Las vulnerabilidades CVE mensuales pasaron de 3 173 a 7 765 en dos años. Un estudio de Echo sostiene que el verdadero cuello de botella no es descubrir fallos, sino validarlos y corregirlos a tiempo.
La inteligencia artificial está acelerando la búsqueda de vulnerabilidades de software a una velocidad que hasta hace poco parecía difícil de asumir para los equipos de ciberseguridad. Pero la temida avalancha de fallos podría ser más manejable de lo esperado.
Los datos son contundentes. Las vulnerabilidades CVE divulgadas cada mes aumentaron un 145% en apenas dos años, pasando de 3 173 en junio de 2024 a 7 765 en junio de 2026. Parte del crecimiento está relacionado con la ampliación del propio ecosistema CVE, pero también con el avance de las herramientas automatizadas y de IA capaces de encontrar fallos de seguridad.
La paradoja es que el problema empresarial puede estar en otro lugar. Una investigación de la compañía de seguridad de la cadena de suministro Echo concluye que una enorme proporción de vulnerabilidades ya dispone de solución, pero muchas organizaciones tardan meses en instalar los parches disponibles.
La IA acelera la detección de vulnerabilidades
Echo analizó cerca de 40 000 ciclos de vida de vulnerabilidades CVE correspondientes a 250 proyectos de contenedores de código abierto.
El estudio combina un año de telemetría de su plataforma, respuestas de más de 80 responsables de seguridad y un análisis independiente de Claude Mythos, el sistema de investigación de vulnerabilidades de Anthropic. Los resultados aparecen recogidos en su Mythos Readiness Report.
La tendencia resulta difícil de ignorar.
En 2023 se divulgaron 30 949 CVE. Para 2025, el número había aumentado hasta 49 979. Los datos acumulados durante 2026 apuntan a que este año podría terminar todavía por encima.
La inteligencia artificial está cambiando, además, la velocidad con la que investigadores pueden revisar enormes cantidades de código.
Eso tiene una consecuencia positiva: encontrar antes una vulnerabilidad permite corregirla antes.
Pero existe exactamente el mismo beneficio para un atacante.
Crear un exploit puede costar menos de 2 000 dólares
Uno de los aspectos más preocupantes del estudio es precisamente la reducción del coste y del tiempo necesarios para desarrollar herramientas capaces de aprovechar vulnerabilidades conocidas.
Según el análisis de Echo citado por la publicación especializada, Claude Mythos habría alterado significativamente la economía del desarrollo de exploits, hasta el punto de permitir desarrollar en determinados escenarios un exploit funcional para una vulnerabilidad conocida en menos de un día y por menos de 2 000 dólares.
Esto reduce una barrera que históricamente había favorecido a los defensores.
Antes, descubrir una vulnerabilidad y transformar ese conocimiento en un exploit operativo podía exigir tiempo, experiencia especializada y recursos considerables. Los sistemas de IA pueden automatizar partes de ese trabajo.
La carrera, por tanto, cambia: la misma IA que ayuda a encontrar y reparar fallos también puede reducir el tiempo disponible antes de que esos fallos sean explotados.
Node registra un aumento del 338% en vulnerabilidades conocidas
Los contenedores analizados por Echo muestran la dimensión del crecimiento.
Entre enero y junio de 2026, el número de CVE conocidos en imágenes base de Node habría pasado aproximadamente de 16 000 a 70 000, lo que supone un incremento del 338%.
En las imágenes de Python, el número aumentó desde aproximadamente 17 500 hasta 45 000 durante el mismo periodo.
Sin embargo, esas cifras requieren contexto.
Un aumento del número de vulnerabilidades conocidas no significa automáticamente que el software se haya vuelto proporcionalmente más inseguro. Puede significar también que los sistemas de análisis están encontrando problemas que anteriormente permanecían ocultos.
En ciberseguridad, detectar más fallos puede ser simultáneamente una mala noticia estadística y una buena noticia defensiva.
La IA también se equivoca al determinar qué fallos son realmente críticos
Aquí aparece uno de los hallazgos más interesantes.
Las herramientas de inteligencia artificial pueden encontrar una enorme cantidad de posibles vulnerabilidades, pero clasificar correctamente su gravedad continúa siendo mucho más complicado.
Claude Mythos identificó alrededor de 23 019 vulnerabilidades potenciales durante el periodo estudiado. Sin embargo, menos del 10% habían recibido validación externa o comprobación independiente, según Echo.
La diferencia resulta todavía más clara cuando se observan los casos inicialmente considerados críticos.
