Hace unos meses, cuando Anthropic anunció que su modelo Claude Mythos Preview podÃa descubrir vulnerabilidades de seguridad de forma autónoma, muchos pensamos que era otra demo de marketing. Pero los números que acaba de publicar Epoch AI dejan claro que esto ya no es ciencia ficción: en junio de 2026, las organizaciones más importantes del mundo revelaron cerca de 1.500 CVEs de severidad alta y crÃtica, más de 3,5 veces el récord mensual previo al anuncio de Mythos.
De la promesa a la realidad
El Project Glasswing de Anthropic —con socios como Microsoft, Google, Apple y AWS— asegura haber encontrado más de 10.000 vulnerabilidades graves desde que arrancó el programa. OpenAI tiene su propia iniciativa, Daybreak, y el efecto se nota en los registros públicos: Cisco, Oracle, Linux, NVIDIA, Samsung, VMware, Apache y decenas de gigantes tecnológicos están publicando fallos a un ritmo que no se habÃa visto nunca.
En la pega, esto cambia todo. Hasta ahora, un equipo de seguridad podÃa pasar semanas haciendo reversing o fuzzing manual para encontrar un solo bug crÃtico. Ahora, la IA escanea millones de lÃneas de código, identifica patrones de uso inseguro y genera exploits funcionales antes de que el café se enfrÃe. La eficiencia es brutal, no hay cómo negarlo.
El lado oscuro de la herramienta
Pero acá viene el problema, cachai: si la IA puede encontrar vulnerabilidades, también puede explotarlas. Y lo peor es que no estamos hablando de un futuro lejano. Si Anthropic y OpenAI ya tienen modelos capaces de auditar código a escala industrial, es casi seguro que actores maliciosos —estatales o criminales— están haciendo lo mismo con modelos open source o con acceso a APIs sin restricciones.
Mi opinión es clara: este spike de CVEs no es solo buena noticia. Es una señal de alerta. Cada vulnerabilidad publicada es una que ya no deberÃa existir, pero también es una ventana que se abre para quienes buscan exploits zero-day. Estamos en una carrera armamentista donde el tiempo entre descubrimiento y explotación se acorta cada mes.
¿Qué hacer?
Como ingeniero, lo primero que pienso es que necesitamos cambiar la mentalidad. Ya no basta con parchear después del disclosure. Hay que asumir que cualquier sistema que uses —desde el kernel Linux hasta el firmware de tu router— tiene bugs que la IA ya puede encontrar. Eso significa segmentación de redes, zero trust, actualizaciones automáticas y, sobre todo, dejar de confiar en que «nadie va a atacar a una empresa chica».
En resumen: la IA encontrando bugs a escala industrial es un avance técnico impresionante, pero también un recordatorio de que la superficie de ataque nunca fue tan grande y las herramientas del atacante nunca fueron tan accesibles. El desafÃo ahora no es solo descubrir vulnerabilidades más rápido, sino parchearlas antes de que alguien las use en tu contra.
Fuente de inspiración: Disclosed CVEs: 3.5× Spike After Claude Mythos | Epoch AI
