antes de lanzar código. Si esa práctica se generaliza y los modelos siguen mejorando, es posible imaginar software con muchas menos vulnerabilidades desde el origen.
El escenario final sería un estado de calma donde se descubran muy pocas vulnerabilidades nuevas. Suena ideal, pero también puede ser solo optimismo. Mientras tanto, como administradores de sitios y servidores, la rutina sigue siendo la misma: mantener actualizados los sistemas, probar backups, renovar certificados y monitorear logs. La IA puede cambiar el juego en el descubrimiento, pero no reemplaza la disciplina diaria de seguridad.
Para quienes manejan hosting o dominios, el mensaje es claro: aunque la investigación avance a velocidad de IA, los parches y las buenas prácticas siguen siendo responsabilidad de cada uno. No esperes que el ecosistema se estabilice mágicamente; preparate para un período de mayor volumen de actualizaciones y revisá tus procesos de mantenimiento.
