Odiseo

Google ha abierto una puerta nueva en su tienda de aplicaciones. Desde el 13 de octubre, quien cree una aplicación de Android con Google AI Studio, describiéndola con palabras a la IA, puede instalarla en su propio teléfono a través de Google Play con su cuenta normal de Google, sin abrir una cuenta de desarrollador. Las apps quedan en una biblioteca personal que solo ve quien las hizo. Google lo resume así: de «hay una app para eso» a «hay una app para mí».

AI Studio, la plataforma de Google para probar sus modelos Gemini, genera desde mayo aplicaciones nativas de Android, escritas en Kotlin con Jetpack Compose, a partir de una descripción en lenguaje natural: lo que se conoce como vibe coding. Pero llevarlas al teléfono no era tan sencillo. Había dos caminos: conectar el móvil a la computadora y cargarla con la herramienta ADB, o abrir una cuenta de desarrollador de Google Play, que cuesta $25.00 USD y exige completar un perfil en la consola de Play, para publicarla en una pista de pruebas internas de hasta 100 personas.

El anuncio lo firma Sam Bright, vicepresidente y director general de Google Play, dentro de un paquete de novedades de la tienda que incluye también un buscador de juegos y comparativas de apps con IA. La función empieza a llegar desde ese mismo día a «mercados seleccionados, incluido EE. UU.», solo para mayores de 18 años. Google no ha publicado la lista completa de países.

Claves de las apps personales

• Basta una cuenta de Google. No hace falta registrarse como desarrollador ni pagar la cuota de inscripción: la app se crea en AI Studio y se instala en el propio dispositivo a través de Google Play, con la misma cuenta que se usa en el teléfono.
• Privadas y fuera de la tienda. Las apps aparecen en una sección nueva de Play, la «biblioteca personal», desde la que se instalan y se abren. No salen en las búsquedas ni en el catálogo público, y según la pantalla de ejemplo que muestra Google, solo las puede ver e instalar quien las creó.
• Sin revisión de Google. Esa misma pantalla avisa de que son «para uso personal» y de que Google Play no las revisa. Es la diferencia clave con una app publicada: nadie, salvo su autor, comprueba lo que hacen.
• Después, amigos y familia. En los próximos meses se podrán compartir con «un círculo cercano de amigos y familia». Google no ha dicho cuántas personas ni cuándo.
• Y si quieres publicarla para todos. Google Play ayudará a «graduarse» a una cuenta de desarrollador profesional. Entonces la app pasará por las mismas revisiones de seguridad y los mismos requisitos de calidad que cualquier otra.

Por qué importa

Es un cambio de idea sobre para qué sirve una tienda de aplicaciones. Hasta ahora, Google Play era el lugar donde los desarrolladores publican para millones de personas; con esta función pasa a ser también el sitio donde cualquiera instala programas hechos solo para sí mismo: una lista de la compra a su gusto, un control de gastos con sus propias categorías o una herramienta para su pequeño negocio. Con la IA escribiendo el código, el obstáculo ya no era programar, sino llevar la app al teléfono, y Google lo quita. También es una forma de atraer usuarios a AI Studio y a Gemini frente a las herramientas de OpenAI y Anthropic.

Llega además en un momento delicado. Desde el 30 de septiembre, Google exige verificar la identidad de los desarrolladores para instalar apps en teléfonos certificados en Brasil, Indonesia, Singapur y Tailandia, y lo extenderá a todo el mundo en 2027, lo que ha sido muy criticado por quienes cargan apps por su cuenta. Las apps personales ofrecen una vía oficial y gratuita para ejecutar código propio sin ese trámite, aunque solo si se crea con la IA de Google. Y el que no haya revisión obliga a tener cuidado: una app generada por IA puede tener errores o pedir permisos de más, y conviene revisar lo que se instala, aunque lo haya hecho uno mismo.

Datos contrastados con el anuncio de Google Play, el blog de Android Developers, la documentación de AI Studio para Android y la página de verificación de desarrolladores. Portada: foto de Santeri Viinamäki, Wikimedia Commons, CC BY-SA 4.0 (recortada, con texto).

Fuente: TechCrunch, «Google Play now supports private vibe-coded apps built just for you»

Montar un proyecto web moderno con JavaScript o TypeScript suele exigir media docena de herramientas que hay que instalar, configurar y mantener de acuerdo entre sí. Vite+ promete sustituirlas todas por una sola orden, vp, y un único archivo de configuración. La herramienta de VoidZero, la empresa de Evan You, creador de Vue y de Vite, ya tiene versión estable: la 1.0 salió a finales de septiembre y esta semana ha llegado la 1.2. Es gratuita y de código abierto, con licencia MIT.

Vite nació en 2020 como un servidor de desarrollo rápido para Vue y se ha convertido en una pieza central del desarrollo web: según Cloudflare, se descarga unos 129 millones de veces por semana y sobre él se construyen Vue, SvelteKit, Astro, React Router y muchos otros proyectos. En 2024, Evan You fundó VoidZero para construir el resto de la cadena con la misma filosofía: el empaquetador Rolldown, el conjunto de herramientas Oxc (con el analizador Oxlint y el formateador Oxfmt) y el sistema de pruebas Vitest. Vite+ es el envoltorio que las une.

El proyecto ha cambiado mucho desde que se anunció, en octubre de 2025. Entonces iba a ser un producto de pago: gratis para particulares, proyectos libres y pequeñas empresas, y con licencia anual para startups y grandes empresas. En marzo de 2026, con la versión alfa, VoidZero dio marcha atrás y lo publicó todo con licencia MIT. «Nos cansamos de discutir qué funciones debían ser de pago», explicó el equipo. Y en junio Cloudflare, que meses después sumaría también a Deno, anunció que todo el equipo de VoidZero se unía a la empresa. No se revelaron las condiciones de la operación.

