De enero al 27 de julio de 2026, se registraron 45.207 fallas de seguridad en el National Vulnerability Database, el catálogo público de vulnerabilidades. En siete meses, la cifra casi igualó el doble de todo lo que 2025 registró en el año completo.
No es que el software haya empeorado. Es que la inteligencia artificial aprendió a leer código fuente buscando brechas — y lo hace a escala industrial, sin cansarse.
La noticia parece buena. El problema es lo que viene después, y casi nadie está hablando de eso: la detección se volvió más rápida que la corrección.
Qué cambió en la caza de vulnerabilidades
Las herramientas de seguridad antiguas buscaban patrones conocidos: un fragmento de código con apariencia de error ya catalogado. Un modelo de IA hace algo distinto. Lee el código, conecta pistas que parecen no tener relación entre sí y razona sobre cómo combinarlas en un ataque — algo que, hasta 2025, era trabajo de un especialista humano caro y escaso.
Los resultados de 2026 muestran el tamaño del salto:
- Un agente con el modelo Gemini encontró en Chrome una falla crítica que pasó 13 años desapercibida, después de innumerables revisiones humanas.
- Firefox tuvo 271 vulnerabilidades localizadas con Claude Mythos, más 22 problemas relevantes con Opus.
- La china Z.ai afirma que sus modelos encontraron 2.436 vulnerabilidades en 269 proyectos, de las cuales 1.097 eran críticas o de alta severidad, en software de infraestructura como Linux, WebKit y FreeBSD. La más antigua estaba en código escrito en 1981 — abierta desde hacía 45 años.
El 14 de agosto de 2026 la misma Z.ai anunció el GLM-5.3, que marcó 84,5 en CyberGym — la prueba que mide la capacidad de encontrar y validar vulnerabilidades reales a partir del código. Quedó por delante de Claude Mythos 5 (83,8) y GPT-5.6 Sol (83,6). Es la primera vez que un modelo abierto lidera una prueba de seguridad frente a los modelos cerrados de las grandes.
Vale el escepticismo: todas estas cifras fueron reportadas por la propia proveedora, medidas en su propia infraestructura, sin verificación independiente. Tómalas como indicación de orden de magnitud, no como marcador oficial.
El número que nadie comenta: encontrar se volvió fácil, corregir no
Aquí está la parte que cambia decisiones. Mira lo que le pasó a quienes tienen los mejores equipos de seguridad del mundo:
- Chrome: corrigió 1.072 vulnerabilidades en solo dos versiones, en junio de 2026. Eso es más que las 1.036 corregidas en las 23 versiones anteriores, a lo largo de casi dos años. Google pasó a publicar correcciones dos veces por semana.
- Oracle: la actualización trimestral de julio trajo 1.449 correcciones, un récord de la empresa. Solo 64 vinieron de investigadores externos — el resto salió de herramientas automatizadas y de IA, según la atribución de la propia Oracle.
- Microsoft: 206 vulnerabilidades en junio, 622 CVEs en julio, incluidas 59 críticas y 3 fallas de día cero.
La detección se volvió barata y automática. Verificar, priorizar, corregir, probar y publicar sigue siendo trabajo humano, al ritmo humano. El cuello de botella cambió de lugar: ya no falta quien encuentre el problema, falta quien logre aplicar la corrección.
Por qué esto es un problema tuyo, y no solo de Microsoft
Si solo usas software estándar, la cuenta es simple: actualiza siempre, y rápido. El fabricante hace el trabajo pesado y tu parte es no postergar la actualización.
Ahora, si tu empresa tiene sistema propio — ese ERP a medida, el portal del cliente, la app que alguien desarrolló hace algunos años —, la cuenta es otra. Nadie de afuera va a auditar ese código por ti. Y fue escrito en una época en la que encontrar una falla exigía a un especialista dedicado durante semanas.
Es exactamente ese tipo de código el que la nueva generación de herramientas escanea en minutos. La capacidad que encuentra una falla en un software de 1981 no va a tener dificultad con un sistema tuyo de 2019.
El punto incómodo: la misma capacidad sirve para los dos lados. Un modelo que encuentra brechas para proteger, encuentra brechas para invadir. Por eso Z.ai retuvo el lanzamiento de los pesos de GLM-5.3 durante unas dos semanas para evaluación de seguridad — el primer aplazamiento de la empresa motivado explícitamente por riesgo cibernético. La empresa también admitió que esa capacidad no estaba en el plan: agregó datos esperando mejorar la detección de bugs aislados, y el modelo comenzó por sí solo a razonar sobre cadenas completas de explotación.
Traducido: la herramienta que escanea tu sistema cuesta desde US$ 12,60 al mes y, pronto, correrá en la máquina de cualquier persona. La asimetría que protegía al software oscuro — "nadie va a perder tiempo mirando el mío" — se acabó.
