La semana pasada Google sacó un post en su blog de seguridad que me hizo detener la pega un minuto. Resulta que en junio de este año Chrome corrigió más bugs de seguridad que en los dos años anteriores juntos. ¿El truco? Dejaron que la inteligencia artificial haga el trabajo sucio.
Un bug que vivió 13 años en las sombras
Entre las cosas que encontró Gemini hay uno que me dejó helado: un sandbox escape que llevaba más de 13 años escondido en el código de Chrome. Trece años. Eso significa que ese bug estuvo ahí desde antes de que la mitad de los que leen esto supieran qué era un navegador. La wea es que un renderer comprometido podía engañar al browser para que leyera archivos locales del usuario. Clásico, silencioso, y peligroso.
¿Cómo lo encontró la AI? Google montó un sistema de agentes que usan modelos Gemini para escanear el código fuente. No es un fuzzer tradicional: es un agente que lee el código, entiende las fronteras de seguridad, revisa archivos SECURITY.md que los mismos devs escribieron, y hasta tiene un «crítico» separado que verifica si el hallazgo tiene sentido. Básicamente armaron un equipo de pentesters que no duermen ni cobran sueldo.
De encontrar a arreglar, todo automático
El proceso completo se ve así: el agente descubre el bug, otro agente lo reproduce, le asigna severidad, lo deriva al equipo correcto y propone un parche. Según Google, esto les está ahorrando cientos de horas de devs por mes. El triage que antes tomaba entre 5 y 30 minutos ahora se hace sin que un humano tenga que revisar el reporte.
Eso suena bacán, pero me genera una duda que no puedo sacarme de la cabeza: ¿y si la AI empieza a generar falsos positivos a escala industrial? Google dice que tienen guardarraíles, que los modelos corren en máquinas sin internet, con listas blancas estrictas. Pero igual… cuando el que caza el bug y el que lo valida son la misma familia de modelos, el sesgo existe. Es como pedirle a tu hermano que revise tu tarea.
¿Qué significa esto para la ciberseguridad?
En mi opinión, esto es el inicio de una carrera que ya no tiene vuelta atrás. Si Google puede usar AI para encontrar y parchear vulnerabilidades a velocidad de máquina, los atacantes también pueden usar AI para encontrar y explotarlas. La ventaja temporal que tenían los defensores —el tiempo entre que se descubre un bug y se publica el parche— se está reduciendo a casi cero, pero por los dos lados.
Lo que me gusta es que Google también usa esta AI para proyectos open source como OSS-Fuzz, así que el beneficio no se queda solo en Chrome. Pero lo que me preocupa es la dependencia. Si tu postura de seguridad empieza a depender de que un modelo de Gemini encuentre el bug antes que un tipo con un fuzzer casero, estás apostando a un solo caballo. Y ese caballo lo controla una empresa que factura con publicidad.
Mi take final: esta tecnología es inevitable y necesaria. Pero no hay que confundir velocidad con seguridad real. Un parche rápido es mejor que uno lento, pero un código que se escribió bien desde el inicio sigue siendo la única defensa que no depende de nadie más.
Fuente de inspiración: Stronger with every update: How we’re making Chrome and the web safer in the AI Era
