--- title: Búsqueda de vulnerabilidades con IA url: https://ftrlg.com/es/wiki/ai-vulnerability-discovery/ lang: es published: 2026-10-24 version: 1 summary: Modelos de lenguaje y agentes hallan solos agujeros en programas, los reproducen y escriben parches, y también exploits. Los hallazgos se multiplican y casi no queda tiempo entre divulgación y ataque. cite_as: "future.log, «Búsqueda de vulnerabilidades con IA», https://ftrlg.com/es/wiki/ai-vulnerability-discovery/" license: CC BY 4.0 https://creativecommons.org/licenses/by/4.0/ --- # Búsqueda de vulnerabilidades con IA **La búsqueda de vulnerabilidades con IA** (en inglés, *AI vulnerability discovery*) es la búsqueda, con [modelos de lenguaje grandes](https://ftrlg.com/es/wiki/large-language-model/) y agentes basados en ellos, de errores en los programas que permiten atacarlos. El modelo lee el código como un investigador, formula una hipótesis sobre dónde puede fallar y la comprueba por sí mismo —ejecuta el programa, reproduce el fallo—, y a menudo propone la corrección en el acto. La misma habilidad sirve también para escribir exploits, programas que aprovechan la vulnerabilidad. La búsqueda automática de errores existe desde finales de la década de 1980: el fuzzing le da al programa datos aleatorios y espera a que se caiga. Los modelos de lenguaje aportaron lo que al fuzzing le faltaba: entender lo que hace el código. Desde 2024, los sistemas de IA encuentran vulnerabilidades en los proyectos más revisados, como SQLite, el núcleo de Linux y, en 2026, también OpenBSD; en 2026 los hallazgos son ya tantos que los mantenedores piden frenar, y el tiempo entre la divulgación de una vulnerabilidad y el ataque, según la estimación de Mandiant, se ha vuelto negativo: la explotación empieza cada vez más a menudo antes de que salga la corrección.[^1][^8][^15][^16][^20] ## Historia - **Otoño de 1988** Barton Miller (Universidad de Wisconsin) les pone a sus estudiantes una tarea: darles entradas aleatorias a las utilidades de UNIX y ver cuáles se caen. Así nace el fuzzing; el informe sobre los primeros experimentos se publica en 1990.[^2] - **04.08.2016** Final del Cyber Grand Challenge de DARPA: sistemas automáticos, sin intervención humana, buscan, corrigen y explotan vulnerabilidades unos de otros; gana Mayhem, de la empresa ForAllSecure.[^3] - **01.12.2016** Google lanza OSS-Fuzz, un servicio gratuito de fuzzing continuo para proyectos abiertos. Hasta mayo de 2025 había ayudado a encontrar y corregir más de 13.000 vulnerabilidades y 50.000 errores de otro tipo en 1000 proyectos.[^4][^5] - **01.11.2024** El agente Big Sleep (Google Project Zero y [Google DeepMind](https://ftrlg.com/es/models/google-deepmind/)) encuentra en SQLite un error explotable de gestión de memoria; se corrigió el mismo día, antes de que llegara a una versión publicada. Google lo presenta como el primer ejemplo público de un agente de IA que encuentra una vulnerabilidad explotable de este tipo, hasta entonces desconocida, en un programa de uso generalizado.[^1] - **20.11.2024** Google informa de que OSS-Fuzz, con modelos de lenguaje que escriben por sí mismos los arneses (*harnesses*) de fuzzing, ha encontrado 26 vulnerabilidades, entre ellas CVE-2024-9143 en OpenSSL.[^6] - **31.03.2025** Microsoft cuenta cómo encontró con ayuda de Security Copilot 20 vulnerabilidades en cargadores de arranque: 11 en GRUB2 y 9 en U-Boot y Barebox.[^7] - **22.05.2025** El investigador Sean Heelan encuentra con el modelo o3 de [OpenAI](https://ftrlg.com/es/models/openai/) la vulnerabilidad CVE-2025-37899 en la implementación de SMB del núcleo de Linux, a través de la API normal del modelo, sin andamiaje agéntico ni herramientas.[^8] - **24.06.2025** El pentester autónomo XBOW llega al primer puesto de la clasificación estadounidense de la plataforma HackerOne: unos 1060 informes, de los que 130 se cerraron como resueltos.