La inteligencia artificial está cambiando la investigación de vulnerabilidades en los principales sistemas operativos. Linux es uno de los casos donde el efecto resulta más visible, con un fuerte aumento de CVE y parches que está poniendo bajo presión a sus mantenedores, pero no es una situación aislada. Microsoft ya utiliza agentes para buscar fallos en Windows, la IA ha encontrado vulnerabilidades en FreeBSD y OpenBSD, y estas técnicas también alcanzan al software que sustenta Android, iOS y macOS. La diferencia está en cuánto se publica y cómo se contabilizan esos hallazgos.

Las claves de la IA buscando vulnerabilidades en 20 segundos

• Linux se aproxima a cifras inéditas de CVE por versión mientras aumenta el análisis automatizado.
• Microsoft atribuye a un sistema agéntico el hallazgo de 16 vulnerabilidades en Windows.
• Investigaciones asistidas por IA han confirmado decenas de fallos en FreeBSD.
• Android combina código abierto, fuzzing y nuevas técnicas de análisis automatizado.
• iOS y macOS publican numerosos fallos del kernel, pero Apple no atribuye de forma comparable su descubrimiento a la IA.

La cuestión obliga a interpretar con cuidado las estadísticas. Que Linux publique muchas más CVE que otro sistema operativo no demuestra automáticamente que sea menos seguro.

Linux, Windows, Android, macOS, iOS y los sistemas BSD tienen modelos de desarrollo, superficies de ataque y políticas de divulgación diferentes. Comparar únicamente el número de CVE sería como comparar el número de averías detectadas en dos vehículos sin saber cuántas inspecciones ha pasado cada uno.

La IA está haciendo que esas inspecciones puedan multiplicarse.

Linux muestra primero el problema de encontrar demasiadas cosas

Durante buena parte de Linux 6.x, el número de CVE corregidas por versión rondaba aproximadamente las 500. Posteriormente se superaron las 1.000 y Linux 7.2 pasó de las 1.500. Si continúa la tendencia, Linux 7.3 podría acercarse o superar las 2.000.

Pero hay dos fenómenos diferentes detrás de esas cifras.

Por un lado está el modelo utilizado actualmente por Linux para asignar identificadores CVE. Por otro, herramientas automatizadas y sistemas de IA permiten revisar continuamente partes del kernel que antes podían pasar mucho tiempo sin recibir una inspección detallada.

Un agente puede analizar controladores antiguos, rutas de error poco frecuentes, subsistemas utilizados por relativamente pocos equipos o código que apenas cambia.

Eso permite encontrar defectos reales.

También produce ruido.

La documentación oficial del kernel advierte de informes asistidos por IA que incluyen consecuencias de seguridad especulativas, reproducciones que no funcionan o explicaciones mucho más extensas de lo necesario. Los mantenedores quieren problemas reproducibles, versiones afectadas identificadas y, cuando sea posible, una corrección que haya sido compilada y probada.

El problema quedó especialmente claro durante el desarrollo de Linux 7.3.

Los responsables de networking Jakub Kicinski y Paolo Abeni tuvieron que gestionar 632 parches para net y otros 648 para net-next. Kicinski estimó que entre un tercio y la mitad de los correspondientes a net-next parecían correcciones menores, limpiezas o aclaraciones relacionadas con herramientas de IA.

La máquina puede generar el hallazgo y proponer el parche en segundos. Un mantenedor todavía tiene que entenderlo, comprobarlo y decidir si merece entrar en Linux.

Ahí está apareciendo el nuevo cuello de botella.

Windows, FreeBSD y Android también están usando IA para buscar fallos

Microsoft se enfrenta al mismo cambio, aunque desde un modelo de desarrollo cerrado.

La compañía presentó en 2026 MDASH, un sistema agéntico de seguridad que utiliza varios modelos para analizar código y buscar vulnerabilidades.

Microsoft asegura que el sistema ayudó a descubrir 16 vulnerabilidades desconocidas en componentes de red y autenticación de Windows, cuatro de ellas clasificadas como críticas y relacionadas con ejecución remota de código.

Es un ejemplo importante porque demuestra que el fenómeno no depende de que el código sea abierto.

Microsoft puede ejecutar estos sistemas internamente contra Windows y publicar únicamente los resultados que decide comunicar. Linux desarrolla buena parte de ese proceso a la vista de cualquiera.