Claves de Vite+

• Una orden para cada paso. vp create crea el proyecto; vp install instala las dependencias con el gestor de paquetes que use; vp dev arranca el servidor de desarrollo; vp check revisa el formato, los errores y los tipos; vp test lanza las pruebas; vp build compila para producción; vp pack empaqueta librerías; vp run ejecuta tareas en un monorepo, con caché, y vp env gestiona la versión de Node.js.
• Un solo archivo de configuración. Todo se ajusta en vite.config.ts. Vite+ sustituye a vite, vitest, eslint, prettier, tsup y turbo, y por dentro usa Vite 8, Vitest 5, Rolldown, tsdown, Oxlint y Oxfmt. Sirve para aplicaciones de React o Vue, librerías, herramientas de línea de órdenes y monorepos, aunque el proyecto no use Vite.
• Lo nuevo en la versión estable. Una acción para la integración continua de GitLab, además de la de GitHub; vp migrate, que convierte proyectos existentes, también los de tsup, y muestra el plan antes de tocar nada; vp hooks y vp staged, para revisar el código antes de cada commit, el papel que hoy cumplen Husky y lint-staged; y dos órdenes de diagnóstico, vp toolchain y vp env doctor.
• Cómo se instala. En Linux y macOS, con curl -fsSL https://vite.plus | bash; en Windows, con irm https://vite.plus/ps1 | iex desde PowerShell. También hay fórmula de Homebrew y una imagen de Docker. Necesita Node.js 22.18, 24.11 o posterior.
• Quién lo usa. VoidZero hablaba en septiembre de cerca de dos millones de descargas semanales y más de 2,600 repositorios públicos que dependen de Vite+; en la semana del 6 al 12 de octubre, npm registró ya más de 2.4 millones. Entre los usuarios cita el editor Tiptap, la plataforma de IA Dify, el framework Hono y vinext, el framework compatible con Next.js de Cloudflare.

Por qué importa

La gran queja del ecosistema de JavaScript es el cansancio de las herramientas: cada proyecto arrastra su propia combinación de empaquetador, analizador, formateador y sistema de pruebas, con archivos de configuración que hay que mantener de acuerdo y que se rompen al actualizar. Vite+ ataca ese problema como lo hacen Cargo en Rust o la orden go en Go: una sola herramienta oficial que cubre el ciclo completo. Además, Rolldown, Oxlint y Oxfmt están escritos en Rust y, según VoidZero, son muchas veces más rápidos que las herramientas que sustituyen: de 50 a 100 veces más que ESLint en el caso de Oxlint.

Que Cloudflare esté detrás garantiza recursos, pero también genera dudas. La empresa se ha comprometido a que Vite y Vite+ sigan siendo libres e independientes de cualquier proveedor, y ha creado un fondo de un millón de dólares para los mantenedores del ecosistema. Lo que queda por ver es si puede convivir con proyectos que compiten con sus propios productos. El propio equipo admite que la 1.0 «está lejos de estar completa»: faltan la caché remota y otras funciones. Para un proyecto nuevo ya merece la pena probarlo; para uno grande, conviene empezar por vp migrate en una rama aparte.

Datos contrastados con el anuncio de Vite+ 1.0, las versiones publicadas en GitHub, la guía de Vite+, el anuncio de la alfa y los comunicados de Cloudflare y VoidZero sobre su unión. Descargas: estadísticas de npm. Portada: foto de Crew, Wikimedia Commons, CC0 (con texto).

Fuente: InfoQ, sobre Vite+ 1.0

Desde que la sonda soviética Luna 3 fotografió la cara oculta de la Luna en 1959, los científicos saben que nuestro satélite tiene dos caras muy distintas. La que vemos desde la Tierra está cubierta de grandes manchas oscuras de lava; la oculta, casi no tiene. Un equipo de la Universidad de Nanjing ha analizado por primera vez rocas de la corteza traídas de la cara oculta y propone una explicación: el calor de las mareas de la Tierra empujó la corteza hacia la cara oculta cuando la Luna todavía era en buena parte un océano de roca fundida.

La diferencia entre las dos caras va más allá de las manchas. Según las medidas de la misión GRAIL de la NASA, la corteza de la cara oculta es mucho más gruesa. Y en la cara visible se concentra el llamado KREEP, un material rico en potasio (K), tierras raras (REE) y fósforo (P), además de torio y titanio, que fue lo último en solidificarse del océano de magma. Durante décadas se han propuesto varias causas, desde un choque gigante o una segunda luna que se fundió con la nuestra hasta corrientes desiguales en el interior, pero ninguna ha convencido a todos. El problema era que solo había muestras de la cara visible: las del Apolo, las de las Luna soviéticas y las de la china Chang’e-5.

Eso cambió con la Chang’e-6. La misión china despegó el 3 de mayo de 2024, se posó el 2 de junio en el cráter Apolo, dentro de la gigantesca cuenca Polo Sur-Aitken, y el 25 de junio devolvió a la Tierra 1,935.3 gramos de suelo lunar: las primeras muestras de la cara oculta de la historia. Los primeros estudios, publicados en Science y Nature, fecharon sus basaltos y mostraron que el manto de esa zona es muy seco. El nuevo trabajo se centra en otra pregunta: por qué las dos caras son distintas.

El estudio, dirigido por Hejiu Hui, de la Universidad de Nanjing, se publicó en línea en julio en la revista National Science Review, y la editorial Science China Press lo ha difundido esta semana. El equipo analizó 37 fragmentos de roca de las tierras altas y 10 de basalto, todos de una misma porción de suelo de la Chang’e-6, y los comparó con rocas del Apolo, de la Chang’e-5 y con un meteorito lunar.

Claves del estudio

• La corteza de la cara oculta es más rica en magnesio. En las anortositas, la roca clara que forma la corteza primitiva, el índice de magnesio de la Chang’e-6 va de 61 a 74, con una mediana de 66.4, frente a 63.0 en las del Apolo. La diferencia es estadísticamente significativa y coincide con lo que ya se veía desde órbita.
• Y casi no tiene KREEP. Las rocas de la llamada suite magnésica de la Chang’e-6 tienen concentraciones de tierras raras muy bajas y una proporción de torio a samario menor que sus equivalentes del Apolo. En cambio, su índice de magnesio es igual en las dos caras (una mediana de 78.0).
• El manto, en cambio, se parece. Los basaltos de la Chang’e-6, de unos 2,812 millones de años, salen de una fuente del manto parecida a la de los basaltos de bajo titanio del Apolo. Para los autores, la gran diferencia está en la corteza, no en el interior, aunque lo consideran una conclusión provisional.
• La explicación: mareas y un océano de magma que se mueve de lado. El océano de magma empezó a cristalizar de forma uniforme. Unos 20 millones de años después de formarse la Luna, la Tierra la frenó hasta dejarle siempre la misma cara hacia nosotros. Desde entonces, las mareas calentaron más la cara visible, y esa diferencia de temperatura puso en marcha una corriente lateral que pudo durar unos 200 millones de años.
• Qué arrastró esa corriente. La corteza rica en magnesio se acumuló en la cara oculta, que quedó más gruesa. El líquido residual, con el KREEP, el titanio y el torio, se quedó en la cara visible, donde después alimentó las grandes erupciones de lava. Los autores sugieren que ese flujo pudo dar incluso su forma alargada a la cuenca Polo Sur-Aitken.

