La caza de bugs impulsada por IA duplica el volumen de CVE y cambia el foco a la entrega de parches

Cifras récord de CVE

Los escáneres de vulnerabilidades impulsados por inteligencia artificial han catapultado el número total de CVE a 66 401 a mediados de septiembre de 2026, duplicando la cifra del mismo periodo del año anterior y obligando a los proveedores a centrar sus esfuerzos en la entrega rápida de parches.

La base de datos pública de CVE mantenida por CVE.icu registró 66 401 entradas el 16 de septiembre de 2026, frente a 33 512 en la misma fecha de 2025, según informa Wired. Este salto representa casi una duplicación de vulnerabilidades divulgadas en un solo año.

Qué impulsa los números

El aumento se atribuye mayormente a agentes de descubrimiento autónomos que escanean bases de código, binarios y repositorios de código abierto a gran escala. FIRST, el organismo de coordinación de identificadores de vulnerabilidades, pronostica alrededor de 66 000 entradas CVE para todo 2026 y vincula explícitamente parte de la aceleración a herramientas impulsadas por IA.

Más allá de la IA, el incremento refleja un efecto de puesta al día, ya que fallas antiguas y no registradas se catalogan retroactivamente y nuevas fuentes de avisos como GitHub Security Advisories y VulnCheck amplían su cobertura.

Mozilla reveló que su reciente campaña de seguridad, que utilizó el modelo Mythos de Anthropic, descubrió 271 vulnerabilidades en Firefox. El esfuerzo demuestra cómo los grandes modelos de lenguaje pueden complementar las técnicas tradicionales de fuzzing y revisión de código.

La producción de parches sigue el ritmo

Los proveedores están respondiendo con un notable aumento de correcciones publicadas. Microsoft lanzó 974 parches en septiembre, Oracle emitió 1 448 actualizaciones en julio y Google desplegó dos versiones importantes de Chrome con un total de 1 072 parches en junio, según Wired.

• Microsoft – 974 parches (septiembre 2026)
• Oracle – 1 448 parches (julio 2026)
• Google Chrome – 1 072 parches (junio 2026)
• Mozilla – 271 vulnerabilidades descubiertas mediante Mythos

Estos números ilustran que, aunque el descubrimiento se acelera, la remediación sigue siendo un proceso intensivo en recursos humanos. Coordinar divulgaciones, probar parches y entregarlos a los usuarios finales depende aún de ingenieros especializados y equipos de respuesta bien orquestados.

Riesgos operativos de la brecha descubrimiento‑remediación

El principal riesgo para las organizaciones no es la cantidad absoluta de CVE, sino el retraso entre la detección automatizada y el tiempo necesario para desarrollar, probar y desplegar los parches. Un cúmulo de vulnerabilidades sin abordar puede ampliar la ventana de exposición de activos críticos.

Además, el mayor volumen de fallas conocidas incrementa la carga de trabajo de los centros de operaciones de seguridad, que deben clasificar alertas, verificar explotabilidad y priorizar la remediación bajo plazos más ajustados.

Aunque la proporción de CVE activamente explotados o de alta severidad sigue siendo una fracción del total, la presión sobre los mantenedores para verificar, coordinar y lanzar correcciones se ha intensificado, tensionando los niveles de personal de seguridad existentes.

El panel de CVE.icu, actualizado cada seis horas y que contiene más de 300 000 entradas que abarcan veintiocho años, brinda visibilidad casi en tiempo real pero también subraya la creciente escala del ecosistema de vulnerabilidades.

Estrategia para organizaciones hispanohablantes

Para las empresas y entidades públicas de habla hispana, la implicación práctica es un cambio en la estrategia de seguridad: la inversión debe desplazarse de herramientas centradas únicamente en la detección hacia la gestión automatizada de parches, canalizaciones de integración continua que incorporen pruebas rápidas y una coordinación más estrecha con los avisos de los proveedores.

Construir resiliencia ahora implica asegurar que la capacidad humana y procedural para aplicar correcciones pueda equiparar el ritmo de descubrimiento impulsado por IA, reforzando equipos de respuesta, automatizando pruebas de regresión y estableciendo acuerdos de nivel de servicio más agresivos con los proveedores de software.

En Madrid, la Asociación de Seguridad de la Información ha lanzado un programa piloto que combina escáneres basados en IA con flujos de trabajo de parcheo automatizado, con el objetivo de reducir el tiempo medio de mitigación en un 30 % antes de final de 2027.