FreeBSD ofrece una comparación más directa.

Su código fuente está disponible y el proyecto ha actualizado sus procedimientos para pedir que los investigadores indiquen cuándo han utilizado herramientas automatizadas o inteligencia artificial para descubrir una vulnerabilidad.

En una campaña más amplia de investigación asistida por IA se confirmaron 34 vulnerabilidades en FreeBSD y siete pruebas de concepto de escalada local de privilegios. La misma iniciativa encontró en OpenBSD un problema de tipo use-after-free en la implementación de semáforos System V que llevaba alrededor de 23 años en el código.

Android introduce otra situación.

Buena parte de su base tecnológica, incluido el Android Open Source Project (AOSP), puede ser examinada por investigadores externos. Google lleva además años utilizando fuzzing y otras formas de análisis automatizado para buscar errores antes de que lleguen a los dispositivos.

La llegada de modelos de lenguaje y agentes de seguridad amplía esas posibilidades: ya no se trata únicamente de enviar millones de entradas aleatorias o semiestructuradas a un programa para provocar un fallo. Un sistema de IA puede intentar comprender relaciones entre funciones, seguir flujos de datos y formular hipótesis sobre cómo alcanzar determinadas condiciones vulnerables.

Sin embargo, no existe actualmente una cifra pública equivalente que permita afirmar que la IA haya encontrado X vulnerabilidades de Android y compararla directamente con las aproximadamente 2.000 CVE que podría acumular una versión de Linux.

Además, Android utiliza el kernel Linux, por lo que existe cierto solapamiento tecnológico. Un fallo del kernel puede afectar potencialmente a Android dependiendo de la versión, configuración y código utilizado por cada dispositivo.

Sistema	Uso o evidencia pública de IA en seguridad	Qué puede concluirse
Linux	Gran volumen de informes y parches asistidos por IA	La revisión humana empieza a limitar la capacidad de procesar hallazgos
Windows	MDASH ayudó a encontrar 16 vulnerabilidades	Microsoft integra agentes en su investigación interna
FreeBSD	34 vulnerabilidades confirmadas en una campaña asistida por IA	La IA puede analizar sistemáticamente kernels maduros
OpenBSD	Hallazgo de un fallo que llevaba unos 23 años en el código	Incluso código muy revisado puede esconder errores antiguos
Android	Amplio uso histórico de análisis automatizado y creciente investigación con IA	Su naturaleza parcialmente abierta facilita análisis a gran escala
macOS	Numerosas correcciones de kernel, sin atribución pública equivalente a IA	No puede compararse su contador directamente con Linux
iOS/iPadOS	Numerosos fallos de kernel corregidos, pero Apple no identifica de forma sistemática cuáles proceden de IA	Las cifras públicas miden correcciones, no específicamente descubrimientos con IA

La tabla también deja claro por qué hay que evitar una clasificación del sistema operativo «con más bugs encontrados por IA». Los datos disponibles no miden lo mismo.

iOS y macOS también tienen muchos fallos de kernel, pero falta una pieza

Apple ofrece un ejemplo particularmente útil.

Las actualizaciones de seguridad de iOS muestran que encontrar problemas en componentes de bajo nivel tampoco es algo exclusivo de Linux.

Solo iOS 26.6 y iPadOS 26.6, publicados el 27 de julio de 2026, corrigieron numerosos problemas relacionados con el kernel. Entre ellos aparecen use-after-free, corrupción de memoria, lecturas y escrituras fuera de límites, condiciones de carrera y problemas capaces de provocar cierres inesperados o exponer memoria del kernel.

Incluso había un desbordamiento de búfer que podía permitir a una aplicación ejecutar código arbitrario con privilegios del kernel.

La actualización iOS 26.6.1 volvió posteriormente a corregir varios problemas del kernel, incluido un use-after-free explotable remotamente para provocar el cierre del sistema y otros errores capaces de leer o corromper memoria del kernel.

Esto no significa que iOS sea especialmente inseguro.

Demuestra exactamente el problema que existe al interpretar las CVE: los sistemas operativos modernos contienen enormes cantidades de código y reciben investigación constante.

Y hay una diferencia importante frente a Linux.

