La inteligencia artificial está transformando la forma en que se detectan vulnerabilidades en sistemas operativos, pero no siempre con resultados útiles. Un caso reciente lo demuestra: Jeremy Erazo, investigador en ciberseguridad, presentó a Red Hat un informe sobre posibles fallos en shim y GRUB2, componentes clave del arranque seguro en Linux.
Erazo aseguró que había encontrado cuatro problemas distintos que, combinados, podrían comprometer Secure Boot. Incluso calificó algunos como de alta gravedad. Sin embargo, tras revisar el informe, los desarrolladores de Red Hat concluyeron que los escenarios descritos no representaban vulnerabilidades reales. Uno de ellos respondió tajantemente: “No creo que esto sea un CVE”.
La razón es que, para explotar los supuestos fallos, un atacante necesitaría permisos de administrador o acceso directo a la partición EFI. En otras palabras, ya tendría control total del sistema. Como explicaron los expertos: “Si ya tienes las llaves de la casa, no necesitas buscar una ventana abierta”.
Erazo utilizó la IA Claude (Anthropic) como asistente para redactar partes del informe y organizar la documentación. Aunque él mismo verificó el código y realizó pruebas, el uso de IA generó dudas sobre la validez de los hallazgos.
Este caso refleja un problema creciente: las herramientas de IA pueden señalar errores que no son vulnerabilidades reales, obligando a los equipos de desarrollo a invertir tiempo en verificaciones innecesarias. Linus Torvalds ya ha advertido que el código generado con IA no debe llevar la firma de los desarrolladores, para evitar confusiones y reportes falsos.
La conclusión es clara: la IA puede ser una herramienta poderosa para acelerar la detección de fallos, pero su uso sin criterio humano puede saturar a los equipos de seguridad con informes irrelevantes.