¿Apoyas el código abierto? Anthropic ahora entrega informes de vulnerabilidades sin revisión humana previa.

En siete meses el proyecto de IA Anthropic detectó casi 38 000 vulnerabilidades potenciales, pero solo 217 constan como corregidas. Los analistas de VulnCheck investigaron por qué los impresionantes resultados en la búsqueda de errores aún no se traducen en un número comparable de correcciones.

La empresa Anthropic lanzó Project Glasswing el 7 de abril de 2026, dando a socios acceso al modelo Claude Mythos Preview para analizar software crítico. Para el 2 de noviembre en el registro del proyecto se habían acumulado 37 966 hallazgos. Se hicieron públicos 7 349, o el 19,4% del total. Sin embargo, solo 217 entradas recibieron el estado de corregidas. Anteriormente una comprobación independiente ya había puesto de manifiesto la diferencia entre la cantidad de hallazgos de la IA y las vulnerabilidades confirmadas.

Entre el 8 de septiembre y el 2 de noviembre el número de hallazgos aumentó en 11 813, mientras que el de problemas corregidos creció solo en 15. Otras 1 654 entradas en el resumen de Anthropic se reconocieron como duplicados y 419 fueron retiradas. Resulta que el flujo de nuevos informes crece mucho más rápido de lo que los desarrolladores pueden procesar y corregir.

Ante cifras así Anthropic elevó la tasa declarada de resultados verdaderos del 90,8% al 94,2%. El investigador de VulnCheck Patrick Garrity puso en duda la metodología de cálculo, ya que el número de duplicados y de informes retirados supera con creces la cantidad de correcciones. Sin embargo, el hecho de que un informe se marque como duplicado no implica que el hallazgo original fuese falso.

Garrity también cotejó las entradas con identificadores públicos CVE. En total encontró 442 vulnerabilidades relacionadas con investigadores de Anthropic y participantes de Glasswing. De ellas solo dos figuran en datos sobre explotación real: CVE-2026-61500 y CVE-2026-26980. La ausencia de otros casos en la base de VulnCheck no demuestra que no se hayan producido ataques.

Surgió un problema aparte con la verificación de hallazgos. Anthropic reconoció que de más de 29 000 presuntas vulnerabilidades los especialistas revisaron manualmente aproximadamente 6 000. Casi 5 000 informes sin verificar la compañía ya los entregó a los mantenedores de proyectos abiertos a petición de estos. Para acelerar el proceso se lanzó OSS Scanner, que proporciona resultados sin verificación humana previa.

Es ilustrativa la experiencia de los desarrolladores de curl. De 34 informes publicados procedentes de Anthropic, el equipo rechazó 19 por no considerarlos vulnerabilidades, seis los reconoció como problemas de baja gravedad y otros nueve los dejó pendientes de revisión. En total el lote sumaba 45 notificaciones. Patrick Garrity expuso los detalles en la investigación de noviembre de VulnCheck: noviembre.

El analista no niega la utilidad de la IA para detectar errores, pero señala la brecha entre la detección y la corrección. Para los mantenedores de software abierto el exceso de solicitudes sin verificar puede convertirse en una carga adicional. Anteriormente los desarrolladores de curl ya rechazaron hallazgos de Claude Mythos tras la revisión manual. La búsqueda automatizada de miles de lugares sospechosos en el código no sustituye la evaluación de su gravedad ni el trabajo para crear parches.