Por qué importa

Es la primera vez que una explicación de las dos caras de la Luna se apoya en rocas de las dos caras, y no solo en modelos por computadora y en datos tomados desde órbita. El trabajo combina dos ideas que hasta ahora se planteaban por separado, la convección en el océano de magma y el calentamiento de marea, y le da a la segunda una prueba química. Además, encaja con lo que ya habían encontrado los primeros estudios de la Chang’e-6: un manto más frío y seco bajo la cara oculta.

Los propios autores marcan los límites: todos los fragmentos salen de una sola porción de suelo de un solo punto de la Luna, y no se sabe si representan a toda la cara oculta. Tampoco descartan del todo que los impactos hayan alterado las rocas, ni que la falta de KREEP tenga otro origen. Hay otros equipos que defienden explicaciones distintas, así que la pregunta seguirá abierta hasta que lleguen más muestras. Cada nueva misión que traiga rocas de otros puntos de la cara oculta servirá para ponerla a prueba.

Datos contrastados con el artículo en National Science Review (acceso abierto) y, para la misión, con la Administración Espacial Nacional China y Xinhua. Portada: cara oculta de la Luna, mosaico de la cámara LROC de la sonda LRO, NASA/Goddard/Arizona State University (dominio público, con texto).

Fuente: ScienceDaily, «Scientists may have finally solved the mystery of the Moon’s two faces»

ArtCraft, un pequeño estudio de software creativo, ha publicado en solo dos semanas 13 aplicaciones de código abierto que imitan a los programas más usados de Adobe, Microsoft y Autodesk: Photoshop, Premiere Pro, Lightroom, Illustrator, Acrobat, Word, Excel, PowerPoint, AutoCAD, Figma y otros. Todas están escritas desde cero en Rust, son gratuitas y funcionan en Windows, macOS y Linux. Una gran parte del código lleva la firma de un coautor poco habitual: Claude Opus 5.5, el modelo de Anthropic. Las ha reunido en una página con el estado de cada una, y ninguna se presenta todavía como terminada.

Detrás está Brandon Thomas, ingeniero y cineasta, fundador de FakeYou, una web de voces generadas con IA, y de Storyteller.ai. Su producto principal es ArtCraft, un estudio para crear imágenes y vídeo con IA con herramientas de composición en 2D y 3D, que lleva desde 2022 en GitHub y va por la versión 0.41. El 30 de septiembre su organización en GitHub, storytold, abrió los primeros repositorios de una familia nueva, las Crafting Apps: PhotoCraft, FilmCraft, LightCraft, VectorCraft y PdfCraft. Hasta el 9 de octubre fueron llegando las demás.

El ritmo llamó la atención enseguida. El 7 de octubre, el portal Phoronix contó que el proyecto «parece depender sobre todo de la IA», con Claude Code y otros agentes, y habló de posibles «retos legales». La historia se extendió después por medios de media Europa. En GitHub, la reacción ha sido enorme: PhotoCraft, la imitación de Photoshop, suma más de 61,000 estrellas en dos semanas.

Claves de las Crafting Apps

• Copias «de sala limpia». Cada README dice que la app es una «reimplementación de sala limpia» (clean-room) del programa al que imita, hecha «solo a partir de especificaciones públicas y del comportamiento observado», sin código, sombreadores ni recursos ajenos. Es la técnica clásica para copiar un programa sin infringir sus derechos de autor. Los menús, atajos y paneles están donde los espera quien viene del original: «si conoces Photoshop, ya conoces PhotoCraft», dice su README.
• Escritas con IA, a la vista. En los commits de PhotoCraft se ve cómo se trabaja: de los últimos 100 de Brandon Thomas, 75 llevan a Claude como coautor, casi todos con la etiqueta «Claude Opus 5.5». En los últimos 100 del repositorio, contando a todos, son 47: ya hay más de 300 colaboradores, varios de ellos con agentes como Cursor. PhotoCraft acumula 2,323 commits desde el 30 de septiembre, y los repositorios incluyen un archivo AGENTS.md con instrucciones para los agentes de programación.
• Nativas, locales y abiertas. No usan Electron ni vistas web: son programas nativos para Windows, macOS y Linux (PhotoCraft, también para FreeBSD), y doce de ellas funcionan además en el navegador con WebAssembly; la excepción es FilmCraft. Trabajan con los archivos del equipo, sin nube, y se publican con licencias permisivas: Apache 2.0, y PhotoCraft también MIT.
• Pensadas para que las maneje un agente. Todas se pueden controlar desde la terminal, por un canal JSON o como servidor MCP, el protocolo con el que los agentes de IA usan herramientas. PhotoCraft, por ejemplo, abre, edita y guarda imágenes sin interfaz y aplica una lista de acciones a una carpeta entera.
• Un lanzador para todas. El ArtCraft Launcher instala las apps y las mantiene al día; cada una tiene también sus instaladores sueltos en GitHub. La web anuncia la versión 0.3.2 del lanzador, pero en GitHub ya va por la 0.4.1, del 13 de octubre.

En qué estado está cada una

Todas salen con números de versión por debajo de 1.0 y todas publicaron una versión nueva el 14 de octubre. Las cifras de «listo para trabajo real» son estimaciones del propio proyecto, que en sus documentos compara cada app, menú por menú, con el programa original.

La más avanzada es PhotoCraft. Abre y guarda documentos de Photoshop con capas, y al volver a guardarlos conserva el resultado en 307 de los 309 archivos de prueba que usa. Aun así, su propio README avisa de que «todavía no sustituye a Photoshop para el trabajo profesional diario»: le faltan las funciones de IA generativa, 15 herramientas, profundidad en tipografía y compatibilidad con complementos. Que cada opción del menú esté conectada a una orden, añade, «mide el cableado, no el comportamiento». El 14 de octubre apareció además un repositorio nuevo, AniCraft, para animación en 2D, que todavía no figura en la web.

Por qué importa

Primero, la parte crítica. Las estrellas de GitHub miden curiosidad, no uso: nadie sabe cuántas personas editan ya fotos de verdad con PhotoCraft. Los porcentajes de paridad, por honestos que sean, los calcula el propio proyecto, y su propia comparación deja ver la trampa: que un menú exista no significa que haga lo mismo que en el original. Entre una cosa y otra hay de 16 a 31 puntos, y ese último tramo es el que distingue un programa que «casi» sirve de uno que se puede usar para un encargo con fecha de entrega.

