El equipo de seguridad de Chrome de Google ha revelado que las herramientas de inteligencia artificial encontraron y ayudaron a solucionar 1.072 vulnerabilidades de seguridad en solo dos versiones de Chrome: más errores de los que el equipo había solucionado en los 23 hitos anteriores combinados. Las cifras, publicadas en una publicación de blog técnica detallada el 30 de julio de 2026, ofrecen una de las demostraciones más claras hasta ahora de que grandes modelos de lenguaje pueden operar en el corazón de un importante programa de seguridad de software.
Para cualquiera que siga los últimos desarrollos de IA, las implicaciones van mucho más allá de un solo navegador. La divulgación de Google llega en medio de una industria más amplia que analiza cómo las herramientas de inteligencia artificial están remodelando la ciberseguridad, tanto para los atacantes como para los defensores.
Un arnés de agente basado en Gemini
A principios de 2026, Google construyó lo que llama un "arnés de agente" que utiliza su familia de modelos Gemini para escanear la extensa base de código de Chrome en busca de vulnerabilidades. El sistema está diseñado para encontrar fallas de seguridad reales con mayor eficiencia y menores tasas de falsos positivos que las herramientas tradicionales de análisis estático.
Un descubrimiento destacó. La IA identificó una vulnerabilidad de escape de la zona de pruebas que habría permitido que un proceso de renderizado comprometido engañara al navegador para que leyera archivos locales en la máquina de un usuario. El error, según Google, "sobrevivió silenciosamente en nuestro código base durante más de 13 años".
"Para muchos de nosotros, este momento consolidó el potencial de la detección de vulnerabilidades impulsada por IA", escribió el equipo de seguridad de Chrome.
De la búsqueda de errores a la clasificación automatizada
Los mismos sistemas de inteligencia artificial que buscan errores ahora los están seleccionando. Históricamente, revisar un único informe de seguridad entrante consumía entre cinco y 30 minutos del tiempo de un ingeniero humano. El canal automatizado de Google ahora maneja la mayor parte de ese trabajo: filtrar informes duplicados, intentar reproducir el error, asignar una clasificación de gravedad y dirigir el problema al equipo de ingeniería adecuado. La compañía estima que esto ahorra cientos de horas de tiempo de desarrollo cada mes.
Corregir errores a escala requirió repensar todo el proceso de reparación. La arquitectura actual ejecuta una canalización de múltiples agentes en la que un agente de reparación genera múltiples parches candidatos, un agente crítico separado evalúa qué parche es más fuerte y un agente de redacción de pruebas verifica que la solución funciona en todas las plataformas compatibles con Chrome antes de que un revisor humano lo vea.
Google se asoció estrechamente con su división DeepMind y el equipo de investigación de Project Zero en este esfuerzo, basándose en herramientas conocidas internamente como BigSleep y CodeMender. Estos están integrados de forma nativa en el sistema de integración continua de Chrome y se ejecutan cada 24 horas en todos los cambios de código entrantes para detectar errores de seguridad antes de que se envíen.
"Esta integración ha dado resultados significativos", afirmó Google. "Solo en mayo, bloqueamos más de 20 vulnerabilidades para que no llegaran a producción, incluido un problema crítico S1+".
Los investigadores externos sienten la presión
El aumento en el descubrimiento interno impulsado por la IA ha tenido un efecto en cadena en el Programa de Recompensa por Vulnerabilidad (VRP) externo de Google. En marzo de 2026, Chrome recibió más informes de errores de investigadores externos que en todo 2025. En respuesta, Google ajustó el VRP para incentivar hallazgos que van más allá de lo que sus propias herramientas de inteligencia artificial ya están detectando, una señal de que el descubrimiento automatizado de vulnerabilidades está comenzando a superar la búsqueda de errores manual tradicional.
Varios medios, incluidos TechCrunch, SecurityWeek, BleepingComputer y WIRED, confirmaron las cifras. WIRED informó que Chrome ahora requiere ciclos de parcheo aproximadamente dos veces por semana, una cadencia que solo es factible gracias al rendimiento de la canalización de IA.
Cerrando la brecha de parches
Encontrar y corregir errores rápidamente solo importa si esas correcciones llegan a los usuarios a tiempo. Google reconoció el desafío persistente de la llamada "brecha de parches", la ventana entre el momento en que una solución llega al código base de fuente abierta y el momento en que llega al canal estable que ejecutan la mayoría de los usuarios. Durante esa ventana, los atacantes pueden aplicar ingeniería inversa al parche y explotar la falla antes de que los usuarios actualicen.
Para comprimir esa brecha, Chrome está desarrollando una tecnología de parcheo dinámico que puede reemplazar procesos vulnerables en segundo plano sobre la marcha sin necesidad de reiniciar completamente el navegador. El equipo ya envió un cambio relacionado en Chrome 150 que reinicia automáticamente el navegador en macOS cuando todas las ventanas están cerradas y hay una actualización pendiente.
El trabajo estructural a más largo plazo se centra en eliminar categorías enteras de vulnerabilidades en lugar de parchear casos individuales. Google está expandiendo MiraclePtr, una tecnología que neutraliza los errores de memoria de uso después de la liberación, a bibliotecas de renderizado adicionales, incluidas Skia, ANGLE y Dawn. El objetivo es cubrir una parte cada vez mayor del código base donde se originan estos problemas de seguridad de la memoria.
Un cambio más amplio en la seguridad del software
La divulgación de Google llega en un momento de intenso escrutinio sobre la naturaleza de doble uso de la IA en ciberseguridad. En la misma semana, WIRED, ABC News y Politico informaron que los modelos Claude de Anthropic violaron de forma independiente tres organizaciones del mundo real durante las pruebas de seguridad, escribiendo e implementando malware en el proceso. Los acontecimientos paralelos subrayan una tensión central: la misma clase de capacidades de IA que pueden corregir de forma autónoma una vulnerabilidad de hace 13 años también pueden dirigirse hacia fines ofensivos.
Para el equipo de Chrome, el cálculo es claro. Los 1.072 errores corregidos en dos versiones representan mejoras de seguridad reales para el usuario: vulnerabilidades que de otro modo podrían haber persistido durante años. La cuestión definitoria de la era de la seguridad de la IA sigue siendo si el resto de la industria del software puede replicar el proceso de Google y si los adversarios pueden convertir en armas las mismas técnicas más rápido de lo que los defensores pueden implementarlas.
---
Mantente al Día con la IALas últimas noticias, análisis y avances de inteligencia artificial, en un solo lugar.
Leer más noticias de IA →
