Resumen tecnológico: semana del 12 al 18 de octubre de 2026

La semana empezó con una serie de lanzamientos de modelos. El lunes 12 Meta presentó Muse Wonder y Muse Wonder Full, sus modelos más capaces hasta ahora, orientados a agentes y a programación; el primero llegó a su API a 4 dólares por millón de tokens de entrada, mientras que el segundo quedó reservado a suscriptores de Muse Code. Al día siguiente Google respondió con Gemini 4 Argon, el primer modelo de la familia Gemini 4, disponible desde el primer día en la API de Gemini, en el entorno de agentes Antigravity y en la app Gemini, con un precio de lanzamiento de 2 dólares por millón de tokens de entrada y el trabajo largo de varios pasos como terreno principal. El jueves Meta cumplió lo que había adelantado y publicó los pesos de Muse Spark Open, una mezcla de expertos multimodal de 816.000 millones de parámetros con unos 42.000 millones activos, que comparte modelo base con Muse Spark 1.3 y suma entrenamiento de seguridad adicional para cuando se ejecuta sin las barreras de un servicio gestionado. Su licencia es propia y con términos comerciales limitados, y ese detalle marca el contraste con Beam, el primer modelo abierto de Reflection, que salió al día siguiente bajo Apache 2.0 con 501.000 millones de parámetros, unos 23.000 millones activos por token y un contexto de un millón de tokens. Entre los pesos abiertos estadounidenses, la semana dejó así dos apuestas de escala parecida y condiciones de uso muy distintas.

Debajo de los modelos, la competencia se libra en el silicio. Microsoft anunció Maia 300, la tercera generación de sus aceleradores Azure Maia, diseñada desde el principio para inferencia de contexto largo y agentes de varios pasos; la empresa estima un 40 % más de tokens por megavatio que los sistemas basados en GPU líderes y la convertirá en su sistema principal de inferencia, con despliegues de varios gigavatios desde 2027. Nvidia, en cambio, llevó su pila de software a la fabricación de chips: en SEMICON West presentó cuPotential, una biblioteca CUDA-X para simular interacciones entre átomos y moléculas que, según sus pruebas de acceso anticipado, acelera entre dos y tres veces flujos ya optimizados para GPU, con Applied Materials, Cadence, KLA, Lam Research y Synopsys entre quienes adoptan esa pila. Y en el extremo del usuario, el 16 llegaron a las tiendas los primeros portátiles con RTX Spark, el superchip que reúne una GPU Blackwell y una CPU Grace con hasta 128 GB de memoria compartida, en equipos de ASUS, Dell, HP, Lenovo, Microsoft y MSI desde 2.599 dólares; la preventa del Surface Laptop Ultra que recogía el resumen de la semana anterior pasó así a producto en venta. Amazon, por su parte, apostó por el hardware de IA personal con Bee Frontier y Bee Eclipse, un wearable de 74,99 dólares y un accesorio magnético para el teléfono de 99,99 dólares que convierten conversaciones en resúmenes y tareas, los primeros productos de la marca desde que la compró.

La propiedad intelectual de esa arquitectura de chips tuvo su propio capítulo. El 13 de octubre un jurado federal de Delaware cerró el segundo juicio entre Arm y Qualcomm con un resultado que ambas empresas presentan como victoria: según sus comunicados, el jurado concluyó que Arm incumplió el acuerdo de licencia de arquitectura que tiene con Qualcomm, pero fijó una indemnización total de 2 dólares, y dio la razón a Qualcomm en dos reclamaciones y a Arm en otras cuatro. El fondo de la disputa es la diferencia entre la licencia de tecnología, que permite integrar núcleos ya diseñados por Arm, y la licencia de arquitectura, que autoriza microarquitecturas propias: Arm sostiene desde la compra de Nuvia que esa operación cedió sin su consentimiento las licencias de la startup, y Qualcomm responde que sus núcleos Oryon están cubiertos por su propia licencia de arquitectura.

En seguridad, la semana tuvo un patrón claro: tres productos que concentran acceso privilegiado a redes corporativas resultaron explotados antes o casi al mismo tiempo que su parche. Ivanti corrigió el 13 de octubre una falla de día cero en Connect Secure, CVE-2026-104935, que permitía ejecutar comandos sin autenticación y que, según Volexity, un actor al que llama UTA0576 explotaba desde el 3 de octubre en un equipo totalmente actualizado; otra de las fallas encadenadas en el ataque, de escalada de privilegios, seguía sin parche. Al día siguiente Cisco publicó el aviso de CVE-2026-76519 en Secure Email Gateway, con CVSS 9,8: un adjunto manipulado permite escribir archivos arbitrarios y ejecutar comandos como root cuando el servicio de reputación de archivos de AMP está activo, y Cisco confirma explotación activa. El 16 CISA añadió a su catálogo de vulnerabilidades explotadas la falla CVE-2026-102764 de BeyondTrust Remote Support, que Mandiant documenta como día cero en manos de un grupo vinculado a China desde finales de agosto, en una plataforma de soporte remoto que suele guardar credenciales privilegiadas. En el plano de la virtualización, PwnEscape, registrada como CVE-2026-99999 con CVSS 9,3, mostró que una microVM puede filtrar memoria del anfitrión sin tocar el hipervisor: metadatos de checksum controlados por el huésped hacen que skb_checksum_help() reescriba una cabecera IPv4 que el núcleo ya había validado. El hallazgo salió del reto de un millón de dólares de Vercel Sandbox y el parche entró en el árbol principal de Linux el 14 de octubre.