Además, el ritmo que impresiona también preocupa. PhotoCraft ha recibido más de 2,300 commits en dos semanas, buena parte escritos por un modelo de IA, y ningún equipo humano puede revisar a fondo tanto código a esa velocidad. Mantener trece programas a la vez es una carga enorme para una empresa pequeña cuyo producto principal es otro, y la historia del software libre está llena de proyectos prometedores que se quedaron a medias: GIMP y LibreOffice llevan décadas intentando alcanzar a Photoshop y a Office. Queda, por último, la duda legal: si un juez no acepta que una IA entrenada con medio internet pueda hacer una copia de «sala limpia», el proyecto entero podría quedar en entredicho.

Dicho esto, para los artistas y los usuarios de Adobe puede ser una buena noticia. Adobe vende sus programas por suscripción desde 2013, y en países como México ese pago mensual en dólares pesa mucho para estudiantes, ilustradores independientes o pequeños estudios. Una alternativa gratuita que abre y guarda archivos de Photoshop con capas permite empezar a aprender sin pagar, abrir trabajos antiguos sin renovar la suscripción o pasar un archivo a un compañero que no la tiene. Funciona en Linux, donde Adobe no ofrece sus programas, y guarda todo en el equipo, sin cuenta ni nube. Al ser código abierto, si el proyecto se abandona, el código y los formatos quedan ahí para que otros lo continúen.

También es una buena noticia para quien sigue con Adobe: la competencia presiona en precios y en condiciones. Y el control por agentes abre usos que el original no ofrece de serie, como aplicar los mismos ajustes a cientos de imágenes desde la terminal. La recomendación, por ahora, es tratar las Crafting Apps como un complemento para probar y aprender, siempre con copias de los archivos, y no como un sustituto para el trabajo del que dependes.

Datos contrastados con la página de las Crafting Apps y con los repositorios de storytold en GitHub (estrellas, versiones, licencias, commits y estimaciones de paridad consultados el 14 de octubre de 2026, con la API de GitHub), en especial el de PhotoCraft; primeras reacciones, de Phoronix. Portada: puesto de trabajo con una tableta gráfica Wacom Cintiq, foto de Norbert Levajsics, Wikimedia Commons, CC0 (recortada, con texto). Adobe, Photoshop, Microsoft, Word, Excel, Autodesk, AutoCAD y Figma son marcas de sus dueños; las Crafting Apps no tienen relación con ellos.

Fuente: ArtCraft, «Crafting Apps»

Google abrió el 13 de octubre Gemini 4 Argon, el primer modelo de su nueva familia Gemini 4, a desarrolladores, empresas y suscriptores de pago. Lo presenta como su modelo de frontera para el «trabajo profundo»: programación, finanzas, derecho, ciberseguridad y ciencia. Admite un millón de tokens entre entrada y salida y, hasta el 30 de noviembre, cuesta $2.00 USD por millón de tokens de entrada y $10.00 USD por millón de salida; a partir del 1 de diciembre, el doble.

Google había presentado el modelo el 30 de septiembre, pero solo para un grupo de defensores de ciberseguridad de confianza, a través de su programa Fairwind. Ahora llega a todos los canales a la vez: la API, Gemini para empresas, la app de Gemini, el modo IA del buscador y Antigravity, su entorno de programación con agentes. Según la ficha técnica, Argon es un modelo nuevo, no una versión ajustada de uno anterior: una red de «mezcla de expertos» dispersa, entrenada con los chips TPU de Google, con conocimientos hasta marzo de 2026.

El lanzamiento llega un día después de que Meta presentara Muse Wonder, y en la ficha técnica Google se compara directamente con los modelos más avanzados de OpenAI y Anthropic: GPT-6 Astra, Claude Fable 5.1 y Claude Opus 5.5.

Claves de Gemini 4 Argon

• Dónde se puede usar. En la API, con el identificador gemini-4-argon, desde AI Studio, la plataforma Gemini de Google Cloud y Android Studio, solo en el nivel de pago. En la app de Gemini y en el modo IA del buscador, con los planes Google AI Pro y Ultra; en Antigravity, con Ultra. Los científicos pueden pedir seis meses de acceso gratuito al nivel de uso más alto de Antigravity, sujeto a selección.
• Un millón de tokens, también de salida. El límite es conjunto: entrada y respuesta suman como máximo un millón de tokens, y la respuesta puede ocupar casi todo. Es un salto enorme frente a los 64,000 tokens de salida de los modelos anteriores, pensado para tareas que generan mucho texto o código de una vez. Acepta texto, imágenes, audio y vídeo y responde en texto.
• Precio de lanzamiento. Hasta el 30 de noviembre: $2.00 USD por millón de tokens de entrada, $0.10 USD si la entrada está en caché y $10.00 USD por millón de salida, incluidos los tokens de razonamiento. Desde el 1 de diciembre: $4.00 USD, $0.20 USD y $20.00 USD, el mismo precio que Muse Wonder de Meta. Las peticiones por lotes cuestan la mitad, y no hay nivel gratuito.
• Lo que dice haber hecho ya. Google cuenta que, con Argon en Antigravity, sus ingenieros enviaron más de un 35 % más de código y deshicieron casi un tercio menos de cambios. También que el modelo aceleró el motor de inferencia vLLM con un modelo Gemma de unos 37,900 a más de 108,000 tokens por segundo y que, a partir de vídeos, aprendió a lanzar saquitos al juego del cornhole con el robot humanoide Apollo, de Apptronik, y encestó siete seguidos.
• Seguridad. La ficha reconoce que Google no puede descartar que Argon haya alcanzado el nivel de capacidad crítica de su marco de seguridad en biología y en ciberseguridad, así que preparó para cada uno un «caso de seguridad» con las medidas que, según su evaluación, rebajan el riesgo. Por eso los defensores de ciberseguridad lo usan a través de Fairwind, donde se desactivan los frenos que el modelo tiene para ese tema. En la prueba de inyección indirecta de instrucciones de Gray Swan, los ataques solo tuvieron éxito un 0.7 % de las veces.

Porcentajes de la tabla de resultados de la ficha técnica de Google (octubre de 2026), en la que la propia Google elige las pruebas y mide a los rivales. Selección de nueve de sus diecinueve filas. Meta publicó para Muse Wonder un 78.8 y para Wonder Full un 79.0 en DeepSWE 1.1, pero son cifras de cada empresa y no se pueden comparar de forma controlada.