[^9] - **08.08.2025** Final del AIxCC de DARPA: en 63 retos, los sistemas de IA encontraron 54 vulnerabilidades introducidas a propósito y corrigieron 43; además, encontraron 18 reales que nadie había introducido.[^11] - **06.10.2025** Google DeepMind presenta CodeMender, un agente que no solo encuentra vulnerabilidades, sino que también las corrige; para esa fecha, los proyectos abiertos ya habían aceptado 72 de sus correcciones.[^12] - **18.01.2026** Heelan publica un experimento en el que agentes basados en Claude Opus 4.5 y GPT-5.2 escribieron más de 40 exploits distintos para una vulnerabilidad de QuickJS en 6 escenarios; una ejecución de Opus 4.5 costaba unos $30.[^13] - **05.02.2026** [Anthropic](https://ftrlg.com/es/models/anthropic/) informa de que Claude Opus 4.6 ha encontrado en código abierto más de 500 vulnerabilidades de gravedad alta, verificadas por personas.[^14] - **07.04.2026** Anthropic anuncia Claude Mythos Preview: durante las pruebas, el modelo, cuando se le pedía, encontraba y explotaba vulnerabilidades de día cero en todos los principales sistemas operativos y navegadores, entre ellas un error de OpenBSD de 27 años de antigüedad. No está previsto abrir el modelo al público; con él se ha puesto en marcha Project Glasswing, un programa para proteger el software más importante.[^15] - **22.05.2026** Anthropic hace balance: en más de 1000 proyectos abiertos, Mythos Preview encontró 6202 vulnerabilidades de gravedad alta o crítica —según la estimación del propio modelo—; de las 1752 que verificaron empresas independientes, el 90,6% resultaron reales. Algunos mantenedores pidieron frenar la divulgación: no les da tiempo a corregirlas.[^16] - **08.10.2026** Anthropic lanza Cyber Mission: un programa de protección de la infraestructura crítica que pone modelos e ingenieros al servicio de los defensores y ofrece escaneo gratuito de vulnerabilidades en proyectos abiertos.[^17] ## Cómo funciona **Fuzzing.** Al programa se le dan millones de entradas aleatorias o ligeramente estropeadas y se anota con cuáles se cae. El método no entiende el código y encuentra sobre todo los errores a los que se puede llegar «a sacudidas»; la parte difícil es el arnés que hace llegar los datos a la función adecuada. Eso fue lo primero que empezaron a escribir los modelos de lenguaje (OSS-Fuzz, 2024).[^4][^6] **Lectura del código.** El modelo recibe un fragmento de código y busca errores en él igual que una persona en una revisión. Así encontró Heelan la vulnerabilidad del núcleo de Linux. Big Sleep busca «variantes»: parte de un error ya corregido y busca otros parecidos que el fuzzing pasa por alto.[^1][^8] **Verificación del hallazgo.** Para no inundar a las personas de falsas alarmas, el agente reproduce el fallo por sí mismo: compila el programa, lo ejecuta con los datos encontrados y a veces escribe un exploit que funciona. En XBOW, cada hallazgo lo confirman unos «validadores»: comprobaciones automáticas, unas basadas en un modelo de lenguaje y otras en programas convencionales.[^1][^9] **Corrección.** El mismo agente propone un parche y ejecuta las pruebas. En la final del AIxCC, los sistemas corrigieron 43 de las 54 vulnerabilidades encontradas; todas las correcciones de CodeMender las revisan personas antes de enviarlas a los proyectos.[^11][^12] ## Datos **Cuánto tiempo queda para corregir** | Quién y cuándo | Qué se midió | Qué se encontró | |---|---|---| | Mandiant (Google), 15.10.2024[^19] | Tiempo medio desde la divulgación de una vulnerabilidad hasta su explotación | 63 días en 2018–2019, 44 en 2020, 32 en 2021–2022 y 5 en 2023. Salvedad de los autores: 5 días es la media tras excluir 15 valores atípicos; con ellos, 47 días. | | M-Trends 2026 (Mandiant), 23.03.2026[^20] | El mismo tiempo, en el nuevo informe | Según la estimación, menos 7 días: la explotación suele empezar antes de que salga la corrección. | | VulnCheck, 21.01.2026[^21] | Proporción de las vulnerabilidades explotadas conocidas que fueron atacadas el día de publicación del CVE o