De las 27 vulnerabilidades divulgadas públicamente por Anthropic, Mythos clasificó inicialmente ocho con gravedad crítica.
Después de la revisión independiente realizada por investigadores, solamente una de aquellas ocho conservó la clasificación crítica.
El dato pone límites al alarmismo sobre una supuesta “vulnpocalypse” provocada por la inteligencia artificial.
La IA puede generar una montaña de alertas. Pero una alerta generada automáticamente no equivale necesariamente a una vulnerabilidad crítica comprobada y explotable en condiciones reales.
El 89% de las vulnerabilidades analizadas ya tenía solución
La investigación encuentra además un problema mucho más tradicional.
El 89% de las vulnerabilidades examinadas por Echo disponía de una corrección disponible. El porcentaje era incluso superior entre los fallos clasificados con severidad alta o crítica.
A pesar de ello, cerca del 40% de las vulnerabilidades que podían corregirse continuaban sin resolver después de más de seis meses.
Esta cifra cambia sustancialmente el diagnóstico.
Si existe un parche pero la empresa tarda medio año en desplegarlo, el principal problema ya no consiste en que los investigadores no sepan cómo corregir la vulnerabilidad.
El problema es conseguir que la solución llegue efectivamente a producción.
¿Por qué las empresas tardan meses en instalar un parche?
Actualizar un entorno empresarial es bastante más complicado que pulsar un botón.
Un parche puede obligar a actualizar dependencias, comprobar compatibilidades, realizar pruebas, verificar posibles cambios incompatibles y atravesar los procedimientos internos de desarrollo y despliegue.
Multiplicar ese proceso por cientos o miles de vulnerabilidades crea un problema gigantesco de recursos y prioridades.
Los desarrolladores tienen que mantener productos, incorporar nuevas funciones, corregir errores y cumplir objetivos comerciales. La seguridad compite por ese mismo tiempo.
El resultado es un enorme backlog de vulnerabilidades que técnicamente podrían corregirse, pero permanecen abiertas durante meses.
El 56% de los fallos de los contenedores procedía de software innecesario
Echo encontró otra debilidad especialmente significativa.
El 56% de las vulnerabilidades detectadas en los contenedores analizados procedía de paquetes, utilidades, herramientas de desarrollo u otro software que ni siquiera era necesario en producción.
En otras palabras, una parte importante de la superficie de ataque había sido creada por las propias organizaciones al mantener componentes innecesarios.
Esto introduce una estrategia defensiva mucho más sencilla que intentar perseguir cada nueva vulnerabilidad descubierta por IA: reducir desde el principio la cantidad de software expuesto.
Menos dependencias innecesarias implican menos componentes que mantener, menos actualizaciones y potencialmente menos oportunidades para los atacantes.
La «vulnpocalypse» de la IA podría ser manejable
Los números brutos pueden transmitir la sensación de que los departamentos de ciberseguridad se enfrentan a una avalancha imposible de gestionar.
Pero la investigación apunta a una realidad más matizada.
El CTO y cofundador de Echo, Eylam Milner, sostiene que prepararse para esta nueva generación de herramientas resulta más alcanzable de lo inicialmente esperado.
El motivo es que encontrar vulnerabilidades y determinar correctamente su riesgo son problemas diferentes.
La prioridad de las empresas debería ser desarrollar capacidad para validar rápidamente las alertas, determinar cuáles representan un peligro real y colocar las correcciones disponibles en producción con mucha mayor velocidad.
La IA cambia la ciberseguridad, pero no elimina los viejos errores
El crecimiento de las vulnerabilidades descubiertas por inteligencia artificial puede terminar obligando a cambiar la forma en la que trabajan los departamentos de seguridad.
Pretender revisar manualmente cada alerta será cada vez menos viable.
La automatización tendrá que extenderse desde la detección hacia la validación, priorización y gestión de parches, manteniendo supervisión humana en las decisiones críticas.
Pero el estudio deja también una conclusión incómoda para las empresas.
Antes de temer una futura avalancha de vulnerabilidades descubiertas por máquinas, muchas organizaciones podrían obtener importantes mejoras simplemente eliminando software que no necesitan y desplegando mucho más rápido los parches que ya existen.
La IA está acelerando una parte de la carrera. Las vulnerabilidades pueden descubrirse ahora a una velocidad inédita y el desarrollo de exploits también puede reducir drásticamente sus tiempos.
Sin embargo, el gran cuello de botella continúa estando dentro de las propias organizaciones: saber qué amenaza importa realmente y corregirla antes de que lo haga un atacante.