Por qué importa

En dos días han llegado los modelos de gama alta de Meta y de Google, y las tablas de ambos dicen lo mismo: ya no hay un modelo que gane en todo. Argon destaca en trabajo de oficina, en tareas legales, en vídeo y, sobre todo, en documentos muy largos, donde saca más de 12 puntos al siguiente. En cambio, queda por detrás de Claude Opus 5.5 en la terminal y de GPT-6 Astra en una de las dos pruebas de programación y en el uso de un ordenador. Para quien elige proveedor, lo sensato es probar con sus propias tareas.

El precio es la otra jugada. Hasta finales de noviembre, Argon cuesta la mitad que Muse Wonder, y la salida de un millón de tokens abre usos que antes obligaban a trocear el trabajo, como reescribir un módulo entero de una vez. Pero es un precio de lanzamiento: desde diciembre se iguala con el de Meta, y quien construya ahora sobre Argon debe hacer las cuentas con la tarifa definitiva.

Datos contrastados con la presentación del modelo, la ficha técnica, la página de precios de AI Studio y la lista de modelos de la API de Gemini. Portada: campus de Google en Mountain View (California), foto de Sebastian Bergmann, Wikimedia Commons, CC BY-SA 2.0 (recortada, con texto).

Fuente: Google, «Introducing Gemini 4 Argon»

Ivanti publicó el lunes 13 de octubre la corrección de un fallo grave en Connect Secure, la VPN que usan miles de empresas y administraciones para que sus empleados se conecten a la red interna. La vulnerabilidad, la CVE-2026-104935, permite a un atacante ejecutar órdenes en el equipo sin iniciar sesión, y ya se estaba usando en ataques antes de que existiera el parche: es un fallo de día cero. La CISA, la agencia de ciberseguridad de Estados Unidos, la añadió ese mismo día a su lista de vulnerabilidades explotadas y da a las agencias federales hasta el jueves 16 de octubre para corregirla. Además, los atacantes la combinaron con un segundo fallo que todavía no tiene parche.

Connect Secure, antes llamada Pulse Connect Secure, es una pasarela VPN: un equipo que se coloca en el borde de la red, expuesto a internet, y que deja pasar a los usuarios autorizados hacia los sistemas internos. Precisamente por eso es uno de los objetivos favoritos de los atacantes, y no es la primera vez que le pasa. En enero de 2024 dos fallos encadenados (CVE-2023-46805 y CVE-2024-21887) se usaron de forma masiva antes de tener parche, y en enero de 2025 se repitió la historia con la CVE-2025-0282.

Claves del fallo

• Qué permite. Según la ficha oficial del NVD, es una omisión de la autenticación por suplantación (CWE-290) que permite a un atacante remoto y sin credenciales ejecutar órdenes arbitrarias. Tiene una nota CVSS de 8.6 sobre 10: se ataca por la red, sin privilegios ni intervención de nadie, con impacto alto en la confidencialidad.
• Versiones afectadas. Según el resumen que Rapid7 hace del aviso de Ivanti, las 25.1.1.1 y anteriores, las 25.1.2.2 y anteriores y las 22.8R2.4 y anteriores. Las corregidas son la 25.1.1.2, la 25.1.3.0 o 25.1.3.1 y la 22.8R2.5. La rama 22.7 no está afectada. La 25.1.3.0, de julio, ya incluía parte de la corrección; los atacantes aprovecharon el tiempo en que Ivanti la llevaba al resto de versiones.
• Desde cuándo se ataca. La empresa de seguridad Volexity lo descubrió al investigar, a partir del 5 de octubre, actividad sospechosa en un cliente: la explotación había empezado el 3 de octubre, y el equipo atacado tenía instaladas todas las actualizaciones disponibles. Ivanti habla de una «explotación limitada» en algunos clientes.
• Un segundo fallo, sin parche. Para tomar el control total, los atacantes encadenaron otro fallo que les daba privilegios de administrador (root) en el equipo. Según Volexity, todavía no tiene número de CVE ni corrección, e Ivanti la espera «en las próximas semanas».
• Qué hicieron dentro. No dejaron ningún programa instalado: daban las órdenes a través del propio fallo. Robaron las credenciales del dominio guardadas en el equipo, contraseñas de administrador local y claves de recuperación de BitLocker, capturaron tráfico para obtener más contraseñas y borraron rastros de los registros. Volexity atribuye el ataque a un grupo hasta ahora desconocido, al que llama UTA0576, probablemente con fines criminales, y cree con confianza media que se ayudó de modelos de lenguaje para preparar el ataque.
• La herramienta de comprobación no lo ve. Ivanti recomienda pasar con regularidad su Integrity Checker Tool, pero Volexity advierte que en este caso no detecta la intrusión, porque el ataque solo modifica la memoria y deja la configuración como estaba.

Por qué importa

Una VPN corporativa es la puerta de entrada a toda la red de una empresa, y quien la controla ve pasar las contraseñas de todos los que se conectan. Por eso este ataque fue directo a por las credenciales del dominio y las claves de BitLocker: con ellas se puede avanzar hacia el resto de sistemas aunque luego se parchee la VPN. Que el equipo atacado estuviera al día, que el ataque no deje programas que detectar y que la herramienta oficial de comprobación no lo vea hacen que muchas organizaciones no puedan saber con certeza si han sido víctimas.

El plazo de solo tres días que da la CISA refleja esa urgencia. Y el caso suma otro patrón preocupante: según Volexity, los atacantes se apoyaron en la inteligencia artificial para preparar el ataque, lo que puede acortar todavía más el tiempo entre que se descubre un fallo y se aprovecha. Con un segundo fallo aún abierto, quien tenga uno de estos equipos expuesto a internet tiene que parchear hoy y seguir atento a la próxima versión.

Datos contrastados con la ficha de la CVE-2026-104935 en el NVD, el catálogo de vulnerabilidades explotadas de la CISA, el blog de Ivanti y la investigación de Volexity. Portada: switch de red de cinco puertos, foto de www.heimnetzwerke.net, Wikimedia Commons, CC BY 4.0 (recortada, con texto).

Fuente: Rapid7, «Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935)»

GlobalFoundries, uno de los mayores fabricantes de chips por encargo del mundo, construirá y operará dos nuevas fábricas en su campus de Malta, en el estado de Nueva York. El dinero lo pone Japón: hasta $21,000 millones de USD, dentro del acuerdo comercial que firmó con el gobierno de Donald Trump. La primera fábrica debería empezar a producir en 2029, y el gobierno estadounidense se quedará además con cerca del 4 % de la empresa.