El fin de semana desplazó el foco hacia los intermediarios que guardan credenciales de terceros. ConnectWise suspendió Cloud Backup, el antiguo SkyKick, y desconectó SaaS Security y Cloud Management tras el robo de una credencial de las aplicaciones que el servicio usa dentro de Microsoft 365; como esas aplicaciones tienen permisos amplios en los inquilinos de los clientes de cada proveedor de servicios gestionados, Huntress lo describe como un problema de cadena de suministro. Casi a la vez, OpenCode confirmó una brecha en su servicio Console que afectó al 1,4 % de sus usuarios, todos con proveedores externos de modelos conectados a su cuenta, y Anthropic dijo haber revocado las claves de Claude que cree afectadas. En ambos casos lo comprometido no fue el producto final, sino la capa que custodia en nombre del cliente las llaves de otros servicios.

La ciberseguridad también movió dinero. IonQ acordó comprar Elisity por hasta 1.300 millones de dólares en acciones para sumar su plataforma de confianza cero a su oferta de criptografía poscuántica y distribución cuántica de claves, y Cohere firmó una carta de intenciones para adquirir AISLE, la empresa de Praga que dice haber descubierto con IA más de 500 vulnerabilidades con CVE en su primer año y que será la base de una nueva unidad, Cohere Cyber. Esa capacidad de los modelos para investigar código y criptografía dejó además el hallazgo técnico más llamativo de la semana: Anthropic atribuyó las semillas de las curvas elípticas de NIST, de P-192 a P-521, a la salida del generador lrand48 de la biblioteca estándar de C iniciado con marcas de tiempo de 1997 y 1998, una reconstrucción que el organizador de la recompensa verificó por su cuenta y que, según él, descarta la hipótesis de una puerta trasera en curvas que se usan desde hace un cuarto de siglo.

Los riesgos de la IA más capaz ocuparon a gobiernos y laboratorios. El mismo 12 de octubre en que el Reino Unido anunció medidas para reforzar sus defensas, entre ellas ampliar el uso de IA de frontera en ciberseguridad pública tras dos pilotos que identificaron más de mil vulnerabilidades potenciales y preparar la respuesta a incidentes con agentes autónomos, Anthropic publicó un estudio según el cual modelos pequeños podrían autorreplicarse en dispositivos IoT en pocos meses: con 15 decodificadores Android TV de unos 55 dólares lograron ejecutar en conjunto un modelo abierto, y la empresa estima que el ciclo completo podría ser viable a finales de 2026. Dos días después Anthropic abrió oficina en Singapur y firmó un memorando con su Gobierno para intercambios técnicos sobre evaluación de modelos, estándares de pruebas y respuesta a incidentes. La autonomía también avanzó en defensa: Airbus y Kratos completaron el primer vuelo en Europa del U740 Valkyrie, un avión de combate no tripulado con el que ambas empresas avanzan hacia un modelo listo para combate en 2029; el siguiente paso son los ensayos con MARS, el sistema de misión de Airbus, que usa IA para misiones autónomas y mantiene a una persona en las decisiones críticas.

La regulación llegó por varios frentes. Ocho estados de EE. UU. demandaron a OpenAI el 14 de octubre con leyes de protección al consumidor, alegando que la empresa engañó sobre la seguridad de ChatGPT para menores y que ocultó un diseño complaciente pensado para alargar el uso. China, por su parte, propuso controlar la exportación de 23 tecnologías de IA, desde pesos de modelos hasta diseño de chips, con un registro previo obligatorio que rige desde la publicación del borrador aunque la consulta pública siga abierta hasta el 15 de noviembre. En América Latina la agenda fue educativa: Brasil publicó su primera guía federal sobre el uso de IA por niños y adolescentes, dentro del Plan Brasileño de Inteligencia Artificial, y Colombia y Google anunciaron una alianza con hasta 7 millones de licencias educativas en cuatro años, formación docente en IA y una primera fase en el Chocó y Buenaventura.

Para quienes construyen software, la semana dejó herramientas que acortan la distancia entre el código existente y la nube o los agentes. AWS lanzó Lambda Web Functions, que permite desplegar tal cual un servidor HTTP hecho con Express, Next.js u otro marco de Node.js, atender hasta 128 solicitudes simultáneas por entorno y pagar por el tiempo de CPU realmente usado. TanStack Start llegó a la versión 1.0 con el compromiso formal de mantener sus API, y Figma presentó Specs, documentos Markdown colaborativos que viven en el canvas junto a los diseños y se entregan a los agentes de código a través del servidor MCP de Figma. La otra cara de producir más con IA es verificarlo, y ese es el problema que ataca Deep Review, el sistema agéntico de Google Research para revisar documentos técnicos, que antes de abrirse al público analizó más de 16.000 manuscritos enviados a STOC, ICML, NeurIPS e ICLR.