Las 423 correcciones de Firefox exponen la brecha de mantenimiento

En abril de 2026, Mozilla reportó 423 correcciones de seguridad de Firefox, frente a 31 un año antes, incluso cuando las auditorías asistidas por modelos encontraban errores más rápido de lo que Firefox solía recibirlos.

Convertir un hallazgo automatizado en una corrección todavía requiere verificación, divulgación coordinada, revisión de parches e ingeniería de lanzamientos.

Las auditorías independientes superaron el antiguo ritmo de reportes de Firefox

Mozilla dijo que Claude Opus 4.6 encontró más de 100 errores de Firefox durante dos semanas de enero, incluidos 14 problemas de alta gravedad. Mozilla describió eso como más hallazgos de los que Firefox suele recibir en más de dos meses. Por separado, OpenAI dijo que GPT-6 Cyber encontró más de 81 vulnerabilidades nuevas de Firefox mientras preparaba un lanzamiento limitado para clientes de Daybreak Red. Se trata de auditorías reportadas por separado, no de un conteo combinado de fallas distintas sin corregir.

Cloudflare también probó Mythos Preview de Anthropic en más de 50 de sus propios repositorios y describió el arnés que usó para buscar vulnerabilidades. Mozilla, OpenAI y Cloudflare no necesitaban un programa de investigación común para que la inspección repetida asistida por modelos valiera la pena. Cada una tenía código que proteger y acceso a herramientas capaces de examinarlo a escala.

El conteo de OpenAI tiene límites importantes. Su reporte no establece que las fallas de Firefox hayan sido explotadas en el mundo real, que tuvieran la misma gravedad ni cuánto tiempo necesitaría Mozilla para corregirlas. OpenAI inicialmente restringió GPT-6 Cyber a clientes de Daybreak Red, por lo que su resultado no demuestra que la misma capacidad estuviera ampliamente disponible. Sí muestra por qué un mantenedor de navegador debe estar preparado para recibir hallazgos por lotes en lugar de a su ritmo habitual.

Mozilla elevó el ritmo de correcciones lanzadas, no solo de reportes

Mozilla incorporó 271 correcciones para vulnerabilidades identificadas con acceso anticipado a Mythos Preview en Firefox 150. Después reportó que Mythos Preview y otros modelos de IA le ayudaron a identificar y lanzar 423 correcciones de seguridad de Firefox en abril, frente a 31 un año antes. Las 271 correcciones pertenecen a ese recuento más amplio de abril; sumar ambas cifras contaría dos veces el trabajo de lanzamiento.

Los lanzamientos de Mozilla en abril complican la afirmación de que la IA solo desplaza el cuello de botella aguas abajo. Su equipo caracterizó la transición como difícil, no como permanentemente desestabilizadora. La comparación no dice qué tan graves eran los 423 problemas ni establece que todos los proyectos puedan reproducir el flujo de trabajo de Mozilla.

Otros desarrolladores también tratan la reparación como parte de la capacidad. OpenAI y Paradigm diseñaron EVMbench para evaluar agentes en la detección, explotación y corrección de vulnerabilidades de contratos inteligentes. Microsoft presentó Project Perception como un sistema agéntico destinado a corregir fallas. Ningún anuncio mide los resultados de Firefox, pero ambos sitúan la unidad útil de trabajo de seguridad más allá del reporte inicial del error.

La divulgación privada compra tiempo que el conocimiento público ya no ofrece

Investigadores de Anthropic dijeron que Mythos Preview podía convertir una vulnerabilidad divulgada públicamente en un exploit funcional en horas en lugar de semanas. Esa afirmación se refiere a fallas conocidas, no es prueba de que atacantes hayan usado Mythos contra Firefox. Sin embargo, cambia para qué sirve una demora en la divulgación: los mantenedores necesitan un periodo protegido para reproducir un reporte, evaluar su gravedad, coordinarse con las partes afectadas y lanzar una corrección.

GitHub hizo disponible de forma general el reporte privado de vulnerabilidades en 2023 para que los investigadores pudieran contactar confidencialmente a mantenedores de código abierto. El canal importa más cuando encontrar y explotar una falla divulgada se vuelve más rápido. Sin embargo, una bandeja de entrada privada por sí sola no puede revisar un parche ni decidir cuándo los usuarios pueden recibirlo de forma segura.

NIST enfrentó un rezago de más de 25,000 vulnerabilidades en su National Vulnerability Database en 2025, aproximadamente diez veces su anterior máximo de 2017. La cola de catalogación de NIST no es la cola de parches de Mozilla. El descubrimiento puede aumentar la presión sobre varios sistemas operados por personas, y despejar una cola no despeja las demás.

Las dependencias más pequeñas no pueden tomar prestado el equipo de lanzamientos de Mozilla

La puerta trasera de XZ Utils llamó la atención en 2024 sobre los riesgos de seguridad creados por las exigencias sobre desarrolladores de código abierto con poco apoyo. La auditoría asistida por IA añade una carga distinta: un mantenedor puede recibir más reportes plausibles sin ganar más tiempo para validarlos. La Linux Foundation dijo que Anthropic, Amazon, Google, Microsoft y OpenAI aportaron $12.5 millones en subvenciones para ayudar a mantenedores de software libre y de código abierto a gestionar hallazgos de seguridad generados por IA. Las subvenciones reconocen que alguien debe hacer el trabajo después del análisis; no establecen que cada dependencia ahora tenga capacidad suficiente.

Las solicitudes automatizadas de baja calidad también pueden consumir la atención de los revisores de recompensas por errores, destinada a fallas genuinas. Un proyecto pequeño debe distinguir una vulnerabilidad reproducible de una falsa alarma convincente antes de poder tomar una decisión de lanzamiento. Un mayor acceso a modelos puede ayudar con esa tarea, pero el acceso no proporciona por sí mismo un mantenedor responsable.

Las alianzas de navegadores pueden compartir decisiones de confianza, no el trabajo de parches

Mozilla, Google, Microsoft y Cloudflare se asociaron en Private Access Control Tokens para distinguir el tráfico web legítimo de personas o bots de solicitudes no deseadas. PACT aborda un problema distinto a la reparación de vulnerabilidades de Firefox. Ilustra cómo la seguridad de los navegadores también depende de reglas compartidas para la actividad automatizada, mientras cada proyecto sigue siendo responsable del código y los lanzamientos que controla.

Las 423 correcciones de Mozilla en abril muestran que un equipo de navegador puede ampliar su canal de lanzamientos cuando el descubrimiento asistido por modelos se acelera. Una dependencia pequeña no puede tomar prestado ese canal simplemente porque un modelo encontró sus errores. Mientras tanto defensores como atacantes puedan automatizar la búsqueda, el recurso decisivo es el tiempo del mantenedor que convierte un reporte privado y verificado en un lanzamiento seguro.