La apuesta por lo chico y lo local
Cisco acaba de soltar dos modelos de IA open-weight — Antares-350M y Antares-1B — que hacen una sola pega y la hacen bien: encontrar vulnerabilidades conocidas dentro de un codebase sin que tu código tenga que salir de tu servidor. No es otro chatbot corporativo. Es una herramienta que entiende qué archivo toca revisar cuando le pasás un CVE o una descripción de weak spot.
Según sus propios benchmarks, estos modelos chicos le ganan a GPT-5.5 en la tarea específica de localización de vulnerabilidades y cuestan hasta 172 veces menos por consulta. Eso no es marginal; es el tipo de diferencia que cambia si un equipo de seguridad puede usar IA o no. Si eres parte de una pyme, una universidad o un equipo de ciberseguridad con presupuesto ajustado, antes tenías que elegir entre calidad y privacidad. Ahora no.
Por qué esto me parece bacán
Yo llevo años diciendo que el futuro de la IA en seguridad no está en mandar todo a la nube de un vendor grande. La idea de subir el código fuente de tu empresa a un API de terceros para que te diga si tiene bugs me sigue pareciendo… riesgosa, po. Sí, los guardrails existen, pero la realidad es que el código es el activo más sensible que tienes y meterlo en un modelo que no controlas es jugar a la ruleta rusa con tu IP.
Antares corre local. Punto. No necesitas GPU potente, no necesitas créditos de cloud, no necesitas firmar términos de servicio que nadie lee. Lo descargás, lo corrés en tu infraestructura y listo. Ese es el modelo que me hace sentido: IA como herramienta, no como dependencia.
El detalle que importa
Cisco no solo soltó los pesos. También creó su propio benchmark — el Vulnerability Localization Benchmark — con 500 casos reales donde el modelo tiene que navegar un repo desconocido y encontrar el archivo problemático basado en una descripción de vulnerabilidad tipo CWE. Eso es importante porque los benchmarks genéricos de coding no miden esto; miden si un modelo puede arreglar un ticket de Jira, no si sabe leer entre líneas de código ajeno buscando una falla de seguridad.
Y aquí está la caleta: el modelo de 1B parámetros supera a modelos de 70B en esta tarea específica. Eso confirma algo que venía sospechando hace rato: para ciertas pegas de seguridad, no necesitas un modelo gigante que lo sepa todo. Necesitas uno que esté entrenado para buscar bien, que sepa cuándo retroceder, cuándo revisar otro archivo y cuándo darte un ranking de candidatos en vez de una respuesta genérica.
Lo que viene
Cisco ya dijo que viene un Antares-3B pronto. Mientras tanto, los dos modelos actuales están en Hugging Face bajo licencia open-weight. No es open source puro — la arquitectura y los datos de entrenamiento no están publicados — pero es un paso más allá de la caja negra que nos tenían acostumbrados.
En mi opinión, esto es lo que debería haber pasado hace dos años: modelos especializados, locales y auditables para tareas críticas de seguridad. Si la IA va a ser parte de nuestra pega de defensa, al menos que sea una herramienta que controlemos nosotros y no al revés.
Fuente de inspiración: Introducing Antares: Highly Efficient Open Weight AI Models for Vulnerability Localization
