La inteligencia artificial se ha convertido en una máquina de encontrar agujeros de seguridad a escala industrial, pero los ciberdelincuentes no están mordiendo el anzuelo al ritmo que cabría esperar. Un informe reciente de VulnCheck, centrado en la primera mitad de 2026, dibuja un panorama paradójico: de las 1.061 vulnerabilidades descubiertas mediante sistemas de IA, apenas 14 han registrado explotación confirmada en entornos reales. Esa cifra representa un 1,3 %, una tasa idéntica a la media histórica de fallos hallados por métodos tradicionales.
A primera vista, el dato podría interpretarse como una victoria para la defensa: la IA inunda el mercado de vulnerabilidades "teóricas" que no llegan a materializarse en incidentes. Sin embargo, leer el informe solo por ese prisma sería un error estratégico. La métrica realmente alarmante no es el volumen de explotación, sino su velocidad. El tiempo medio para que un fallo pase de ser público a ser arma activa se ha reducido de 120 a 80 días. Un recorte del 33 % en la ventana de parcheo que obliga a los equipos de seguridad a comprimir drásticamente sus ciclos de respuesta.
¿Por qué los atacantes ignoran la inmensa mayoría de hallazgos de la IA? Los analistas apuntan a tres factores clave. Primero, la relación señal-ruido: los modelos actuales generan abundantes falsos positivos o fallos de bajo impacto (denegación de servicio local, fugas de información menor) que no justifican el coste de desarrollar un exploit fiable. Segundo, la economía del cibercrimen: los grupos de ransomware y APTs priorizan vulnerabilidades en software ubicuo (VPN, firewalls, gestores de identidad) con alto valor de pivoteo, no necesariamente las que la IA encuentra en librerías nicho o componentes legacy poco expuestos. Tercero, la madurez de la cadena de suministro del exploit: convertir un crash en PoC en un arma operable requiere ingeniería humana especializada, un cuello de botella que la IA generativa aún no ha resuelto del todo.
El descenso a 80 días en el "time-to-exploit" sí que cambia las reglas del juego. Este indicador sugiere que, cuando los atacantes *deciden* actuar, lo hacen con una cadena de herramientas más automatizada: fuzzing dirigido, generación de shellcode asistida por LLM y plantillas de exploit listas para adaptar. Para los CISOs, el mensaje es claro: el parcheo basado en criticidad estática (CVSS) ya no basta. Se impone un modelo de gestión de exposición continua (CTEM) que priorice según explotabilidad real, contexto de activo y inteligencia de amenazas viva.
En definitiva, la IA está democratizando el *descubrimiento* de fallos, pero no su *armamento* masivo... aún. La brecha entre hallazgo y explotación sigue siendo humana, pero se estrecha a marchas forzadas. Las organizaciones que no automaticen la triada detectar-priorizar-remediar en ventanas inferiores a 80 días estarán jugando a la ruleta rusa con una recámara cada vez más cargada.
