La cifra que importa es 50: los bugs de macOS que una startup italiana de seguridad, Bynario, encontró en tres semanas usando ChatGPT, uno de ellos un exploit de escalada de privilegios que daría a un atacante control total de un Mac, valorado hasta en 200.000 dólares en el mercado negro y potencialmente elegible para la recompensa máxima de 2 millones de Apple. Ese bug no pudo reportarse, porque en junio Apple había puesto discretamente un techo al programa: los investigadores ya no tienen derecho a informes abiertos ilimitados en el portal de seguridad, y alcanzar el límite inicia un enfriamiento de 30 días, con aumentos disponibles a petición pero no automáticos. El Financial Times sacó el cambio a la luz, seguido de MacRumors, Engadget y 9to5Mac; el caso de Bynario es el que lo hizo legible.
La causa es la misma curva que esta redacción siguió en el junio récord de Chrome y en el atraso de parches de Microsoft: el análisis asistido por IA ya encuentra vulnerabilidades reales más rápido de lo que los humanos pueden validarlas, y la validación es la parte que no se puede contratar rápido, porque hacen falta ingenieros senior para distinguir un exploit real de una alucinación confiada. Rafe Pilling, de Sophos, puso la inversión en una línea: los programas de bug bounty han pasado de encontrar vulnerabilidades a validarlas a velocidad de máquina. Apple está en ambos lados de la curva a la vez, que es el detalle sobre el que detenerse. Su última actualización, iOS 26.6, corrigió casi 90 vulnerabilidades, algunas acreditadas a Claude de Anthropic y a Codex Security de OpenAI, y Apple ha desplegado su propio sistema de IA para triar los informes entrantes, separando los bugs legítimos de la escoria de IA que las mismas herramientas generan.
El modo de fallo que debería preocupar a todo dueño de programa no es el volumen, es el bloqueo: una vulnerabilidad crítica, valiosa en el mercado negro, quedó sin reportar porque una cuota detuvo a un investigador legítimo que no sabía que la cuota existía. Después de que el caso se hiciera público, Apple contactó a Bynario y está revisando sus envíos, así que ese bug concreto llega al equipo de seguridad. GitHub, ante la misma ola, hizo sus pagos menos generosos para bugs de severidad baja y media; Google y Microsoft enfrentan el mismo volumen en paralelo. Ningún gran programa ha respondido a la pregunta de fondo: cómo pagar la validación a la velocidad a la que ahora corre el descubrimiento.
Para la gente dentro de esta historia, las notas prácticas son claras. Si gestionas un programa de bounty, una cuota no publicitada bloqueará exactamente el informe que más quieres, así que el camino para pedir un aumento tiene que ser visible, no documentado. Si investigas con herramientas de IA, espera que cada gran programa añada topes y triaje, y mete eso en tu pipeline. Y para todos los demás: la misma semana en que la IA encontró un bug de 13 años en Chrome, también ahogó el programa de bounty más generoso del mundo. Las dos frases son ciertas, y la segunda es la noticia más nueva.