GlobalFoundries nació en 2009 a partir de las fábricas de AMD y hoy la controla Mubadala, el fondo soberano de Abu Dabi. No compite con TSMC en los chips más avanzados: en 2018 dejó la carrera de los 7 nanómetros y se centró en chips para coches, comunicaciones, gestión de energía o defensa, que se hacen con procesos más maduros y que siguen siendo imprescindibles. Su planta más grande, la Fab 8, está en Malta, cerca de Albany, y funciona desde 2009. En 2024 ya había recibido una ayuda de la ley CHIPS de la etapa de Joe Biden para ampliar ese campus.

El acuerdo de ahora es distinto: lo paga otro país. En 2025, Japón se comprometió a invertir $550,000 millones de USD en Estados Unidos a cambio de que Washington bajara los aranceles a sus coches y a otros productos del 25 % al 15 %. Según Reuters, es Trump quien elige en qué proyectos se gasta ese dinero, y el de GlobalFoundries es uno de ellos.

Claves del acuerdo

• Dos fábricas, unos $10,000 millones cada una. La primera es una fábrica de obleas de 300 mm, el tamaño estándar actual, y se empezará a construir a finales de 2026 en un terreno que ya tiene los permisos. La segunda se financiaría con otros unos $10,000 millones de USD; el comunicado no da fecha para ella y advierte de que los planes pueden cambiar si el dinero se retrasa.
• Capacidad. Cada fábrica podrá producir unas 900,000 obleas de 300 mm al año cuando funcione a pleno rendimiento. La empresa no ha dicho qué tecnologías ni qué tamaño de transistor usarán.
• Quién pone qué. Japón aporta el dinero y GlobalFoundries la tecnología, la experiencia y la operación. Según Reuters, las plantas serán de propiedad conjunta del gobierno estadounidense y de «intereses japoneses», y GlobalFoundries cobrará por construirlas, operarlas y licenciar su tecnología. Su director ejecutivo, Tim Breen, lo resume así: a GF la eligieron «porque unas fábricas de esta escala necesitan algo más que capital».
• Un 4 % para el gobierno de EE. UU. En un acuerdo aparte, el Departamento de Comercio recibirá cerca del 4 % de GlobalFoundries. Con eso, según Breen, el gobierno tendrá alrededor del 7 % de la empresa. Es la misma fórmula que ya usó con Intel: ayudas a cambio de acciones.
• Clientes. En el anuncio aparecen Apple, Renesas, Cirrus Logic, General Motors y Tokyo Electron, el fabricante japonés de maquinaria para chips. Según Reuters, Renesas y Apple serán de los primeros clientes, y Breen quiere dar prioridad a los de Estados Unidos y Japón.
• Empleo y ayudas. La empresa calcula unos 27,000 empleos en la construcción y en los proveedores, y más de 1,000 puestos fijos en la fábrica. Además, $955 millones de USD de su ayuda de la ley CHIPS se dedicarán ahora a fotónica de silicio, chips de silicio-germanio y encapsulado avanzado, en Malta y en Burlington (Vermont).

Por qué importa

El acuerdo muestra un cambio de modelo: un aliado paga una fábrica de chips en suelo estadounidense a cambio de aranceles más bajos. Con la ley CHIPS, Estados Unidos ponía subvenciones para atraer a las empresas; ahora el dinero llega de otro país, el gobierno elige el proyecto y además se queda con acciones de la empresa que lo ejecuta. Para Japón es también una forma de colocar a sus proveedores: parte del dinero irá a fabricantes de equipos como Tokyo Electron.

Que el elegido sea GlobalFoundries y no un fabricante de chips de vanguardia también dice algo. Mientras la atención se la llevan los procesadores para inteligencia artificial, la escasez de 2021 dejó claro que los coches, las redes o los aparatos de defensa dependen de chips más sencillos, fabricados casi todos en Asia. Las dos fábricas de Malta apuntan a ese hueco. La primera no producirá hasta 2029, y la segunda depende de que llegue la segunda mitad del dinero.

Datos contrastados con el comunicado de GlobalFoundries presentado ante la SEC; la propiedad de las fábricas, los clientes y las condiciones del acuerdo entre Japón y EE. UU., de Reuters, y el destino de las ayudas anteriores, de AP. Portada: oblea de silicio, foto de Enrique Jiménez, Wikimedia Commons, CC BY-SA 2.0 (recortada, con el fondo ampliado y texto).

Fuente: GlobalFoundries, comunicado del 14 de octubre de 2026 (formulario 6-K de la SEC)

Hesai, la empresa china que más sensores lidar vende para coches, quiere hacer lo mismo con los robots. El 14 de octubre presentó en Shanghái Kosmo, una cámara que escanea espacios reales y los convierte en escenarios 3D con los que entrenar robots. Según la compañía, una sola persona escanea una sala de 100 m² en unos 15 minutos. Hesai no ha dado precio ni fecha de venta.

Hesai empezó fabricando lidar, los sensores que miden distancias con pulsos de láser y que llevan muchos coches con ayudas a la conducción y los robotaxis. Según Reuters, en tres años se ha convertido en el mayor proveedor del mundo de lidar para coches, ha bajado el coste por unidad por debajo de $200 USD y vende a Mercedes-Benz, Volkswagen, General Motors y Ford. Ahora apuesta por la llamada IA física: modelos que no escriben texto, sino que mueven robots en el mundo real.

El problema de esa IA es la falta de datos. Un modelo de lenguaje aprende de los textos de internet, pero un robot necesita entrenar en espacios reales, con su geometría, sus materiales y su luz, y grabar esos datos es lento y caro. «Hay una gran carencia de datos espaciales de calidad para entrenar a los robots», dijo a Reuters David Li, cofundador y director ejecutivo de Hesai. Kosmo es su respuesta. La empresa ya lo había enseñado en ferias este año, pero ahora lo ha lanzado de forma oficial.

