es.wedoany.com Noticia: Una startup de seguridad llamada depthfirst utilizó un agente de IA autónomo para escanear aproximadamente 1,5 millones de líneas de código C en la biblioteca multimedia de código abierto FFmpeg, descubriendo 21 vulnerabilidades de día cero previamente desconocidas, cada una con una entrada de prueba de concepto (PoC) reproducible. La empresa indicó que el costo de esta ejecución fue de aproximadamente 1000 dólares. Algunas de estas vulnerabilidades habían estado latentes entre 15 y 20 años; un problema de desbordamiento de pila en el código de la tabla de descripción de servicios se remonta a 2003, con una antigüedad de 23 años.
Estas vulnerabilidades se concentran principalmente en analizadores y demultiplexores, afectando componentes como el demultiplexor TS y el decodificador VP9, siendo en su mayoría desbordamientos de montón o pila. El informe de depthfirst enumera 9 identificadores CVE (CVE-2026-39210 a CVE-2026-39218) y señala que las vulnerabilidades restantes ya han sido corregidas pero aún no tienen asignado un número. La empresa también publicó una PoC.
Esa misma semana, Google lanzó la versión 149 de Chrome, corrigiendo 429 vulnerabilidades de seguridad, estableciendo un récord de correcciones en una sola versión. Más de 100 de ellas eran de gravedad crítica o alta, siendo los problemas principales el uso después de liberación y la validación de entrada insuficiente. La vulnerabilidad más grave fue CVE-2026-10881 (CVSS 9.6), una falla de lectura y escritura fuera de límites en el motor gráfico ANGLE, por la cual Google pagó 97.000 dólares. La mayoría de las vulnerabilidades corregidas fueron descubiertas internamente por Google: solo 10 de aproximadamente 90 vulnerabilidades de alta gravedad provinieron de investigadores externos, y 19 de las 22 vulnerabilidades de gravedad crítica fueron halladas por su equipo interno. Sin embargo, Google no vinculó directamente las 429 vulnerabilidades con la IA.
Google reformó su programa de recompensas por vulnerabilidades en abril para hacer frente a la gran cantidad de informes generados por IA, exigiendo ahora que los remitentes proporcionen pasos de reproducción concisos. El agente Big Sleep de Google reportó previamente una serie de vulnerabilidades en FFmpeg, que ahora pueden verse marcadas como BIGSLEEP en la página de seguridad del proyecto; el modelo Mythos de Anthropic extrajo de FFmpeg una vulnerabilidad H.264 que existía desde hacía 16 años, entre otras, con un costo de aproximadamente 10.000 dólares, y tres de esas vulnerabilidades ya fueron corregidas en FFmpeg 8.1. Además, otra herramienta autónoma descubrió en Redis una vulnerabilidad de ejecución remota de código autenticada que existía desde la versión 7.2.0, con más de dos años de antigüedad. Las investigaciones también muestran que, en febrero, un estudio permitió que un agente reprodujera más de la mitad de las PoC válidas de 100 vulnerabilidades N-day reales del kernel de Linux, superando a las pruebas de fuzzing.
Para los usuarios de FFmpeg, se recomienda obtener lo antes posible las versiones compiladas actualizadas o las actualizaciones de seguridad de las distribuciones, priorizando cualquier componente que procese RTSP o AV1-over-RTP no confiables. FFmpeg está ampliamente integrado en canalizaciones multimedia, ruedas de Python, imágenes de contenedores y dispositivos; las copias integradas también necesitan parches. Para los usuarios de Chrome, deben actualizar a la versión 149.0.7827.53 en Linux, o a la versión 149.0.7827.53/54 en Windows y macOS, o confirmar que la actualización automática se ha ejecutado.
Descubrir vulnerabilidades se ha vuelto económico, pero la clasificación de informes, la publicación de correcciones y la promoción de su instalación por parte de los usuarios siguen recayendo principalmente en voluntarios y un pequeño número de clasificadores humanos; esta parte del trabajo necesita ponerse al día con la velocidad de los descubrimientos impulsados por IA.
Este artículo es compilado por Wedoany, las citas de la IA deben indicar la fuente «Wedoany»; si hay alguna infracción u otro problema, por favor notifícanos a tiempo, este sitio lo modificará o eliminará. Correo electrónico: news@wedoany.com