Qué hacer, en el orden correcto
La respuesta no es entrar en pánico ni contratar una auditoría cara. Es organizar lo básico, que casi nadie tiene:
- Sabe qué tienes corriendo. Lista sistemas, versiones, bibliotecas y quién mantiene cada uno. No puedes corregir lo que no sabes que existe — y es común descubrir sistemas activos que nadie reclama como propios.
- Descubre cuál está sin mantenimiento. Un sistema sin responsable definido es el primero en caer. Si la respuesta es "el chico que lo hizo ya no está en la empresa", ya encontraste tu prioridad.
- Trata la actualización como rutina, no como proyecto. Con fabricantes publicando correcciones dos veces por semana, la ventana trimestral de mantenimiento se volvió pieza de museo.
- Usa las mismas herramientas antes de que las usen contra ti. El escaneo por IA hoy es accesible. Usarlo en tu propio código es la forma más barata de encontrar lo que un atacante encontraría.
- Prioriza según lo que está expuesto. Una falla en un sistema abierto a internet vale diez fallas en un sistema interno. Empieza por lo que el mundo ve.
Fíjate que cuatro de los cinco puntos son inventario y proceso, no tecnología. El cuello de botella es humano — y la organización resuelve más que la compra de herramientas.
El resumen honesto
2026 va a cerrar con el doble de fallas conocidas que 2025, y eso no va a desacelerar. El software no empeoró: se volvió visible. Las fallas ya estaban ahí, algunas desde hace 45 años, y ahora existe quien las encuentre a escala.
Para quien tiene sistema propio funcionando, la pregunta dejó de ser "¿alguien va a mirar mi código?". Alguien lo va a hacer. La pregunta ahora es si serás tú primero.
Datos verificados a partir de las noticias de tecnología de agosto de 2026 (Daily Journal, Axios), del National Vulnerability Database y de los anuncios de las propias fabricantes. Las cifras de GLM-5.3 son autorreportadas por Z.ai y aún no cuentan con verificación independiente.
Perguntas frequentes
¿La inteligencia artificial puede realmente encontrar fallas de seguridad en software?
Sí, y a escala. A diferencia de las herramientas antiguas, que buscaban patrones ya catalogados, los modelos actuales leen el código fuente, conectan pistas sin relación aparente y razonan sobre cómo combinarlas en un ataque. En 2026, un agente con el modelo Gemini encontró en Chrome una falla crítica que pasó 13 años desapercibida, y Firefox tuvo 271 vulnerabilidades localizadas con apoyo de IA.
¿Cuántas vulnerabilidades se descubrieron en 2026?
Fueron 45.207 fallas registradas en el National Vulnerability Database entre enero y el 27 de julio de 2026: en siete meses, casi el doble de lo que registró todo el año 2025. La aceleración se atribuye directamente al uso de IA en el descubrimiento de vulnerabilidades.
Si la IA encuentra más fallas, ¿el software no queda más seguro?
Queda más seguro y más trabajoso al mismo tiempo. El problema es que el descubrimiento se volvió más rápido que la corrección: encontrar es automático y barato, pero verificar, priorizar, corregir y publicar sigue siendo trabajo humano. Chrome corrigió 1.072 vulnerabilidades en dos versiones de junio de 2026 —más que en las 23 versiones de los dos años anteriores— y pasó a publicar correcciones dos veces por semana.
Mi empresa tiene un sistema propio antiguo. ¿Debo preocuparme?
Más que quien usa solo software estándar. Un sistema a medida no tiene un fabricante publicando correcciones, y nadie desde fuera audita ese código por ti. Suele haber sido escrito cuando encontrar una falla exigía un especialista durante semanas, una protección que dejó de existir. Un modelo que encuentra una brecha en código de 1981 no tendrá dificultad con un sistema de 2019.
¿Por qué Z.ai aplazó la liberación del GLM-5.3?
Porque la misma capacidad que encuentra fallas para proteger encuentra fallas para invadir. La empresa retuvo los pesos del modelo cerca de dos semanas para evaluación de seguridad, su primer aplazamiento motivado explícitamente por riesgo cibernético. Z.ai también afirmó que esa capacidad no estaba planeada: esperaba mejorar la detección de errores aislados y el modelo pasó a razonar sobre cadenas completas de explotación.
¿Por dónde empezar a proteger los sistemas de mi empresa?
Por el inventario, no por la herramienta. Lista lo que está funcionando, con versiones y responsable de cada sistema; identifica lo que está sin mantenimiento; trata la actualización como rutina y no como proyecto trimestral; ejecuta un escaneo con IA en tu propio código antes de que alguien lo haga contra ti; y prioriza lo que está expuesto en internet. Cuatro de los cinco pasos son organización, no tecnología.