La cifra que importa es 1.072: bugs de seguridad corregidos en Chrome 149 y 150, los dos hitos que Google entregó en junio. En un artículo del 30 de julio, 'Stronger with every update', el equipo de Chrome Security dice que eso supera el total corregido en los 23 hitos anteriores combinados, 1.036 bugs en dos años según la cuenta de TechCrunch. El mismo artículo nombra al empleador del descubridor: un arnés de agentes potenciado por Gemini que lleva desde principios de año escaneando todo el código de Chrome, con lo que Google llama mayor eficiencia y menos falsos positivos que sus predecesores.

La genealogía de ese arnés es la corta historia de la caza de bugs con IA: LLM para potenciar el fuzzing en 2023, el proyecto Naptime con Project Zero en 2024, Big Sleep con Google DeepMind en 2025, y ahora el arnés de propósito general, que trabaja con una base de conocimiento de todas las CVE pasadas y todo el historial Git de Chrome, archivos SECURITY.md para los límites de confianza, un agente crítico, y pasadas repetidas para manejar el no determinismo del modelo. Su vitrina ya incluye un escape de sandbox que habría permitido a un renderizador comprometido leer archivos locales, un bug que, en palabras de Google, sobrevivió discretamente en el código durante más de 13 años. Las salvaguardas importan en un sistema así, y Google dice que el código analizado permanece en reposo en máquinas bloqueadas sin acceso general a internet, tras listas blancas de red.

Las cifras del pipeline muestran qué pasa cuando encontrar deja de ser la restricción. Ya en marzo, el Vulnerability Rewards Program había recibido más informes que en todo 2025, lo que obligó a Google a redefinirlo para aceptar solo envíos que aporten sobre los hallazgos internos. Un triaje automatizado de cuatro fases, filtrar spam, reproducir pruebas de concepto, enriquecer metadatos de severidad y autoasignar, ahorra lo que Google estima en cientos de horas de desarrolladores al mes. Big Sleep y CodeMender, el redactor de parches, ahora corren en CI cada 24 horas sobre todas las changelists, y en mayo bloquearon más de 20 vulnerabilidades antes de producción, incluida una calificada de crítica. En el otro extremo, Chrome pilota dos versiones de seguridad por semana para cerrar la brecha de parches, con actualización por reinicio automático en macOS y 'parcheo dinámico' en desarrollo.

El marco honesto lo dan las propias personas de Google. El director de ingeniería de Chrome, Doug Turner, dijo a TechCrunch que los LLM han 'cambiado fundamentalmente la economía de la ciberseguridad, transformando el descubrimiento de vulnerabilidades en una operación automatizada a escala industrial', y la vicepresidenta Parisa Tabriz dijo a WIRED que este año es 'un punto de inflexión tanto para el ataque como para la defensa'. La mitad ofensiva de esa frase es la que hay que retener: la misma economía ahora aplica a quien busca los mismos bugs con peores intenciones, y por eso la cadencia de parches, no el número de hallazgos, es la cifra que decide si los usuarios están más seguros. El Patch Tuesday récord de Microsoft en julio con 570 fallos, también asistido por IA, y los 482 parches de Apple este año sin pico dicen que la curva es real pero desigual. Los bugs siempre estuvieron en el código. Lo que cambió en junio es que encontrarlos se volvió barato, y corregirlos se convirtió en el cuello de botella que todos pueden ver.