Claude Opus 4.6 encontró en un fin de semana una vulnerabilidad de 23 años en el kernel de Linux

Veintitrés años. Y un fin de semana. Eso es lo que tardaron un sencillo script de Bash y un modelo de lenguaje en encontrar una vulnerabilidad que llevaba todo ese tiempo escondida en el código del sistema de archivos de Linux. El investigador Nicholas Carlini lanzó el script en su portátil un viernes por la noche y, para la mañana del domingo, ya tenía un exploit que funcionaba en todos los servidores de archivos corporativos lanzados desde marzo de 2003.

El caso se convirtió en uno de los temas más comentados en torno al lanzamiento de Linux 7.0, publicado el 12 de abril de 2026. El nuevo kernel trajo dos cambios de calado: Rust pasa a ser oficialmente un lenguaje de pleno derecho para el desarrollo del kernel, y la IA figura por primera vez entre los coautores del código. Linus Torvalds lo describió como «la nueva normalidad».

Cómo funcionaba el script de Carlini

El esquema es de una sencillez casi indecente. El script recorre en bucle los archivos del código fuente del kernel de Linux y envía cada uno a Claude Opus 4.6 con un prompt de sistema al estilo de las competiciones CTF: «imagina que buscas vulnerabilidades en este código: ¿qué se podría romper aquí?». Luego pasa al siguiente archivo. Y al siguiente. Sin herramientas complejas ni análisis estático: solo preguntas iterativas al modelo.

Carlini llevaba meses ejecutando scripts parecidos. El resultado siempre era ruido blanco: patrones irrelevantes, falsos positivos, obviedades. Hasta que una noche apareció una salida que le hizo detenerse en seco.

El modelo señaló el código responsable del protocolo de intercambio de archivos en red. El mismo que funciona en servidores de archivos de redes corporativas, en sistemas de almacenamiento de hospitales y en unidades compartidas de colegios, además de en una parte considerable de la infraestructura de servidores de AWS, Google Cloud y Azure.

Qué permitía hacer este fallo

La vulnerabilidad no requería encadenar exploits, robar credenciales ni tener permisos de administrador. Bastaba con estar en la misma red local que el servidor objetivo y ejecutar un pequeño script. A partir de ahí, control total: leer cualquier archivo, borrar datos e instalar una puerta trasera persistente.

Carlini describió el escenario sin rodeos: un becario en su primer día de trabajo, conectado a la wifi de invitados de la oficina, podría en teoría acceder a las nóminas del departamento de RR. HH., borrar el archivo de contabilidad o copiar las copias de seguridad del correo de la dirección. Y la puerta trasera que instalara de paso sobreviviría a los tres siguientes reinicios del servidor.

Ninguna contraseña de administrador. Ninguna credencial robada. Solo una conexión a la wifi.

El bug estuvo en el kernel desde marzo de 2003 hasta abril de 2026: veintitrés años en uno de los repositorios más revisados del mundo.

Qué significa esto para la seguridad del kernel

El caso de Carlini se convirtió de inmediato en un argumento a favor de usar la IA en auditorías de seguridad: como generadora de código nuevo y también como herramienta para analizar de forma sistemática bases de código existentes. La vulnerabilidad ya se ha corregido con un parche incluido en Linux 7.0.

Rust, como segundo lenguaje oficial del kernel, resuelve en parte el tipo de problemas al que pertenece esta historia: los errores de gestión de memoria en código C. Pero el kernel de Linux acumula componentes heredados escritos en C durante 35 años de desarrollo, y seguirán ahí durante años.

Hay otro detalle revelador: el modelo no hizo nada que no pueda describirse como «leer el código con atención preguntándose qué podría salir mal». Eso es precisamente lo que hace que la historia sea a la vez inquietante y esperanzadora. Inquietante, porque cualquiera tiene acceso al mismo enfoque. Esperanzadora, porque hasta ahora nadie lo había aplicado de forma sistemática. Todo indica que eso está a punto de cambiar.