antes | 28,96% en 2025. | | VulnCheck, 28.07.2026[^22] | Lo mismo para el primer semestre de 2026; aparte, las vulnerabilidades encontradas con ayuda de IA | 23,43%. De 1061 vulnerabilidades encontradas con ayuda de IA, en ataques reales se han confirmado 14 (1,3%), más o menos como en el conjunto de las vulnerabilidades. | **Cuántas vulnerabilidades se divulgan** | Quién y cuándo | Qué se contó | Qué se encontró | |---|---|---| | Jerry Gamblin, 01.01.2026[^24] | CVE publicados en el año | 48.185 en 2025, un 20,6% más que en 2024 (39.962). | | Epoch AI, 02.07.2026[^25] | CVE de gravedad alta y crítica de 21 grandes organizaciones al mes | Unos 1500 en junio de 2026, más de 3,5 veces el récord mensual anterior a la salida de Mythos Preview. | | Google Threat Intelligence, 30.09.2026[^23] | Vulnerabilidades divulgadas y explotadas al mes | Las divulgaciones pasaron de 5045 en enero de 2026 a 10.740 en agosto; las explotadas, de una media de 10,5 al mes en 2025 a 18 en enero–agosto de 2026, y las de día cero, de 8 a 11 al mes. | **Qué saben hacer los modelos** | Quién y cuándo | Qué se comprobó | Qué se encontró | |---|---|---| | Fang et al., 04.2024[^26] | Si un agente basado en GPT-4 puede explotar por sí solo 15 vulnerabilidades ya divulgadas | 87% si se le da la descripción del CVE; 7% sin ella. | | Heelan, 05.2025[^8] | Cuántas veces encuentra o3 una vulnerabilidad conocida del núcleo de Linux (CVE-2025-37778) en 100 ejecuciones | En un fragmento de código de 3300 líneas, 8 veces, y en otras 28 ejecuciones, falsas alarmas. En 12.000 líneas, 1 vez de 100, pero en otras ejecuciones el modelo encontró una vulnerabilidad nueva, CVE-2025-37899; en este experimento, el autor calculó una relación entre señal útil y ruido de alrededor de 1 a 50. | | VulnCheck, 08.09.2026[^27] | Qué ha sido de los hallazgos de Project Glasswing anunciados por Anthropic | De los 26.153 hallazgos anunciados, se han corregido 202 (0,8%) y han llegado al registro de divulgaciones 2736 (10,5%). Claude calificó como críticos o altos el 91,5% de sus hallazgos; los mantenedores, el 51,3%. | > **[CONCLUSIÓN DE LA REDACCIÓN]** La ventana para corregir ya se estrechaba antes de los modelos de lenguaje: según Mandiant, de 63 días en 2018–2019 a 5 días en 2023, y en el informe de 2026, hasta una estimación de «menos 7 días». Las metodologías cambian de un informe a otro y la propia Mandiant advierte de los valores atípicos, así que la serie marca una dirección, no una medición exacta. Lo que cambian los modelos se ve en el recuento de divulgaciones: de enero a agosto de 2026, su número mensual se multiplicó aproximadamente por dos (Google), y en junio las graves superaron en más de 3,5 veces el récord anterior (Epoch AI). Al mismo tiempo, los hallazgos de la IA, por ahora, no se atacan más que los demás —1,3% (VulnCheck)—, y de los hallazgos de Glasswing se ha corregido menos del uno por ciento. El cuello de botella ya no es la búsqueda, sino la corrección. ## Incidentes ### SQLite: la IA se adelantó a los atacantes, julio de 2025 Google informó de que Big Sleep, a partir de datos de su inteligencia de amenazas, había encontrado en SQLite la vulnerabilidad CVE-2025-6965, que era «conocida solo por actores de amenazas» y estaba a punto de ser aprovechada. La empresa lo calificó como el primer caso en que un agente de IA frustró directamente un intento de explotar una vulnerabilidad en un entorno real; no dio detalles sobre los propios atacantes.[^10] ### BeyondTrust: un hallazgo de la IA, atacado a los cuatro días, 2026 La vulnerabilidad CVE-2026-1731 en BeyondTrust Privileged Remote Access y Remote Support —ejecución de comandos sin iniciar sesión— la encontró el agente autónomo Hacktron AI. Cuatro días después de la divulgación, Google vio cómo la explotaba un grupo de atacantes, y después otros cinco. La propia Google califica estos casos de «un indicio temprano más que una tendencia consolidada».