La basura de IA está inundando el pipeline de CVE con fallos falsos.

      La industria del software se basa en una lista compartida de errores conocidos. Alguien ahora está sembrando esa lista con fallos que nadie había encontrado. La firma de seguridad JFrog encontró seis fallos críticos de SQLite que eran pura ficción, informó. Los avisos afirmaban tener graves errores de memoria con puntuaciones de hasta 9.8. Pero las funciones que culpaban no existían en las versiones citadas, y el código de prueba de concepto funcionó sin un fallo. Alimentados a través del detector GPTZero, los informes regresaron como generados por máquina. Eran basura de IA. Y no solo seis. Una nueva cuenta de GitHub publicó 55 informes de vulnerabilidad en cuestión de días, y JFrog encontró 54 fabricaciones. Solo uno contenía un verdadero error, envuelto en metadatos falsos. El resto inventó agujeros en SQLite, la biblioteca de imágenes libraw y un decodificador de audio de Arduino. Red Hat calificó brevemente una entrada de SQLite con un perfecto 10.0, luego la bajó a 7.6. SQLite agregó la función que culpaba en 2025, un año después de la versión que supuestamente rompió. Cómo la ficción se convirtió en oficial Los falsos no se quedaron en GitHub. Alcanzaron la Base de Datos Nacional de Vulnerabilidades, el registro autoritativo del gobierno de EE. UU. Allí, la NVD los marcó como críticos, y un equipo de CISA los enriqueció. Una vez que una vulnerabilidad llega allí, los escáneres y defensores de todo el mundo la tratan como real. Funciona con confianza. Cualquiera puede enviar un CVE a través del formulario público de MITRE, y los organismos que los asignan en gran medida toman la palabra del remitente. “El CNA a menudo no está en posición de poder verificar el informe por sí mismo”, señaló el ingeniero de Oracle Alan Coopersmith. NIST solía ser el respaldo. Sus expertos revisaban cada registro a mano. Luego, una avalancha de envíos los obligó a pausar el análisis profundo a principios de 2024. La acumulación superó los 27,000 informes no procesados para finales de 2025. Un organismo de control federal dijo que la agencia desperdició dinero al no despejarlo. Ningún paso en la cadena ahora requiere que alguien reproduzca un error. Las máquinas engañan a las máquinas El verdadero peligro es lo que lee estas entradas a continuación. Los equipos de seguridad apuntan cada vez más a agentes de codificación de IA a su código para corregir fallos reportados. Si le das un CVE fabricado, puede buscar una función vulnerable que nadie haya escrito. Luego, cambia el código funcional para parchear un problema que no existe. El ciclo apenas tiene un humano en él. Una IA escribe un aviso plausible, una cadena de trabajo escasamente dotada lo deja pasar, y otra IA intenta solucionarlo. La misma fluidez sin sustancia ya persigue al código escrito por IA. Afek Berger de JFrog lo enmarcó como una asimetría. Generar un falso convincente ahora cuesta casi nada, dijo. Verificar uno cuesta exactamente lo que siempre costó: leer la fuente, construir la versión, ejecutar la prueba de concepto. Incluso los defensores bien dotados no pueden verificar cada informe a mano. CISA y NIST están demasiado atrasados para ayudar. El sistema de honor nunca anticipó máquinas que pueden mentir a gran escala.