La IA colapsa el programa de recompensas por errores
Google ha suspendido temporalmente la recepción de parte de las notificaciones de su programa de recompensas por vulnerabilidades. Se trata del Open Source Software Vulnerability Rewards Program (OSS VRP), un programa en el que los investigadores informan de problemas de seguridad en el software de código abierto de Google y pueden recibir una recompensa por ello.
La razón parece casi un chiste sobre el progreso tecnológico: el programa se ha visto desbordado por informes automatizados, la mayoría de los cuales eran poco fiables o irrelevantes. El volumen fue tan grande que los especialistas dejaron de poder procesarlos. Por eso, Google no aceptará nuevos informes sobre vulnerabilidades de los productos incluidos en OSS VRP hasta finales de 2026, con el fin de revisar el funcionamiento del programa y buscar una solución más eficaz.
La pausa no afecta a los informes sobre vulnerabilidades de la cadena de suministro del software de código abierto ni a los avisos ya enviados. La empresa también ha propuesto a los investigadores que utilicen otros programas de Google para buscar vulnerabilidades o que recurran al Patch Rewards Program. Google promete presentar una actualización sobre el funcionamiento de OSS VRP en el primer trimestre de 2027.
La inteligencia artificial generativa ayuda de verdad a los especialistas en seguridad. Puede rastrear código a una velocidad enorme en busca de elementos sospechosos y detectar problemas que a una persona le llevarían semanas. El artículo pone como ejemplo a Microsoft: en marzo de 2026 la empresa corrigió 79 vulnerabilidades; en abril, 167; en junio, 200; en agosto, 400; y en septiembre, 966. Ese aumento se relaciona con el inicio del uso del modelo Mythos. Entre otros modelos avanzados mencionados figura GPT-5.6-Cyber.
Pero buscar más rápido no significa obtener resultados de calidad. A principios de agosto, investigadores de 1Password Off-by-1 Labs comprobaron hasta qué punto la IA es capaz de detectar y corregir vulnerabilidades. En el 49,3 % de los casos, el parche no eliminó al menos una de las vías de explotación existentes. Otro 20,1 % de las correcciones resolvió el problema original, pero alteró el comportamiento de la aplicación. En el 2,3 % de los casos, los parches crearon nuevos problemas de seguridad, y en el 2,2 % dejaron la vulnerabilidad abierta y, además, añadieron nuevas formas de ataque.
Incluso entre las correcciones potencialmente aceptables —el 26 % plenamente correctas y el 20,1 % que modificaron el comportamiento de las aplicaciones—, más de un tercio resultaron frágiles y no eliminaron la causa raíz. Según 1Password, el principal problema era la falta de contexto: si se proporciona al modelo más información sobre el código y su entorno, la calidad del resultado mejora notablemente.
Aun así, muchos investigadores utilizan la IA para buscar vulnerabilidades con consultas breves y apenas revisan las respuestas. El resultado son hallazgos erróneos, sin confirmar e incluso inventados.
Google no es la primera empresa que se ahoga en este caudal. A finales de enero de 2026, los desarrolladores de curl —una popular herramienta de línea de comandos y biblioteca de software de código abierto— cerraron su programa en HackerOne debido al gran número de informes falsos. En un aviso publicado en GitHub, el proyecto declaró que ya no pagaría recompensas por errores encontrados ni ayudaría a los investigadores a obtener pagos de otras fuentes.
En mayo de 2026, Linus Torvalds, responsable de la lista de correo de seguridad de Linux, calificó la situación con los informes generados por IA de «casi completamente incontrolable». Según explicó, distintos investigadores encontraban los mismos problemas con las mismas herramientas, generando una enorme cantidad de duplicados. El personal tenía que dedicar tiempo a reenviar los mensajes a las personas adecuadas o a explicar que el problema ya se había corregido y se había debatido públicamente.
La IA ha aprendido a buscar vulnerabilidades más rápido que las personas, pero todavía no sabe distinguir un hallazgo importante de la basura digital. Así que las empresas tienen que dedicar recursos no solo a corregir errores, sino también a comprobar si existen siquiera.
PEREC.RU
Google ha suspendido temporalmente la recepción de nuevos informes en el Open Source Software Vulnerability Rewards Program (OSS VRP), su programa de recompensas por vulnerabilidades en software de código abierto. La empresa justifica la decisión por el fuerte aumento de los envíos automatizados, la mayoría falsos, sin confirmar o irrelevantes para sus productos. El volumen llegó a ser tan grande que procesarlo se volvió prácticamente incontrolable.
La recepción de nuevos informes sobre vulnerabilidades de los productos incluidos en OSS VRP queda suspendida hasta finales de 2026. Google aprovechará este tiempo para revisar el proceso y desarrollar nuevos métodos de filtrado. La pausa no afecta a los informes sobre vulnerabilidades de la cadena de suministro ni a los mensajes ya enviados. La empresa ha propuesto a los investigadores recurrir a otros programas de recompensas de Google o al Patch Rewards Program. Promete anunciar cómo continuará OSS VRP en el primer trimestre de 2027.
La situación refleja la contradicción que plantea el uso de la inteligencia artificial generativa en ciberseguridad. Los modelos pueden buscar errores en el código mucho más rápido que las personas y ayudan a las empresas a encontrar más vulnerabilidades. El artículo pone como ejemplo a Microsoft: en marzo de 2026 corrigió 79 problemas; en abril, 167; en junio, 200; en agosto, 400; y en septiembre, 966. Ese aumento se relaciona con el inicio del uso del modelo Mythos; también se menciona GPT-5.6-Cyber.
Sin embargo, generar correcciones con IA todavía no garantiza la seguridad. Un estudio de 1Password Off-by-1 Labs reveló que el 49,3 % de los parches no eliminaba al menos una vía de explotación existente. En el 20,1 % de los casos, el problema original desaparecía, pero cambiaba el comportamiento de la aplicación. El 2,3 % de las correcciones creó nuevos problemas de seguridad y el 2,2 % dejó abierta la vulnerabilidad original y añadió nuevas vías de ataque.
Incluso entre las correcciones consideradas exitosas, más de un tercio resultó frágil y no eliminó la causa raíz. Los investigadores señalaron que la principal dificultad era la falta de contexto: los modelos funcionan mucho mejor cuando reciben información detallada sobre el código, el entorno y el escenario del ataque.
Pese a ello, muchos investigadores utilizan IA con consultas mínimas y escasa supervisión humana. Así aparecen «hallazgos» erróneos, sin confirmar e inventados que después tienen que revisar los especialistas.
Google no es la primera víctima de este caudal. A finales de enero de 2026, los desarrolladores de curl cerraron su programa de HackerOne tras recibir numerosos informes falsos. En mayo, Linus Torvalds calificó la situación en la lista de correo de seguridad de Linux de «casi completamente incontrolable»: distintas personas encontraban los mismos problemas con las mismas herramientas y generaban montones de duplicados. En vez de analizar nuevas amenazas, los especialistas reenviaban mensajes a las personas adecuadas o explicaban que el problema ya estaba corregido.
La conclusión es sencilla: la inteligencia artificial ha acelerado enormemente la búsqueda de vulnerabilidades, pero aún no distingue de forma fiable una amenaza real de un error, una repetición o una invención. Por eso, la revisión humana sigue siendo imprescindible.
