TL;DR
El agente de IA de Depthfirst encontró 21 FFmpeg de día cero por 1.000 dólares. Chrome 149 corrigió un récord de 429 errores. La IA está inundando a los defensores con más errores de los que pueden manejar.
El agente autónomo de IA de una startup de seguridad encontró 21 vulnerabilidades previamente desconocidas en FFmpegla biblioteca multimedia de código abierto integrada en casi todo lo relacionado con el vídeo. La puesta en marcha, profundidad primeroafirma que la ejecución costó aproximadamente 1000 dólares en cálculo. Algunos de los errores habían estado ocultos en el código base durante más de 20 años.
Días después, Google envió Chrome 149 con parches para 429 errores de seguridad, la mayor cantidad jamás realizada en una sola versión de navegador. Más de 100 son críticos o de alta gravedad. Los dos eventos llegaron de forma independiente, pero apuntan en la misma dirección: la IA está encontrando vulnerabilidades más rápido de lo que los humanos pueden solucionarlas.
El agente de Depthfirst escaneó aproximadamente 1,5 millones de líneas de C de FFmpeg y produjo una prueba de concepto reproducible para cada uno de los 21 días cero. La mayoría son desbordamientos de pila o montón en analizadores y demuxers, que abarcan componentes desde el demuxer TS hasta el decodificador VP9. Un desbordamiento de pila en el código de la tabla de descripción de servicios data de 2003.
Nueve ya llevan identificadores CVE (CVE-2026-39210 a CVE-2026-39218). El resto se ha arreglado previamente pero aún no está numerado. La profundidad primero tiene código de prueba de concepto publicado.
FFmpeg no es nuevo en la búsqueda de errores impulsada por IA. El agente Big Sleep de Google informó una serie de errores de FFmpeg el año pasado. El modelo de mitos de Anthropic sacó un defecto H.264 de 16 años y otros de FFmpeg por alrededor de $10,000. Depthfirst afirma haber realizado un trabajo comparable a una décima parte del coste.
El récord de Chrome 149 es una historia diferente. Google no ha atribuido las 429 vulnerabilidades a la IA. Pero la compañía revisó su programa de recompensas por errores en abril después de una avalancha de envíos generados por IA, y ahora pide a los investigadores reproductores concisos en lugar de los largos informes que la IA tiende a producir.
El peor error, CVE-2026-10881, obtiene una puntuación de 9,6 en la escala CVSS. Es una lectura y escritura fuera de límites en el motor de gráficos ANGLE que permite que una página diseñada escape del entorno limitado de Chrome y ejecute código en el host. Google pagó 97.000 dólares por el informe. De los 22 errores críticos, 19 se encontraron internamente.
El patrón se sigue repitiendo. Una herramienta autónoma encontró recientemente una falla de ejecución remota de código autenticado en Redis que había pasado desapercibida durante más de dos años. Un estudio de febrero mostró que un agente de IA podría reproducir exploits funcionales para más de la mitad de 100 errores reales del kernel de Linux, superando el fuzzing tradicional.
El problema difícil es el cambio. Encontrar estos errores se ha vuelto barato. La clasificación de los informes, el envío de las correcciones y su instalación no lo han hecho. Gran parte de ese trabajo todavía recae en voluntarios y ahora se espera que una delgada capa de evaluadores humanos sigan el ritmo de las máquinas. Mozilla parcheó 271 vulnerabilidades de Firefox encontrado por Mythos en una sola pasada. La pregunta ya no es si la IA puede encontrar los errores. Se trata de si alguien puede solucionarlos lo suficientemente rápido.