Claves de Kosmo

• Una cámara y una nube. Kosmo tiene dos partes: Kosmo One, la cámara, y Kosmo World, una plataforma en la nube que procesa lo capturado. Según Reuters, la cámara tiene una forma parecida a la de una botella de vino.
• Lidar, imagen y movimiento a la vez. Kosmo One junta un lidar de alta resolución, un sensor de imagen de una pulgada y una unidad de medición inercial (IMU), que registra cómo se mueve la cámara. Así captura a la vez la forma, el color y la textura del espacio y la posición desde la que se ve. Hesai la anuncia como cámara 8K, pero aclara que esa es la resolución de captura: los archivos que exporta el usuario llegan a 6K.
• Del escaneo al escenario 3D. Kosmo World reconstruye el espacio con 3D Gaussian Splatting, una técnica que representa la escena con millones de pequeñas manchas de color y logra un aspecto casi fotográfico, con precisión milimétrica según Hesai. De una sola reconstrucción saca tres cosas: la escena realista, una malla 3D y los datos de profundidad. La IA rellena las zonas que no se escanearon y separa cada objeto de la escena.
• Un caso real con helados. En una heladería Dairy Queen, preparar el escenario de entrenamiento habría llevado unas 300 horas de modelado manual; con Kosmo, escanear y reconstruir llevó 15 minutos. El robot de Sharpa que entrenaron con él alcanzó un 99% de éxito en su tarea y redujo sus fallos a la décima parte, según Hesai, y ya sirve helados en la tienda. Sharpa es una empresa de robótica independiente que fundaron los cofundadores de Hesai.
• Miles de prácticas por cada espacio. Hesai dice que de un solo espacio escaneado salen más de 10,000 trayectorias de entrenamiento, y que por el mismo coste se obtienen más de 100 veces más datos que grabando a un robot de verdad.
• Abierto a las herramientas habituales. Los datos y los modelos 3D funcionan con NVIDIA Isaac Sim e Isaac Lab, los simuladores de NVIDIA para entrenar robots, y con Unreal Engine, RenderMan de Pixar y Houdini. Hesai anunció acuerdos con las empresas chinas de robots Galbot y Dexmal, y ya hay escenas suyas en la vista 3D del mapa chino Amap.
• Lo que no se sabe. Hesai no ha publicado el precio, la fecha de venta, el peso ni la autonomía de la cámara. Li tampoco quiso dar a Reuters previsiones de ingresos.

Por qué importa

La carrera de los robots humanoides se está decidiendo tanto en los datos como en las máquinas. Los modelos que controlan robots necesitan practicar en miles de lugares distintos, y llevar un robot a cada casa, tienda o fábrica no escala. Si escanear un espacio cuesta quince minutos, se puede convertir el mundo real en un simulador y entrenar allí antes de tocar nada. Kosmo apunta a ese cuello de botella con lo que Hesai mejor sabe hacer: sensores lidar baratos y fabricados en masa.

También es un movimiento de empresa. Hesai fabrica además los actuadores, los motores que mueven las articulaciones, y ya ha entregado más de 10,000 módulos. Li dijo a Reuters que quiere ser para la robótica lo que Bosch es para los coches, el gran proveedor de piezas de toda la industria. Primero ha enseñado a las máquinas a ver; ahora quiere venderles también los datos con los que aprenden y los motores con los que se mueven.

Datos contrastados con la nota de prensa de Hesai; las cifras de rendimiento son de la propia empresa. Contexto y declaraciones de David Li, de Reuters. Portada: escáner lidar de mano Zebedee, un aparato del mismo tipo que Kosmo, foto de CSIRO, Wikimedia Commons, CC BY 3.0 (recortada, con texto).

Fuente: Hesai, «Building the Data Infrastructure for Physical AI: Hesai Launches Kosmo 3D World Data Engine»

Character.AI, la app para conversar con personajes creados con inteligencia artificial, se ha declarado en quiebra. Su empresa, Character Technologies, se acogió el lunes 12 de octubre al capítulo 11 de la ley de quiebras de Estados Unidos para vender la compañía bajo supervisión de un juez. Ya tiene una primera oferta: Disney pagaría $20 millones de USD por una licencia de parte de su tecnología. La app sigue funcionando, pero la propia empresa avisa de que cerrará si ningún comprador se compromete a mantenerla.

Character.AI fue una de las estrellas de la primera ola de la IA generativa. La fundaron a finales de 2021 Noam Shazeer y Daniel De Freitas, dos exingenieros de Google; Shazeer es coautor del artículo que presentó la arquitectura Transformer, la base de los modelos de lenguaje actuales. En 2022 ya valía más de mil millones de dólares, y en 2024 Google pagó, según se publicó entonces, unos $2,700 millones de USD por una licencia de sus modelos y se llevó de vuelta a los dos fundadores. Ese año la app llegó a unos 20 millones de usuarios al mes, según TechCrunch.

Desde entonces, la empresa ha acumulado problemas. Afronta varias demandas de familias que acusan a sus chatbots de dañar a adolescentes, entre ellas la de la madre de un chico de 14 años de Florida que se quitó la vida. También la investiga Texas por la protección de los menores. Character.AI llegó a acuerdos en algunos casos, añadió medidas de seguridad y acabó cerrando el chat abierto a los menores de edad. Mantener conversaciones tan largas con un modelo de IA, además, cuesta mucho dinero en servidores.

Claves de la quiebra

• Qué es el capítulo 11. Es la vía de la ley estadounidense que permite a una empresa seguir funcionando mientras reorganiza sus deudas o se vende bajo control judicial, sin que los acreedores puedan embargarla. La petición, el caso 26-11603 del Tribunal de Quiebras del Distrito de Delaware, la firma el director ejecutivo, Colin Adams. Según TechCrunch, la empresa calcula que tiene entre $50 y $100 millones de USD tanto en activos como en deudas.
• Qué compra Disney. No la empresa ni la app, sino una licencia no exclusiva y perpetua de cierta propiedad intelectual y de ciertos derechos de reclamación de Character.AI, por $20 millones de USD. Además, prestará servicios de transición con antiguos empleados de Character.AI que ya trabajan en Disney, para que la plataforma pueda seguir funcionando de forma segura durante un tiempo. Según TNW, Disney fichó en septiembre a Karandeep Anand, hasta entonces director ejecutivo de Character.AI, como su primer jefe de tecnología.
• Una oferta de salida, no la definitiva. Disney actúa como primer postor (en la jerga, stalking horse): su oferta marca el precio mínimo y cualquiera puede mejorarla. La empresa pidió al juez que apruebe las reglas de la subasta y espera cerrar la venta a finales de noviembre o principios de diciembre.
• A quién debe. En la lista de sus mayores acreedores sin garantía, el primero es Google, con $4,148,944.00 USD en facturas pendientes. Le siguen el bufete Hogan Lovells, con $2,125,026.00 USD; el proveedor de servidores DigitalOcean, con $1,953,100.00 USD, y Fireworks.ai, una plataforma para ejecutar modelos de IA, con $813,900.00 USD, una deuda que figura como disputada.
• Qué pasa con los usuarios. La app y la web siguen abiertas, y las suscripciones de pago se mantienen sin cambios por ahora; la empresa promete avisar antes de tocar las funciones de pago. Quien quiera guardar sus conversaciones puede exportar sus datos o borrar la cuenta desde la app o la web.

