La inteligencia artificial está acelerando la detección de vulnerabilidades, como se vio con 21 fallos hallados en FFmpeg por un agente autónomo. Paralelamente, Google lanzó Chrome 149 con un récord de 429 parches para combatir la avalancha de reportes generados por IA. Esta tendencia obliga a reducir los ciclos de actualización, ya que encontrar errores es ahora más barato y rápido que el proceso humano de corregirlos.

 Dos cosas sucedieron con pocos días de diferencia esta semana. Una startup de seguridad informó sobre 21 vulnerabilidades previamente desconocidas en FFmpeg, la biblioteca de medios presente en casi todo lo que procesa video, todas ellas encontradas por un agente de IA autónomo.

La misma semana, Google lanzó Chrome 149 con parches para 429 errores de seguridad, la cantidad más alta en un solo lanzamiento. Solo los errores de FFmpeg fueron encontrados por IA. El récord de Chrome llegó después de que Google reformara su programa de recompensas para hacer frente a una avalancha de informes generados por IA. Los mecanismos difieren, pero la presión es la misma: la IA está poniendo más vulnerabilidades frente a las personas que deben gestionarlas, y más rápido que antes.

Los hallazgos de FFmpeg provienen de depthfirst, cuyo agente de seguridad autónomo escaneó aproximadamente 1,5 millones de líneas de código C del proyecto y produjo 21 zero-days confirmados, cada uno con una prueba de concepto reproducible. La empresa estima el coste de la ejecución en unos 1.000 dólares. Varios de los errores habían estado latentes entre 15 y 20 años; un desbordamiento de pila en el código de la tabla de descripción de servicios data de 2003 y permaneció intacto durante 23 años.

La mayoría son desbordamientos de montón o pila en analizadores y demultiplexores, abarcando componentes desde el demultiplexor TS hasta el decodificador VP9. depthfirst afirma que algunos ya tienen identificadores CVE; su informe enumera nueve, del CVE-2026-39210 al CVE-2026-39218, y señala que el resto están corregidos pero aún no numerados. También publicaron un PoC.

En noticias separadas, Chrome 149 corrige 429 vulnerabilidades, un récord para un solo lanzamiento. Más de 100 son de severidad crítica o alta, principalmente de tipo use-after-free y validación de entrada insuficiente.

El peor, CVE-2026-10881 (CVSS 9.6), es una lectura y escritura fuera de límites en el motor gráfico ANGLE que permite que una página manipulada escape del sandbox y ejecute código en el host. Google pagó 97.000 dólares por él. Los errores de mayor severidad fueron mayoritariamente hallazgos internos: de aproximadamente 90 errores de severidad alta, solo 10 provinieron de investigadores externos, y 19 de los 22 críticos fueron de la propia Google. La conexión con la IA tiene más que ver con el volumen que con la autoría.

Google no ha vinculado los 429 errores a la IA; la señal oficial es la reforma de las recompensas que realizó en abril, impulsada por una inundación de envíos generados por IA, y que ahora solicita un reproductor conciso en lugar de los largos informes que genera la IA. El agente Big Sleep de Google informó de una serie de errores de FFmpeg el año pasado, ahora visibles en la página de seguridad del proyecto etiquetados como BIGSLEEP, y el modelo Mythos de Anthropic extrajo de FFmpeg un fallo de H.264 de 16 años y otros más por unos 10.000 dólares, tres de los cuales se incluyeron en FFmpeg 8.1, según su propio informe de análisis.

Hace unos días, otra herramienta autónoma encontró un RCE autenticado en Redis que había estado presente desde la versión 7.2.0, sin ser detectado durante más de dos años. La investigación apunta en la misma dirección: un estudio de febrero logró que un agente reprodujera PoCs funcionales para más de la mitad de 100 errores N-day reales del kernel de Linux según este estudio, superando al fuzzing.

Para FFmpeg, descarga la compilación corregida upstream o la actualización de seguridad de tu distribución tan pronto como esté disponible, y prioriza cualquier cosa que ingiera RTSP o AV1-over-RTP no confiables. FFmpeg está ampliamente empaquetado en tuberías de medios, wheels de Python, imágenes de contenedores y dispositivos, por lo que no te detengas en los paquetes del sistema; esas copias embebidas también necesitan parches.

Para Chrome, actualiza a la versión 149.0.7827.53 en Linux o 149.0.7827.53/54 en Windows y macOS, o confirma que la actualización automática se haya ejecutado. La respuesta debe adaptarse al nuevo ritmo: ciclos de parches más cortos, actualizaciones automáticas donde existan, y actualizaciones de dependencias que incluyan correcciones de CVE tratadas como trabajo de seguridad, no como mantenimiento rutinario.

Sin embargo, la parte difícil está cambiando. Encontrar estos errores se ha vuelto barato; triar los informes, lanzar las correcciones e instalarlas no lo es, y gran parte de ese trabajo sigue recayendo en voluntarios y una capa delgada de triadores humanos a los que ahora se les exige seguir el ritmo de las máquinas.

Fuente:
THN