Microsoft corrigió 1.411 vulnerabilidades en un mes: la IA encuentra fallos más rápido de lo que las personas pueden repararlos

El debate sobre si la IA sabe escribir código decente continúa. Mientras tanto, otra IA encuentra silenciosamente errores en código ya escrito, y lo hace más rápido de lo que las personas pueden corregirlos. En octubre de 2026, Microsoft publicó sus actualizaciones mensuales de seguridad con 1.411 correcciones. En todo 2025, estos lanzamientos sumaron 1.130, y en 2024, 1.009. Un solo mes superó a un año entero.

Un récord nuevo cada mes

Todavía en junio, corregir 206 vulnerabilidades se consideraba un récord. En julio, Microsoft advirtió a sus clientes de que cada lanzamiento incluiría más parches, y las cifras siguieron subiendo: cerca de 600 en julio —distintos medios contaron entre 570 y 622—, unos 420 en agosto, 974 en septiembre y 1.411 en octubre. El récord anual anterior, de 1.245 vulnerabilidades, se mantenía desde 2020, pero un único lanzamiento de octubre lo superó. Un experto de Zero Day Initiative describió así la edición de julio: «El apocalipsis de los bugs por fin ha llegado».

La propia Microsoft identificó la principal fuente del torrente: MDASH, un sistema agéntico para descubrir vulnerabilidades que combina varios modelos, incluidos modelos de terceros. Funciona en dos etapas. Primero, un escáner revisa archivos binarios críticos de Windows mientras modelos de distintas familias debaten cada hallazgo. Después, una canalización independiente filtra los falsos positivos restantes. A los ingenieros solo llegan los hallazgos en los que el sistema tiene mayor confianza. La IA también propone posibles correcciones y selecciona pruebas de regresión; las personas evalúan los riesgos y toman las decisiones.

¿Por qué esto se ha vuelto posible precisamente ahora? Antes, la herramienta principal era el fuzzing: se alimentaba un programa con millones de entradas malformadas para comprobar qué lo hacía fallar. Un fuzzer no entiende el código y pasa por alto errores lógicos que solo resultan visibles al leer el código fuente. Un modelo de lenguaje lee el código casi como una persona, pero muchas veces más rápido. En 2024, el agente de IA Big Sleep encontró un error explotable en SQLite. En la final del DARPA AI Cyber Challenge de 2025, los sistemas descubrieron 54 de 63 vulnerabilidades ocultas y prepararon una corrección en una media de 45 minutos, con un coste aproximado de 152 dólares por tarea.

PHP2Shell: fallos de más de diez años

La misma tecnología también funciona con código ajeno. El 21 de octubre, PHP publicó actualizaciones de emergencia para dos vulnerabilidades críticas del propio intérprete, denominadas conjuntamente PHP2Shell. Permiten ejecutar código en un servidor web con una sola solicitud y sin autenticación, incluso antes de que comience a ejecutarse el código del sitio. Los errores existen desde PHP 5.4, publicado en 2012. Dos equipos, Calif y Wiz, los descubrieron de forma independiente, y ambos utilizaron IA.

La divulgación coordinada no salió según lo previsto: los detalles se filtraron en Hacker News, y un honeypot de Amazon registró un intento de explotación cuatro días antes del anuncio público. CISA incorporó ambas vulnerabilidades a su catálogo de fallos explotados activamente. Según Censys, incluso después de aquello seguía habiendo en internet más de 32 millones de servicios PHP con versiones vulnerables. Los propios autores del hallazgo moderan el entusiasmo: según Calif, trabajaron con modelos disponibles públicamente, y conocer la historia de PHP fue más importante que el propio modelo. En este caso, la IA fue un asistente muy rápido para un investigador experimentado.

Barato de encontrar, caro de corregir

La historia tiene otra cara. Alguien debe descargar, probar y desplegar cada una de esas 1.411 correcciones. En una encuesta de Socura, el 22% de los responsables de seguridad británicos afirmó haber pedido una baja médica o haberse ido de vacaciones solo para evitar el Patch Tuesday, mientras que el 41% había trabajado horas extra. Oracle ha incorporado lanzamientos mensuales de parches críticos, y VMware apuesta por Express Patches.

En el código abierto, el problema es aún más grave. El proyecto curl cerró su programa de recompensas por vulnerabilidades porque el equipo se estaba ahogando en informes, muchos de ellos generados por IA. Entre siete informes recibidos en una semana, no había ni una sola vulnerabilidad real. Microsoft dispone de una canalización específica para descartar falsos hallazgos; los proyectos mantenidos por voluntarios no.

Qué hacer en la práctica

Primero: si es responsable de infraestructura, adopte la instalación automática de actualizaciones con herramientas como Windows Autopatch y acuerde de antemano un proceso para los parches urgentes publicados fuera del calendario habitual. Segundo: compruebe qué versiones de PHP se ejecutan en producción, especialmente las antiguas, y actualícelas. Tercero: no espere que las cifras récord determinen sus prioridades. La cantidad de errores encontrados muestra lo bien que busca la IA, pero no cuántos representan un peligro real para su entorno concreto.

El tiempo entre el descubrimiento y el ataque se está reduciendo porque los mismos modelos también ayudan a convertir un error en un exploit funcional. Ganarán quienes aprendan a actualizar sus sistemas tan rápido como la IA encuentra los fallos. Los demás tendrán que acostumbrarse a Patch Tuesdays con cerca de 1.500 elementos.