Por qué importa

Character.AI es una de las primeras estrellas de la IA de consumo que acaba en quiebra, y su caso resume los dos grandes riesgos de este negocio. El primero es el coste: cuanto más enganchan los usuarios, más gastan en servidores, y la lista de acreedores lo refleja con Google, DigitalOcean y Fireworks.ai entre los primeros. El segundo es la responsabilidad. Las demandas por el daño a menores pesaron tanto como las cuentas, y la empresa habla en su comunicado de «importantes dificultades legales, regulatorias y operativas».

También muestra cómo cambian de manos los activos de la IA. Ni Google en 2024 ni Disney ahora han comprado la empresa: se han quedado con licencias de su tecnología y con su gente, y han dejado atrás la app, los usuarios y los pleitos. Para millones de personas que han creado personajes y conversaciones en la plataforma, la pregunta ahora es si alguien querrá quedarse con lo que queda.

Datos contrastados con la petición de quiebra presentada en el tribunal y con el comunicado de la empresa; historia y contexto de TechCrunch y TNW. Portada: entrada de la sede de The Walt Disney Company en Burbank (California), foto de Coolcaesar, Wikimedia Commons, CC BY-SA 3.0 (recortada, con texto).

Fuente: Character.AI, «An Update on Character.ai»

Microsoft publicó el martes 13 de octubre su paquete mensual de seguridad, el Patch Tuesday, y bate récords: según BleepingComputer y SecurityWeek, nunca había corregido tantas. Son más de 1,400 vulnerabilidades en Windows, Office, .NET, Azure y el resto de sus productos. Una de ellas, la CVE-2026-96951, ya se estaba aprovechando en ataques reales antes del parche: permite que un archivo descargado de internet se salte Mark of the Web, la marca con la que Windows avisa de que un archivo viene de fuera. Este parche también es el último para Windows 11 24H2 Home y Pro.

Microsoft publica sus correcciones de seguridad el segundo martes de cada mes. El boletín oficial de octubre reúne unas 1,760 entradas, pero unas 350 se habían publicado antes durante el mes, sobre todo de servicios de Azure, Exchange Server y Dataverse. Por eso cada medio da un total algo distinto: BleepingComputer cuenta 1,411 fallos publicados el martes, 70 de ellos críticos; Tenable, 1,407, y SecurityWeek, 1,413.

Según el recuento de BleepingComputer, casi la mitad son elevaciones de privilegios (677), 317 permiten ejecutar código a distancia, 254 revelan información, 73 provocan denegaciones de servicio, 40 se saltan alguna función de seguridad y 28 son de suplantación. Entre los críticos hay fallos de ejecución remota de código en los Servicios de dominio de Active Directory y en Azure App Service.

Claves del parche de octubre

• El fallo que ya se aprovechaba. La CVE-2026-96951 es una inyección de órdenes en el shell de Windows con una puntuación CVSS de 8.8. Microsoft explica que el atacante tiene que conseguir que la víctima abra un archivo preparado o pulse un enlace, por ejemplo en un correo o un mensaje. Si lo consigue, el archivo esquiva Mark of the Web: Windows lo trata como si no viniera de internet, sin el aviso de seguridad ni las protecciones que dependen de esa marca. Afecta a todas las versiones con soporte, desde Windows 10 1607 hasta Windows 11 26H2, y desde Windows Server 2012 R2 hasta Server 2025.
• Quién lo encontró. Microsoft reconoce a cuatro informantes: el investigador conocido como yhw, Riku Bamba y Yuya Chudo, de Fujitsu, y Benoit Sevens, que según el boletín lo encontró «usando Claude con Anthropic». Microsoft no da detalles de los ataques ni de quién estaba detrás.
• Dos fallos más, ya públicos antes del parche. La CVE-2026-108398, en .NET Framework, también tiene un 8.8. Requiere acceso local y, según BleepingComputer, permite saltarse el control de aplicaciones de Windows (WDAC). La descubrió James Forshaw, de Google Project Zero. La CVE-2026-92707, en la librería MessagePack-CSharp de .NET, puede tumbar un servicio a distancia y es de gravedad moderada. Ninguna de las dos se ha visto en ataques.
• La CISA pone plazo. La agencia de ciberseguridad de Estados Unidos añadió la CVE-2026-96951 a su catálogo de vulnerabilidades explotadas el mismo día 13 y da a las agencias federales hasta el 16 de octubre para parchear.
• Fin de soporte. Windows 11 24H2 en sus ediciones Home y Pro deja de recibir actualizaciones con este parche: quien siga en esa versión tiene que pasar a la 25H2 o a la 26H2. Según BleepingComputer, también es el último para Windows 10 Enterprise LTSB 2016, y Windows 11 23H2 Enterprise y Education tendrán su último parche en noviembre.

Por qué importa

Mark of the Web es una de las defensas más silenciosas y útiles de Windows. Es lo que hace que un documento de Office descargado se abra en modo protegido, con las macros bloqueadas, o que Windows avise antes de ejecutar un programa bajado de internet. Saltársela es un paso clásico en las campañas de correo malicioso: no da el control del equipo por sí solo, pero quita el aviso que habría frenado a la víctima. Por eso Microsoft la marca como «Importante» y no como crítica, y aun así es la que conviene instalar primero.

El crédito del fallo explotado también dice algo: uno de los investigadores lo encontró con Claude, el modelo de Anthropic. La IA ya forma parte del trabajo diario de quienes buscan vulnerabilidades, y paquetes de más de 1,400 correcciones dejan a administradores y usuarios con menos margen para aplazar los parches.

Datos contrastados con el boletín de seguridad de octubre de Microsoft (MSRC), el catálogo de vulnerabilidades explotadas de la CISA y el ciclo de vida de Windows 11 Home y Pro; recuentos de BleepingComputer, Tenable y SecurityWeek. Portada: portátil con la instalación de Windows, foto de I G, Wikimedia Commons, CC BY 2.0 (recortada, con degradado).

Fuente: Microsoft Security Response Center, CVE-2026-96951