Apple publica quién comunicó muchas vulnerabilidades, pero sus avisos de seguridad no indican sistemáticamente si el investigador utilizó IA para descubrirlas. Por tanto, no sería riguroso sumar las CVE de iOS o macOS y presentarlas como «bugs encontrados por inteligencia artificial».

Con macOS ocurre algo parecido. Además, macOS e iOS comparten tecnologías como el kernel XNU y diferentes frameworks y componentes del sistema. Un mismo tipo de error puede aparecer en varios productos de Apple o requerir correcciones relacionadas.

La opacidad relativa del proceso interno hace imposible observar la actividad con el mismo detalle que en Linux.

La IA cambia el cuello de botella de la seguridad

La transformación más importante probablemente no sea que Linux pueda llegar a 2.000 CVE por versión ni que un agente haya encontrado 16 vulnerabilidades en Windows.

Lo que está cambiando es el coste de buscar errores.

Hasta hace pocos años, localizar una vulnerabilidad compleja podía requerir que un investigador dedicase días o semanas a comprender un componente.

La automatización tradicional ya había cambiado bastante ese proceso. Herramientas de análisis estático, sanitizadores y fuzzers llevan años encontrando enormes cantidades de problemas.

La IA añade otra capa.

Los agentes pueden leer código, formular hipótesis, escribir pruebas, interpretar errores, modificar una prueba y volver a ejecutarla. Si además trabajan de manera autónoma durante horas, la capacidad potencial de inspección aumenta considerablemente.

Eso no elimina al investigador.

De hecho, la experiencia de Linux apunta en la dirección contraria: cuanto más barato resulta producir un posible hallazgo, más importante se vuelve demostrar que es correcto.

El nuevo proceso puede terminar teniendo varias capas. Una IA encuentra una anomalía, otro modelo intenta descartarla, herramientas convencionales ejecutan pruebas y un humano revisa únicamente los resultados que superan esos filtros.

Linux ya está experimentando con modelos para revisar parte de los parches antes de que lleguen al mantenedor.

Los sistemas propietarios pueden hacer algo similar internamente.

Microsoft puede analizar Windows sin publicar cada candidato descartado. Apple podría utilizar herramientas comparables sobre XNU, iOS y macOS sin necesidad de hacer públicos los resultados preliminares. Google dispone además de una larga experiencia combinando investigación humana con automatización para Android y otros proyectos.

La consecuencia es que los contadores públicos de vulnerabilidades podrían resultar todavía menos comparables.

Un proyecto abierto y muy analizado puede parecer peor simplemente porque encuentra, documenta y corrige más defectos a la vista de todos.

La llegada de la IA refuerza esa paradoja.

Linux está mostrando antes que otros sistemas el problema que aparece cuando la capacidad automática de buscar errores empieza a superar la capacidad humana disponible para revisarlos. Windows, Android, FreeBSD, OpenBSD, macOS e iOS no quedan fuera de esa transformación.

La pregunta ya no será únicamente cuántos bugs puede encontrar una inteligencia artificial.

Será cuántos de esos hallazgos pueden reproducirse, evaluar su gravedad y corregirse sin introducir nuevos problemas antes de que la siguiente oleada automática llegue a los mantenedores.

Preguntas frecuentes

¿La IA está encontrando más vulnerabilidades en Linux que en Windows?

No puede afirmarse con los datos disponibles. Linux y Windows utilizan procesos de desarrollo, divulgación y asignación de CVE diferentes, y Microsoft realiza gran parte de su investigación internamente.

¿La inteligencia artificial ha encontrado vulnerabilidades reales en Windows?

Sí. Microsoft ha informado de 16 vulnerabilidades descubiertas con ayuda de su sistema agéntico MDASH, cuatro de ellas clasificadas como críticas.

¿La IA también busca fallos en Android?

Android y sus componentes abiertos llevan años sometidos a fuzzing y análisis automatizado, y las nuevas herramientas de IA amplían las técnicas disponibles. No existe, sin embargo, un contador público directamente comparable con las cifras actuales de Linux.

¿Se están encontrando vulnerabilidades de iOS y macOS con IA?

Es técnicamente posible utilizar IA para investigar estos sistemas, pero Apple no identifica sistemáticamente en sus avisos si una vulnerabilidad fue descubierta mediante inteligencia artificial. Por ello, sus CVE recientes no deben contabilizarse automáticamente como hallazgos de IA.