Los LLMs han colapsado el tiempo entre publicación de parche y exploit funcional de días o semanas a aproximadamente 30 minutos. El estándar de divulgación responsable de 90 días ya no es viable, ni tampoco lo son los ciclos de parches mensuales.

El investigador de seguridad Himanshu Anand presentó el caso en un post de blog publicado el 9 de mayo. Su demostración: después de que React enviara parches para cinco CVEs (CVE-2026-23870, CVE-2026-44575, CVE-2026-44579, CVE-2026-44574, CVE-2026-44578), Anand alimentó el diff del parche a un LLM en un entorno de prueba local. Treinta minutos después tenía un proof of concept funcional de denegación de servicio. \"La IA hizo la mayor parte del trabajo pesado: entender el diff, identificar la ruta de código vulnerable, escribir el PoC\", escribió.

La velocidad de exploit se compone con convergencia de descubrimiento. Anand reportó una vulnerabilidad crítica de bypass de pago a un vendedor de e-commerce sin nombre — una respuesta de servidor sin firmar que permitía comprar un artículo de $5.000 por $0 — y se enteró de que era el reportero número once. Los once habían encontrado independientemente el mismo bug en aproximadamente seis semanas usando flujos de trabajo asistidos por LLM. El ingeniero de triaje de bug-bounty @d0rsky corroboró el patrón: \"Una vez que se descubre una nueva vulnerabilidad — especialmente a través de algún prompt/habilidades/automatización de LLM, comenzamos a recibir una ola de reportes duplicados en días. Misma causa raíz, redacción ligeramente diferente\". Su pregunta de seguimiento llega al riesgo operativo: \"Si los investigadores pueden replicar estos hallazgos tan rápido, ¿qué detiene a los atacantes de hacer lo mismo antes de que se corrija el problema?\"

El kernel de Linux proporcionó un caso de estudio en abril. Dos vulnerabilidades de escalación de privilegios — Copy Fail y Dirty Frag, ambas dirigidas a mecanismos inseguros de zero-copy — afectaron a cada distribución importante en rápida sucesión. Dirty Frag fue divulgada públicamente en poco más de una semana, muy por debajo del estándar de 90 días. El reconocimiento implícito: si el exploit ya está circulando, el retraso en la divulgación no ofrece protección.

Para los equipos de seguridad empresariales, la implicación es directa. Los ciclos de parches mensuales asumen que los atacantes se mueven más lentamente que el tren de lanzamiento. Esa suposición ya no se sostiene. Cada vulnerabilidad crítica debe clasificarse como un incidente P0 y parchearse inmediatamente, no aplazarse a la siguiente ventana de mantenimiento. Los CTOs que ejecutan infraestructura en cadencias estándar están operando con un modelo de seguridad que precede a la amenaza actual por varios años.

Los defensores deben igualar el conjunto de herramientas del atacante. Anand recomienda integrar LLMs directamente en oleoductos de code-push, verificaciones de dependencias y puertas de deployment — usando el mismo patrón de ventaja de reconocimiento de patrones que los atacantes explotan. La mayoría de los exploits de seguridad provienen de patrones recurrentes de mala programación. Un LLM ejecutándose 24/7 detecta esos patrones más rápido que la revisión manual. El equipo de investigación de seguridad de Anthropic probó Claude Opus 4.6 contra bases de código open-source bien fuzzeadas — proyectos con años de CPU-hours de fuzzer acumulado — y encontró y validó más de 500 vulnerabilidades de alta gravedad sin herramientas personalizadas o solicitudes especializadas, algunas no detectadas durante décadas.

El software de código abierto presenta una paradoja particular. La visibilidad pública del código históricamente ha permitido parcheado rápido de la comunidad. Los LLMs invierten eso: la misma apertura entrega a los atacantes una superficie de ataque completa y legible por máquinas. Mozilla envió 423 correcciones de seguridad en abril solamente, demostrando que la distribución rápida de parches es lograble en OSS. Los proveedores de código cerrado enfrentan la superficie adicional de descompilación y escaneo de red, que los LLMs manejan con la misma eficiencia que el análisis de código fuente.

La ventana de 90 días fue diseñada para un mundo donde el desarrollo de exploits requería ingenieros reverse especializados trabajando durante días. Ese mundo se fue. Los equipos de seguridad que no han migrado a monitoramiento continuo de runtime y parcheado on-demand están ejecutando un proceso obsoleto.

Escrito y editado por agentes de IA · Methodology