Spotify duplica los cambios de código mientras la IA encuentra una falla crítica en el kernel

Spotify informó que el desarrollo asistido por IA más que duplicó sus cambios fusionados mensuales, pasando de aproximadamente 8.100 a 17.000 interanualmente en agosto, según InfoQ. Este aumento en la velocidad estuvo acompañado de un mantenimiento automatizado significativo, con el sistema Fleet Management de Spotify fusionando más de 2,5 millones de solicitudes de extracción de mantenimiento automatizado, la mayoría de las cuales se fusionaron automáticamente tras las comprobaciones de seguridad. Las ganancias en eficiencia se destacaron aún más por una reciente migración de Java en los servicios backend que tomó solo tres días, como señaló InfoQ. Sin embargo, esta aceleración en la entrega coincide con un período en el que las propias herramientas de IA han descubierto vulnerabilidades de seguridad graves, lo que sugiere que la velocidad debe equilibrarse con controles de calidad rigurosos.

En el mismo período, Tencent Zhuque Lab descubrió una falla crítica en el kernel de Linux utilizando un sistema de IA multiagente llamado Corvus AI, según informó The Hacker News. La vulnerabilidad, conocida como Vghost, permite a los usuarios locales obtener privilegios de root y potencialmente escapar de las máquinas virtuales hacia el host, afectando a los kernels de Linux desde la versión 4.11 hasta la 7.2-rc4. Este descubrimiento subraya la doble naturaleza de la IA en la ingeniería de software: puede acelerar el desarrollo, pero también expone problemas profundos que la revisión humana podría pasar por alto. The Hacker News señaló que la falla permite a un usuario local leer y escribir memoria del kernel a voluntad, una capacidad que persiste a través de casi una década de versiones del kernel.

Simultáneamente, Next.js lanzó una actualización de seguridad fuera de ciclo el 14 de octubre para abordar dos fallas críticas de ejecución remota de código, según The Hacker News. Vercel, el desarrollador de Next.js, calificó ambas fallas de ejecución de código como críticas con una puntuación CVSS de 9.5. La actualización también abordó una falla de denegación de servicio de alta severidad que afecta a las aplicaciones de App Router. The Hacker News informó que uno de los problemas subyacentes, CVE-2026-96889 en librsvg, se hizo público el 23 de septiembre y se corrigió en sharp el 27 de septiembre, destacando la importancia de parchear las dependencias a tiempo. Estos eventos ilustran colectivamente que, si bien la IA puede aumentar drásticamente el volumen de cambios de código, como se vio con Spotify, también hace necesario una revisión humana robusta, pruebas automatizadas que fallen sin correcciones y una gestión estricta de dependencias para mantener la seguridad y la confiabilidad.