La IA Supera a los Hackers Humanos: Claude Rompe las Defensas de Firefox con 22 CVEs en 14 Días
Resumen de Noticias
En una demostración histórica de investigación de seguridad impulsada por IA, Claude Opus 4.6 de Anthropic identificó 22 vulnerabilidades previamente desconocidas en el navegador Firefox de Mozilla durante un compromiso colaborativo de dos semanas en febrero de 2026 (ET). Los hallazgos, 14 de los cuales fueron clasificados como de alta gravedad, representan casi una quinta parte de todas las vulnerabilidades de alta gravedad de Firefox remediadas durante todo el año 2025. Los resultados se divulgaron públicamente el jueves 6 de marzo de 2026 (ET).
Antecedentes: Una Prueba Deliberada y Rigurosa
El Frontier Red Team de Anthropic seleccionó Firefox como campo de pruebas por una razón específica: es ampliamente considerado como una de las bases de código de código abierto más minuciosamente auditadas y seguras del mundo, en la que confían cientos de millones de usuarios a diario. El equipo quería un desafío que llevara a Claude más allá de los puntos de referencia sintéticos y hacia software del mundo real, de calidad de producción.
El experimento comenzó pidiendo a Claude que reprodujera CVEs (Vulnerabilidades y Exposiciones Comunes) previamente conocidas en versiones anteriores de la base de código de Firefox. La tasa de éxito del modelo fue notablemente alta, aunque los investigadores reconocieron que algunas CVEs históricas podrían haber aparecido en los datos de entrenamiento de Claude. Para eliminar esa incertidumbre, el equipo redirigió a Claude a buscar errores completamente novedosos, nunca antes reportados, en la versión actual de Firefox.
La Caza: Desde el Motor JavaScript hasta el Navegador Completo
Claude Opus 4.6 se desplegó comenzando con el motor JavaScript de Firefox, un punto de entrada lógico dada su enorme superficie de ataque. El motor procesa rutinariamente código externo no confiable mientras los usuarios navegan por la web, lo que lo convierte en uno de los objetivos de mayor valor para los atacantes.
En solo veinte minutos de exploración autónoma de código, Claude identificó una novedosa vulnerabilidad de Uso Después de Liberación (Use-After-Free), una clase de falla de corrupción de memoria que puede permitir a los atacantes sobrescribir datos con cargas útiles maliciosas. Basándose en ese éxito inicial, Claude escaneó casi 6.000 archivos fuente de C++, generando 112 informes de errores únicos enviados directamente al rastreador de problemas Bugzilla de Mozilla.
Después de clasificar esas presentaciones, los ingenieros de seguridad de Mozilla confirmaron 22 CVEs, 14 de ellas calificadas como de alta gravedad. Este único sprint de dos semanas produjo más informes de vulnerabilidades que cualquier mes calendario individual en 2025 de todas las fuentes humanas y automatizadas combinadas.
Respuesta de Mozilla: Parcheo Rápido a Escala
Mozilla describió la colaboración como marcadamente diferente de las presentaciones típicas de seguridad asistida por IA, que históricamente han sufrido altas tasas de falsos positivos y ruido excesivo. Los informes de Anthropic vinieron con casos de prueba mínimos y reproducibles que permitieron a los ingenieros de Mozilla verificar cada problema en cuestión de horas.
Mozilla activó lo que caracterizó como una postura de "respuesta a incidentes" para gestionar la afluencia de más de 100 envíos de errores. Se movilizaron múltiples equipos de ingeniería para validar hallazgos, escribir parches y coordinar lanzamientos. La mayoría de las correcciones se enviaron en Firefox 148.0, lanzado el 24 de febrero de 2026 (ET), con los parches restantes programados para el próximo lanzamiento del navegador.
Más allá de las 22 CVEs, la investigación de Anthropic reveló 90 errores adicionales no relacionados con la seguridad, la mayoría de los cuales también se han resuelto. Notablemente, varios de los hallazgos de Claude representaron clases distintas de errores lógicos que las técnicas de fuzzing tradicionales no habían expuesto previamente.
Explotación: Donde la IA Todavía se Queda Atrás
A pesar de la impresionante tasa de descubrimiento, la investigación reveló una asimetría crítica: Claude es significativamente mejor encontrando vulnerabilidades que explotándolas. Anthropic gastó aproximadamente 4.000 dólares en créditos de API en varios cientos de intentos para construir pruebas de concepto de exploits funcionales. Solo dos exploits tuvieron éxito, y ambos requirieron un entorno de prueba con la caja de arena del navegador deshabilitada, lo que significa que la arquitectura de seguridad en capas de Firefox habría bloqueado estos ataques en condiciones del mundo real.
El líder de seguridad de Mozilla, Tom Grinstead, señaló que explotar cualquier vulnerabilidad individual, incluso una de alta gravedad, es insuficiente para comprometer Firefox en la práctica. Los navegadores modernos dependen de la defensa en profundidad: un atacante necesitaría encadenar con éxito múltiples debilidades para montar un exploit significativo.
Por ahora, esta asimetría favorece a los defensores: la IA puede encontrar errores más rápido y más barato de lo que puede armarlos.
Implicaciones Más Amplias: Una Nueva Era para la Seguridad Defensiva
La colaboración con Firefox no fue un experimento aislado. Anthropic reveló que Claude Opus 4.6 se ha utilizado para identificar vulnerabilidades en otros proyectos críticos de código abierto, incluido el kernel de Linux, con más de 500 vulnerabilidades de día cero descubiertas en proyectos en los últimos meses. Anthropic también ha lanzado Claude Code Security, actualmente en vista previa de investigación limitada, que lleva las capacidades de descubrimiento y parcheo de vulnerabilidades asistidas por IA directamente a los equipos de seguridad y mantenedores de código abierto.
Para la comunidad de ciberseguridad, la conclusión es clara: la IA está emergiendo como un verdadero multiplicador de fuerza para la seguridad defensiva. Si bien la experiencia humana sigue siendo esencial para la verificación, priorización y remediación, los sistemas de IA ahora pueden escanear millones de líneas de código complejo a velocidades y escalas imposibles para los equipos humanos solos.
Qué Deben Hacer los Usuarios Ahora
Para los usuarios cotidianos de Firefox, la acción inmediata es sencilla: actualice a Firefox 148 o posterior. Todas las vulnerabilidades de alta gravedad identificadas durante este compromiso han sido parcheadas. Los usuarios que aún no se hayan actualizado deben hacerlo de inmediato, ya que las versiones afectadas siguen expuestas a las fallas reportadas.