Google dice que la IA ayudó a Chrome a corregir 1.072 errores de seguridad

Google dice que la IA ayudó a Chrome a corregir 1.072 errores de seguridad en Chrome 149 y Chrome 150, superando el total corregido durante las 23 versiones anteriores combinadas.

Google ahora utiliza modelos de lenguaje de gran tamaño en casi todas las etapas del proceso de gestión de vulnerabilidades de Chrome.

Google usa la IA en todas las pruebas de seguridad de Chrome

Los sistemas de IA de Google ayudan a los equipos de seguridad a encontrar vulnerabilidades, reproducir informes de errores y evaluar la gravedad. También dirigen los problemas a los equipos adecuados, sugieren parches y generan pruebas para validar las correcciones, al mismo tiempo que filtran spam, duplicados e informes de baja calidad, ahorrando así a los ingenieros cientos de horas al mes.

Desde 2023, Google ha integrado modelos de lenguaje de gran tamaño en sus sistemas de fuzzing, que prueban el software con entradas inesperadas o malformadas para encontrar fallos. La empresa afirma que la IA apoya el fuzzing en lugar de reemplazarlo, el cual sigue siendo importante para descubrir vulnerabilidades complejas.

Los archivos de seguridad proporcionan más contexto a las herramientas de IA

Google está alentando a los desarrolladores de Chrome a añadir archivos SECURITY.md a sus proyectos.

Estos documentos describen los límites de confianza, los modelos de amenazas, las operaciones sensibles y otras suposiciones de seguridad. Este contexto adicional ayuda a los sistemas de IA a distinguir el comportamiento peligroso de la actividad legítima del navegador.

Google quiere que los desarrolladores proporcionen contexto de seguridad junto con el código para que las herramientas automatizadas puedan producir hallazgos más precisos y reducir los falsos positivos.

Varios agentes de IA pueden revisar correcciones alternativas

Google también está probando flujos de trabajo multiagente en los que varios agentes de IA analizan la misma vulnerabilidad.

Un agente puede generar un parche mientras otro lo revisa en busca de problemas de seguridad, compatibilidad o correcciones incompletas, y otros sugieren soluciones alternativas.

En mayo, se informa que estos sistemas evitaron que más de 20 vulnerabilidades llegaran a producción, incluido un fallo crítico.

Los desarrolladores aún revisan y aprueban todas las correcciones, y Google posiciona a los agentes como herramientas de apoyo en lugar de sustitutos de los ingenieros humanos o de los procesos de seguridad existentes.

Los informes de errores de Chrome aumentan rápidamente

El Programa de Recompensas por Vulnerabilidades de Chrome ha experimentado un fuerte aumento en las presentaciones, y Google ha recibido más informes hasta marzo de 2026 que en todo 2025.

La investigación asistida por IA puede sacar a la luz muchos de los mismos problemas que los sistemas internos, por lo que Google está ajustando las recompensas para priorizar los informes que aporten un valor único, como nuevas técnicas de ataque, fallos no detectados o un análisis de impacto más profundo.

Google quiere reducir la brecha de parches de Chrome

El descubrimiento más rápido de vulnerabilidades está impulsando a Google a acelerar las actualizaciones de seguridad de Chrome.

Cuando se publica un parche, los atacantes a menudo pueden realizar ingeniería inversa para encontrar el fallo subyacente, dejando a los usuarios expuestos hasta que instalen la actualización y reinicien el navegador. Esto crea una «brecha de parches» en la que los exploits pueden aparecer antes de que las correcciones se apliquen de forma generalizada.

Para solucionarlo, Google está probando lanzamientos de seguridad de Chrome dos veces por semana y desarrollando parches dinámicos que pueden aplicar algunas actualizaciones sin necesidad de reiniciar. En conjunto, estos cambios pretenden reducir el tiempo entre una corrección y la protección del usuario, minimizando al mismo tiempo las interrupciones.

Las herramientas de seguridad con IA encuentran más vulnerabilidades

Otras empresas tecnológicas también están utilizando agentes de IA para detectar fallos de software, aunque encontrar errores más rápido no garantiza que los equipos de ingeniería puedan corregirlos de inmediato.

Según se informa, Microsoft no puede solucionar todos los errores encontrados por Claude Mythos de Anthropic, lo que pone de relieve cómo los sistemas de seguridad de IA pueden sacar a la luz vulnerabilidades más rápido de lo que las empresas pueden investigarlas y parchearlas.

Aunque Mythos es útil para descubrir vulnerabilidades, un incidente reciente muestra que los agentes de IA también pueden introducir nuevos riesgos de seguridad cuando los entornos de prueba no están debidamente restringidos, como se vio cuando Anthropic dijo que Claude hackeó tres organizaciones y publicó código malicioso en PyPI durante pruebas de seguridad internas.

Mientras tanto, los atacantes siguen dependiendo de la ingeniería social y de las herramientas de acceso remoto en lugar de basarse únicamente en las vulnerabilidades del software. En una campaña aparte, las estafas de soporte técnico de Microsoft Teams condujeron a ataques del ransomware Chaos después de que los actores de amenazas persuadieran a los empleados para que les concedieran acceso remoto.