[^23] ### PHP: la ventana se cerró antes del lanzamiento, octubre de 2026 El 21 de octubre, PHP publicó versiones urgentes que cierran dos vulnerabilidades críticas que permiten ejecutar código en el servidor sin autenticación. Las comunicaron de forma independiente un investigador de la empresa Calif, que revisaba PHP dentro del programa Patch the Planet de OpenAI, la propia OpenAI y Wiz.[^18] El lanzamiento coordinado se vino abajo por partes. La víspera se filtraron los números de CVE, Calif publicó por error un vídeo con un exploit que funcionaba y Chainguard subió imágenes compiladas con la corrección más de seis horas antes del lanzamiento. Según la PHP Foundation, el vídeo aceleró la aparición de exploits, pero entre los que habían aparecido en la red no había encontrado, en el momento del lanzamiento, ninguno que funcionara.[^18] Dos días después, SANS también escribía que, hasta donde se sabía, no había ningún exploit público fiable, y que entre los publicados había «una cantidad increíble» de basura generada por IA.[^34] ## Críticas **Ruido.** Los primeros informes hechos con IA eran sobre todo basura. En 2024, Seth Larson, de la Python Software Foundation, se quejó de un aluvión de «informes de seguridad de calidad extremadamente baja, con pinta de spam y alucinados por LLM», y cURL cerró en enero de 2026 su programa de recompensas por vulnerabilidades, desbordado por los informes de IA. Más detalles en el artículo «[Crisis de mantenedores](https://ftrlg.com/es/wiki/maintainer-crisis/)».[^29][^33] **El giro.** En la primavera de 2026, las quejas cambiaron: hay más informes, pero son reales. Greg Kroah-Hartman, mantenedor del núcleo estable de Linux, dijo en marzo de 2026 que «el mundo cambió» y que todos los equipos de seguridad de los proyectos abiertos ven lo mismo. Michael Catanzaro, de GNOME, escribió en julio que «los informes sin IA son ahora moderadamente inusuales».[^31][^32] Ya antes, el autor de cURL, Daniel Stenberg, había aceptado 22 correcciones a partir de una lista que Joshua Rogers reunió con herramientas de IA.[^30] **El cuello de botella son las personas que corrigen.** Encontrar se ha vuelto más barato que corregir. Los mantenedores pidieron a Anthropic que frenara la divulgación; según el recuento de VulnCheck, de los hallazgos de Glasswing se ha corregido menos del uno por ciento, y el modelo valora la gravedad por encima de lo que la valoran los propios mantenedores (91,5% frente a 51,3%).[^16][^27] **Cifras llamativas.** Las afirmaciones de los laboratorios son difíciles de verificar: en abril de 2026, The Register, junto con VulnCheck, contó los CVE atribuibles a Glasswing: «quizá 40. O quizá ninguno en absoluto».[^28] Incluso la «primacía» es discutible: OSS-Fuzz y Big Sleep presentaron sus hallazgos como los primeros en el mismo mes de 2024, con formulaciones distintas.[^1][^6] **Doble uso.** Un modelo que encuentra y verifica una vulnerabilidad también escribe el exploit. Heelan concluye de su experimento que la capacidad de un Estado o de un grupo para atacar redes pronto no estará limitada por el número de hackers, sino por el de tokens. Mandiant, en cambio, es prudente: no considera 2025 el año en que las intrusiones pasaron a ser resultado directo de la IA.[^13][^20] ## Evolución Los grandes laboratorios de IA convierten la búsqueda de vulnerabilidades en programas para los defensores: Google, en Big Sleep y CodeMender; OpenAI, en Patch the Planet; Anthropic, en Project Glasswing y Cyber Mission, con escaneo gratuito de código abierto.[^1][^12][^16][^17][^18] Los proyectos abiertos responden cambiando sus reglas de recepción de informes: en GNOME, los informes sin IA son ahora «moderadamente inusuales» y, según Catanzaro, ya no tiene sentido organizar el proceso pensando en ellos.