Google dice que la IA ayudó a Chrome a corregir 1.072 fallos de seguridad

Google afirma que la IA ayudó a Chrome a corregir 1.072 fallos de seguridad en Chrome 149 y Chrome 150, superando el total corregido durante las 23 versiones anteriores combinadas.

Google ahora utiliza modelos de lenguaje de gran tamaño en prácticamente todas las etapas del proceso de gestión de vulnerabilidades de Chrome.

Google utiliza la IA en todas las fases de las pruebas de seguridad de Chrome

Los sistemas de IA de Google ayudan a los equipos de seguridad a encontrar vulnerabilidades, reproducir informes de errores y evaluar la gravedad. También derivan los problemas a los equipos adecuados, sugieren parches y generan pruebas para validar las correcciones, al tiempo que filtran spam, duplicados e informes de baja calidad, ahorrando así a los ingenieros cientos de horas cada mes.

Desde 2023, Google ha integrado modelos de lenguaje de gran tamaño en sus sistemas de fuzzing, que prueban el software con entradas inesperadas o mal formadas para encontrar fallos. La empresa afirma que la IA complementa el fuzzing en lugar de sustituirlo, que sigue siendo importante para descubrir vulnerabilidades complejas.

Los archivos de seguridad proporcionan más contexto a las herramientas de IA

Google está animando a los desarrolladores de Chrome a añadir archivos SECURITY.md a sus proyectos.

Estos documentos describen los límites de confianza, los modelos de amenazas, las operaciones sensibles y otras suposiciones de seguridad. Este contexto adicional ayuda a los sistemas de IA a distinguir el comportamiento peligroso de la actividad legítima del navegador.

Google quiere que los desarrolladores proporcionen contexto de seguridad junto con el código para que las herramientas automatizadas puedan generar hallazgos más precisos y reducir los falsos positivos.

Varios agentes de IA pueden revisar correcciones alternativas

Google también está probando flujos de trabajo multiagente en los que varios agentes de IA analizan la misma vulnerabilidad.

Un agente puede generar un parche mientras otro lo revisa en busca de problemas de seguridad, de compatibilidad o de correcciones incompletas, mientras que otros sugieren soluciones alternativas.

En mayo, según los informes, estos sistemas impidieron que más de 20 vulnerabilidades llegaran a producción, incluido un fallo crítico.

Los desarrolladores siguen revisando y aprobando todas las correcciones, y Google posiciona a los agentes como herramientas de apoyo en lugar de sustitutos de los ingenieros humanos o de los procesos de seguridad existentes.

Los informes de errores de Chrome aumentan rápidamente

El Programa de Recompensas por Vulnerabilidades de Chrome ha experimentado un fuerte aumento de envíos: Google ha recibido más informes hasta marzo de 2026 que en todo 2025.

La investigación asistida por IA puede sacar a la luz muchos de los mismos problemas que los sistemas internos, por lo que Google está ajustando las recompensas para dar prioridad a los informes que aporten un valor único, como nuevas técnicas de ataque, fallos no detectados o análisis de impacto más profundos.

Google quiere reducir la brecha de parches de Chrome

El descubrimiento más rápido de vulnerabilidades está empujando a Google a acelerar las actualizaciones de seguridad de Chrome.

Cuando se publica un parche, los atacantes a menudo pueden aplicar ingeniería inversa para encontrar el fallo subyacente, dejando a los usuarios expuestos hasta que instalan la actualización y reinician el navegador. Esto crea una «brecha de parches» en la que pueden surgir exploits antes de que las correcciones se apliquen de forma generalizada.

Para solucionarlo, Google está probando lanzamientos de seguridad de Chrome dos veces por semana y desarrollando parches dinámicos que pueden aplicar algunas actualizaciones sin necesidad de reiniciar. En conjunto, estos cambios pretenden reducir el tiempo entre una corrección y la protección del usuario, minimizando al mismo tiempo las interrupciones.

Las herramientas de seguridad con IA están encontrando más vulnerabilidades

Otras empresas tecnológicas también están utilizando agentes de IA para detectar fallos de software, aunque encontrar errores más rápido no garantiza que los equipos de ingeniería puedan corregirlos de inmediato.

Según los informes, Microsoft no puede solucionar todos los errores encontrados por Claude Mythos de Anthropic, lo que pone de relieve cómo los sistemas de seguridad con IA pueden sacar a la luz vulnerabilidades más rápido de lo que las empresas pueden investigarlas y parchearlas.

Aunque Mythos es útil para descubrir vulnerabilidades, un incidente reciente muestra que los agentes de IA también pueden introducir nuevos riesgos de seguridad cuando los entornos de prueba no están debidamente restringidos, como se vio cuando Anthropic dijo que Claude pirateó tres organizaciones y publicó código malicioso en PyPI durante unas pruebas de seguridad internas.

Mientras tanto, los atacantes siguen recurriendo a la ingeniería social y a las herramientas de acceso remoto en lugar de confiar únicamente en las vulnerabilidades de software. En una campaña independiente, las estafas de soporte técnico de Microsoft Teams provocaron ataques del ransomware Chaos después de que los actores de amenazas persuadieran a los empleados para que les concedieran acceso remoto.