Aún no hay parche, pero ya existe un CVE: Kaspersky muestra cómo la IA ha transformado el mercado de vulnerabilidades

La búsqueda de fallos en el software se ha acelerado de forma brusca, pero los desarrolladores ya no siempre alcanzan a quienes los encuentran. En el segundo trimestre de 2026 el número de vulnerabilidades registradas alcanzó un nivel récord, y los exploits listos para usar se publicaron cada vez con más frecuencia antes de que aparecieran las correcciones. Los especialistas de Kaspersky atribuyen los cambios sobre todo a la proliferación de la IA en el desarrollo y en el análisis del código fuente.

Las herramientas de IA permiten revisar rápidamente enormes volúmenes de código que antes podían permanecer años sin un análisis completo. Gracias a este enfoque, los especialistas encuentran no solo errores aislados, sino clases enteras de problemas. La tendencia se hizo especialmente evidente en Linux, donde en el segundo trimestre se divulgó la familia Dirty Frag y otras vulnerabilidades relacionadas con el subsistema de red, la caché de páginas de memoria y el procesamiento de paquetes.

La aceleración de la búsqueda también tuvo el efecto contrario. Los programas con IA se han convertido en una fuente importante de problemas de seguridad. Por ejemplo, en el proyecto popular OpenClaw se registraron más de 200 CVE en un trimestre, lo que le permitió ocupar el puesto 12 entre los proyectos con mayor número de vulnerabilidades detectadas. Riesgo adicional genera el código que crean los asistentes de IA. Su calidad varía mucho, por lo que, según los especialistas, el número de errores nuevos seguirá aumentando.

Al mismo tiempo cambia la secuencia habitual de divulgación de vulnerabilidades. Antes, el desarrollador solía disponer de tiempo para preparar un parche, tras lo cual se publicaban los detalles técnicos. Ahora, los especialistas con más frecuencia divulgan exploits funcionales antes de la asignación del identificador CVE y la salida de la actualización. En el segundo trimestre esta situación se produjo con varios problemas de Windows, que recibieron los nombres BlueHammer, RedSun, YellowKey, GreenPlasma, RougePlanet y UnDefend.

Algunas de las técnicas publicadas permitían escalar privilegios, eludir el cifrado BitLocker, interferir en el funcionamiento de Microsoft Defender o provocar la caída del servicio de protección. Para algunas de las vulnerabilidades el autor publicó inmediatamente código funcional. Los especialistas consideran que esta práctica puede convertirse en una tendencia consolidada, ya que los atacantes obtienen la herramienta lista antes de que el fabricante consiga proteger a los usuarios.

Las nuevas vulnerabilidades también entran rápidamente en el arsenal de grupos objetivos. En el segundo trimestre los especialistas registraron la tendencia a emplear errores recientes prácticamente de inmediato tras su publicación. Llamó la atención la vulnerabilidad Langflow, que se convirtió en uno de los primeros ejemplos de explotación de una plataforma de IA en operaciones APT. Estos servicios a menudo manejan credenciales, sistemas internos e información confidencial, por lo que un solo error puede abrir a los atacantes el camino hacia el interior de la infraestructura.

Entre las herramientas populares de gestión de sistemas comprometidos se mantuvieron Sliver, Havoc, AdaptixC2 y Metasploit. Los ataques relacionados con ellas emplearon tanto vulnerabilidades recientes como otras conocidas desde hace tiempo en Oracle PeopleSoft, Apache ActiveMQ, BeyondTrust, Microsoft SharePoint, Windows y WinRAR. Los problemas antiguos tampoco han desaparecido. La telemetría continúa registrando la explotación de fallos de Microsoft Office y Equation Editor, que ya tienen muchos años.

Surgió además otro problema relacionado con la IA. En la red circulan materiales técnicos presentados de forma convincente sobre vulnerabilidades inexistentes. En el segundo trimestre los especialistas encontraron publicaciones similares sobre Microsoft Exchange y SharePoint. Los textos y el código fuente parecían plausibles, aunque describían errores imaginarios, y a veces junto con esa «investigación» se distribuía software malicioso ajeno.

Como resultado, la instalación habitual de actualizaciones ya no es suficiente para proteger una infraestructura que cambia rápidamente. Los autores del informe aconsejan a las empresas rastrear más rápido las nuevas vulnerabilidades, controlar los derechos de acceso y vigilar con atención los sistemas donde operan agentes de IA y grandes modelos de lenguaje. La velocidad de búsqueda de errores ha aumentado tanto que el tiempo entre el descubrimiento de un problema y la aparición de código útil para atacarlo sigue reduciéndose.