[^32] > **[CONCLUSIÓN DE LA REDACCIÓN]** Buscar vulnerabilidades ha dejado de ser un oficio raro: la máquina encuentra, reproduce y escribe la corrección, y por unas decenas de dólares por ejecución, también el exploit. Por ahora, los hallazgos de la IA no aparecen en ataques reales más que los demás (VulnCheck), y la propia Google califica estos casos de indicio temprano. La ventaja de los defensores choca con las personas que corrigen: hay menos correcciones que hallazgos, y la ventana entre la divulgación y el ataque ya es negativa. Lo decisivo ya no es quién encuentra la vulnerabilidad, sino lo rápido que se cierra. ## Señales - 2026-03-26 — Greg Kroah-Hartman: «Hace meses recibíamos lo que llamábamos «basura de IA», … Algo pasó hace un mes y el mundo cambió. Ahora recibimos informes reales. … Todos los proyectos de código abierto reciben informes reales hechos con IA, pero son buenos y son reales.» — mantenedor del núcleo estable de Linux, en una entrevista con The Register en la KubeCon Europe (https://ftrlg.com/es/signals/ci46tmiv4/) - 2026-01-18 — Sean Heelan: «Debemos empezar a asumir que, en un futuro próximo, el factor que limite la capacidad de un Estado o de un grupo para desarrollar exploits, entrar en redes, escalar privilegios y permanecer en esas redes será su capacidad de procesar tokens a lo largo del tiempo, y no el número de hackers que emplee.» — investigador de vulnerabilidades, en su blog, tras un experimento en el que agentes de IA escribieron más de 40 exploits (https://ftrlg.com/es/signals/c3gwbn3uh/) ## Véase también [PHP2Shell](https://ftrlg.com/es/wiki/php2shell/) · [Defensa de objetivo móvil](https://ftrlg.com/es/wiki/moving-target-defense/) · [Crisis de mantenedores](https://ftrlg.com/es/wiki/maintainer-crisis/) · [Código abierto](https://ftrlg.com/es/wiki/open-source/) · [Agentes de IA autónomos](https://ftrlg.com/es/wiki/autonomous-ai-agents/) · [Seguridad de la IA](https://ftrlg.com/es/wiki/ai-safety/) · [Vibe coding](https://ftrlg.com/es/wiki/vibe-coding/) · [Modelo de lenguaje grande](https://ftrlg.com/es/wiki/large-language-model/) ## Referencias [^1]: From Naptime to Big Sleep: Using Large Language Models To Catch Vulnerabilities In Real-World Code — Google Project Zero, 01.11.2024. [projectzero.google](https://projectzero.google/2024/10/from-naptime-to-big-sleep.html) [^2]: B. Miller. Fuzz Testing of Application Reliability — University of Wisconsin–Madison. [pages.cs.wisc.edu](https://pages.cs.wisc.edu/~bart/fuzz/) [^3]: "Mayhem" Declared Preliminary Winner of Historic Cyber Grand Challenge — DARPA, 04.08.2016. [darpa.mil](https://www.darpa.mil/news/2016/mayhem-winner-cyber-grand-challenge) [^4]: Announcing OSS-Fuzz: Continuous Fuzzing for Open Source Software — Google Security Blog, 01.12.2016. [security.googleblog.com](https://security.googleblog.com/2016/12/announcing-oss-fuzz-continuous-fuzzing.html) [^5]: OSS-Fuzz — GitHub. [github.com](https://github.com/google/oss-fuzz) [^6]: Leveling Up Fuzzing: Finding more vulnerabilities with AI — Google Security Blog, 20.11.2024. [security.googleblog.com](https://security.googleblog.com/2024/11/leveling-up-fuzzing-finding-more.html) [^7]: Analyzing open-source bootloaders: Finding vulnerabilities faster with AI — Microsoft Security Blog, 31.03.2025. [microsoft.com](https://www.microsoft.com/en-us/security/blog/2025/03/31/analyzing-open-source-bootloaders-finding-vulnerabilities-faster-with-ai/) [^8]: S. Heelan. How I used o3 to find CVE-2025-37899, a remote zeroday vulnerability in the Linux kernel's SMB implementation — 22.05.2025. [sean.heelan.io](https://sean.heelan.io/2025/05/22/how-i-used-o3-to-find-cve-2025-37899-a-remote-zeroday-vulnerability-in-the-linux-kernels-smb-implementation/) [^9]: How XBOW Ranked #1 in Autonomous Penetration Testing — XBOW, 24.06.2025. [xbow.com](https://xbow.com/blog/top-1-how-xbow-did-it/) [^10]: K. Walker. A summer of security: empowering cyber defenders with AI — Google, 15.07.2025. [blog.google](https://blog.google/technology/safety-security/cybersecurity-updates-summer-2025/) [^11]: AI Cyber Challenge marks pivotal inflection point for cyber defense — DARPA, 