En junio de 2026, el tradicional martes de parches de Microsoft marcó un récord con 206 vulnerabilidades corregidas, tres de ellas zero day. Ese récord quedó pequeño apenas un mes después: en julio la cifra se triplicó, con 622 CVE corregidos, 59 de gravedad crítica y tres zero day divulgadas públicamente, dos de ellas explotadas activamente antes del parche.
Microsoft no es el único caso. Oracle, Google Chrome y Mozilla Firefox también registraron saltos históricos en la cantidad de vulnerabilidades corregidas en sus últimas versiones, y el denominador común detrás de todos estos números es el mismo: modelos de inteligencia artificial escaneando bases de código a una velocidad y escala que antes resultaban imposibles.
Del fuzzing tradicional al razonamiento de la IA
Los análisis automáticos de código no son nuevos: las grandes tecnológicas llevan años usando fuzzing, una técnica que bombardea aplicaciones con entradas de datos inesperadas para provocar errores. Su limitación es que algunas zonas del código se prestan mejor que otras a ese tipo de ataque. Los modelos de IA cambian la ecuación porque pueden leer el código fuente completo, conectar pistas que antes parecían no tener relación entre sí, y razonar sobre cómo explotar esos puntos débiles de forma combinada, algo que hasta hace poco solo lograba una pequeña élite de expertos en ciberseguridad.
Chrome: de 1.036 vulnerabilidades en dos años a 1.072 en un solo mes
Google corrigió 1.072 vulnerabilidades en Chrome 149 y 150, las dos versiones publicadas en junio de 2026. Esa cifra supera a las 1.036 vulnerabilidades solucionadas en las 23 versiones anteriores del navegador, publicadas a lo largo de aproximadamente los dos años previos. La propia empresa atribuye ese salto en gran medida a la aplicación de IA en la búsqueda de fallos, hasta el punto de que Chrome, que ya venía acelerando su ritmo de publicación, ahora prueba lanzar parches de seguridad dos veces por semana en lugar de una.
Firefox y las 271 vulnerabilidades que sorprendieron hasta a Mozilla
Mozilla documentó su propio caso en detalle en su blog técnico. Según explicó el equipo de Firefox en Mozilla Hacks, tras una colaboración previa con Anthropic que usó Claude Opus 4.6 para encontrar 22 fallos de seguridad relevantes, publicados en Firefox 148, el equipo aplicó una versión temprana de Claude Mythos Preview sobre el código de Firefox. El resultado fue la corrección de 271 vulnerabilidades adicionales en Firefox 150.
Bobby Holley, director de tecnología de Firefox, describió el proceso como una sensación de vértigo compartida por cada vez más equipos de seguridad a medida que este tipo de herramientas llega a más manos. Según Mozilla, no se detectó ningún fallo que un investigador humano de élite no hubiera podido encontrar por su cuenta, pero la escala y la velocidad del hallazgo resultaron muy distintas a lo habitual.
Microsoft y Oracle: el mismo patrón a otra escala
En su actualización trimestral de julio, Oracle reunió 1.449 parches en todo su catálogo de productos, de los cuales apenas 64 fueron reportados por investigadores externos, lo que sugiere que la inmensa mayoría surgió de análisis internos asistidos por IA. Microsoft, por su parte, ya había anticipado que la detección de vulnerabilidades asistida por inteligencia artificial iba a aumentar el volumen de parches, aunque el salto observado en julio superó incluso sus propias previsiones.
El problema real: no toda vulnerabilidad es igual de grave
No todas las vulnerabilidades detectadas requieren la misma urgencia. De los 1.449 parches de Oracle, solo diez alcanzaron la calificación máxima de gravedad (CVSS 10.0); de los 622 CVE de Microsoft, 59 fueron críticos. Los números totales impresionan, pero son los administradores de sistemas quienes deben separar lo urgente de lo secundario y priorizar qué actualizar primero, para evitar que una avalancha de parches termine generando nuevos conflictos de compatibilidad, un escenario donde el remedio podría resultar tan disruptivo como la propia vulnerabilidad que buscaba corregir.
