Anthropic intenta vendernos un nuevo tipo de inteligencia, pero esto es en realidad solo un linter muy costoso. La investigación sobre descubrir debilidades criptográficas se ve impresionante en una presentación, pero se basa fundamentalmente en el hecho de que la mayoría de los errores de criptografía son repetitivos. Si has visto diez mil versiones de una implementación de RSA fallida, no necesitas “razonamiento” para detectar la undécima; solo necesitas una tabla de búsqueda masiva y un poco de coincidencia difusa. Es la diferencia entre entender las leyes de la física y simplemente haber memorizado cada accidente que haya ocurrido en un tramo específico de autopista.

La respuesta corta es probablemente que no, al menos no de la manera que queremos. Es excelente para detectar errores del tipo “oops, olvidé inicializar el RNG” porque esos patrones están esparcidos por cada repositorio de GitHub e hilo de Stack Overflow de las últimas dos décadas. Es como un crítico musical que puede decirte que una canción es un plagado de un éxito del disco de los 70 porque ha escuchado todos los discos jamás grabados, pero no podría realmente escribir una sinfonía desde cero.

Encontrar un zero-day real en una biblioteca moderna y bien auditada requiere un nivel de intuición matemática y lógica de primeros principios que los LLM aún carecen. Son motores probabilísticos, no herramientas de verificación formal. Pueden adivinar que una línea de C parece “incorrecta” basándose en la similitud con otros errores, pero no pueden demostrar que una vulnerabilidad existe a través de una rigurosa cadena de custodia matemática. (Y probablemente cuestan una fortuna en tokens para ejecutarse en un código completo). O tal vez puedan, pero la evidencia sugiere que simplemente son muy buenos detectando código “oloroso”.

Ni de lejos. Si acaso, estas herramientas simplemente desplazan el cuello de botella. Estamos pasando de “encontrar el error” a “filtrar el ruido.” Un LLM marcará felizmente cincuenta debilidades “potenciales”, cuarenta y nueve de las cuales son alucinaciones o irrelevantes para el contexto de implementación específico. Aún necesitas a un humano que realmente entienda las matemáticas para cribar la basura.

La fricción aquí es obvia: la latencia de esperar a que una ventana de contexto masiva procese y la posterior verificación manual de cada afirmación. Si un ingeniero de seguridad senior pasa cuatro horas desmintiendo cuarenta y nueve falsos positivos para encontrar un error real, ¿ahorró la IA realmente algún tiempo? Probablemente no. Solo cambió la naturaleza del aburrimiento. ¿Quién realmente quiere ser la primera persona en confiar en un modelo probabilístico con sus claves raíz?

La seguridad es una carrera armamentista, y Anthropic acaba de entregar un microscopio potente tanto a los guardias como a los ladrones. La asimetría de la seguridad es el problema aquí. Un defensor tiene que tapar cada solo agujero; un atacante solo necesita encontrar uno. Al automatizar la fase de “fruta fácil” de la investigación de vulnerabilidades, estos modelos reducen significativamente la barrera de entrada para los script kiddies.

El verdadero peligro es la complacencia que genera. Existe el riesgo de que los desarrolladores dejen de hacer el trabajo duro del diseño riguroso porque creen que el “auditor de IA” atrapará sus errores. Esa es una receta para el desastre. Es el equivalente digital de confiar en un corrector ortográfico para escribir tu contrato legal. Para el Q4, veremos un fine-tune de seguridad dedicado para Claude que apunta explícitamente a estos patrones, y las compuertas del escaneo automatizado de vulnerabilidades se abrirán de par en par.

La brecha entre “detectar un patrón” y “hacer matemáticas” es más amplia de lo que estos artículos admiten. Si quieres encontrar un fallo en una nueva implementación de curva elíptica, no buscas “código oloroso”—buscas una propiedad matemática que no haya sido considerada. Los LLM no hacen eso. No simulan las matemáticas en un sandbox; predicen el siguiente token basándose en cómo otros han hablado de matemáticas.

Hemos visto esto antes con las afirmaciones de “razonamiento” en varios lanzamientos de modelos, donde un poco de prompting de Chain-of-Thought se reetiqueta como un salto cognitivo. No lo es. Es solo un camino más largo hacia la misma conjetura probabilística. Hasta que estos modelos se integren con lenguajes de verificación formal como Coq o Lean, son simplemente detectores de patrones sofisticados.

Una herramienta útil, pero no un reemplazo para un cerebro.