08.08.2025. [darpa.mil](https://www.darpa.mil/news/2025/aixcc-results) [^12]: R. A. Popa, F. Flynn. Introducing CodeMender: an AI agent for code security — Google DeepMind, 06.10.2025. [deepmind.google](https://deepmind.google/discover/blog/introducing-codemender-an-ai-agent-for-code-security/) [^13]: S. Heelan. On the Coming Industrialisation of Exploit Generation with LLMs — 18.01.2026. [sean.heelan.io](https://sean.heelan.io/2026/01/18/on-the-coming-industrialisation-of-exploit-generation-with-llms/) [^14]: LLM-discovered 0 days — Anthropic, 05.02.2026. [anthropic.com](https://www.anthropic.com/research/zero-days) [^15]: Claude Mythos Preview's cybersecurity capabilities — Anthropic, 07.04.2026. [anthropic.com](https://www.anthropic.com/research/mythos-preview) [^16]: Project Glasswing: An initial update — Anthropic, 22.05.2026. [anthropic.com](https://www.anthropic.com/research/glasswing-initial-update) [^17]: Anthropic's Cyber Mission — Anthropic, 08.10.2026. [anthropic.com](https://www.anthropic.com/news/anthropic-cyber-mission) [^18]: Today's PHP Security Release, and How We're Strengthening PHP Security — The PHP Foundation, 21.10.2026. [thephp.foundation](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) [^19]: How Low Can You Go? An Analysis of 2023 Time-to-Exploit Trends — Google Cloud (Mandiant), 15.10.2024. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/time-to-exploit-trends-2023) [^20]: M-Trends 2026: Data, Insights, and Strategies From the Frontlines — Google Cloud (Mandiant), 23.03.2026. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026) [^21]: VulnCheck State of Exploitation 2026 — VulnCheck, 21.01.2026. [vulncheck.com](https://www.vulncheck.com/blog/state-of-exploitation-2026) [^22]: VulnCheck State of Exploitation 1H-2026 — VulnCheck, 28.07.2026. [vulncheck.com](https://www.vulncheck.com/blog/state-of-exploitation-1h-2026) [^23]: Vulnerability Discovery and Exploitation Trends in the AI Era — Google Threat Intelligence Group, 30.09.2026. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/vulnerability-discovery-and-exploitation-trends-in-the-ai-era) [^24]: J. Gamblin. 2025 CVE Data Review — 01.01.2026. [jerrygamblin.com](https://jerrygamblin.com/2026/01/01/2025-cve-data-review/) [^25]: L. Emberson. Disclosed CVEs: 3.5× spike after Claude Mythos — Epoch AI, 02.07.2026. [epoch.ai](https://epoch.ai/data-insights/cve-severity-spike) [^26]: R. Fang, R. Bindu, A. Gupta, D. Kang. LLM Agents can Autonomously Exploit One-day Vulnerabilities — arXiv, 11.04.2024. [arxiv.org](https://arxiv.org/abs/2404.08144) [^27]: The Anthropic Glasswing Receipts Are Starting to Trickle In — VulnCheck, 08.09.2026. [vulncheck.com](https://www.vulncheck.com/blog/anthropic-glasswing-receipts) [^28]: J. Lyons. Anthropic's Project Glasswing CVE count is still guesswork — The Register, 15.04.2026. [theregister.com](https://www.theregister.com/2026/04/15/project_glasswing_cves/) [^29]: S. Larson. New era of slop security reports for open source — 03.12.2024. [sethmlarson.dev](https://sethmlarson.dev/slop-security-reports) [^30]: D. Stenberg — Mastodon, entrada del 21.09.2025. [mastodon.social](https://mastodon.social/@bagder/115241241075258997) [^31]: Linux kernel czar says AI bug reports aren't slop anymore — The Register, 26.03.2026. [theregister.com](https://theregister.com/2026/03/26/greg_kroahhartman_ai_kernel) [^32]: M. Catanzaro. Some changes to GNOME security tracking — 20.07.2026. [blogs.gnome.org](https://blogs.gnome.org/mcatanzaro/2026/07/20/some-changes-to-gnome-security-tracking/) [^33]: D. Stenberg. The end of the curl bug-bounty — 26.01.2026. [daniel.haxx.se](https://daniel.haxx.se/blog/2026/01/26/the-end-of-the-curl-bug-bounty/) [^34]: Internet Storm Center Diary 2026-10-23 — SANS ISC, 23.10.2026. [isc.sans.edu](https://isc.sans.edu/diary.html?storyid=31041) — future.log, «Búsqueda de vulnerabilidades con IA», https://ftrlg.com/es/wiki/ai-vulnerability-discovery/ · CC BY 4.0