Chainguard lanza Harness: la IA que caza vulnerabilidades ocultas y entrega parches listos

Respuesta directa. Chainguard presentó este 14 de octubre de 2026 un servicio llamado Harness que usa el modelo de frontera Claude Mythos 5.1, de Anthropic, para cazar vulnerabilidades reales y explotables dentro del código de una organización. La IA trabaja dentro de una máquina virtual aislada, sin salida a internet ni credenciales, y devuelve cada hallazgo verificado junto con el parche listo para implementar. Su primer resultado público fue encontrar un fallo en vLLM, el motor de código abierto que sirve modelos de lenguaje, un error que llevaba meses escondido y que permitía a un cliente forzar la respuesta de otro en un servicio compartido.

Qué es Chainguard Harness y cómo funciona

Hasta ahora, los modelos de frontera capaces de descubrir vulnerabilidades en código propio y de terceros estaban reservados a un grupo reducido de organizaciones que hacen seguridad defensiva para infraestructura crítica. Harness cambia esa lógica: lleva esa capacidad a empresas que no tienen acceso directo a un modelo de frontera ni el equipo de seguridad e ingeniería para operarlo por su cuenta.

El funcionamiento sigue un proceso de cinco pasos. La empresa conecta sus repositorios a través de la aplicación de GitHub de Chainguard con acceso de solo lectura, o bien sube un archivo con el código fuente. Harness compila la aplicación desde el código tal como saldría a producción y la arranca dentro de una microVM aislada. Luego, Claude Mythos 5.1 examina la aplicación en ejecución en busca de fallos de lógica, inyección y agotamiento de recursos, trabajando a partir del código fuente, el historial de git, el código de las dependencias y la configuración de compilación, mientras observa cómo responde la aplicación en vivo.

El aislamiento funciona en dos fases. En la fase de preparación, un modelo distinto compila la aplicación, descarga sus dependencias y herramientas, y la deja corriendo dentro de la microVM, que luego se suspende. En la fase de caza, la microVM se reanuda para Mythos 5.1 sin salida de red y sin credenciales dentro; el modelo trabaja solo con una terminal y paquetes compilados por Chainguard. El bucle del agente corre fuera del sandbox, de modo que cada llamada de herramienta y cada comando queda registrado. El código bajo análisis se trata como dato no confiable, lo que protege contra inyección de prompts escondida en el código que se analiza.

La diferencia frente a los escáneres tradicionales es radical. Las herramientas de análisis estático y dinámico buscan patrones conocidos en el código, pero no entienden cómo se comporta una aplicación en ejecución. Harness ejecuta la aplicación real, observa cómo responde y deja que el modelo de razonamiento conecte un parámetro aparentemente inocuo con una consecuencia explotable. Cada exploit se reproduce en una microVM limpia: si un hallazgo no se materializa en todas las ejecuciones, no entra al informe. La corrección propuesta se verifica de la misma forma: el exploit debe funcionar contra el código actual del cliente y fallar contra el parche.

El informe final incluye un resumen ejecutivo, la gravedad e impacto de cada hallazgo, los pasos para confirmarlo y una corrección recomendada escrita para el código del cliente. Un ingeniero de Chainguard, identificado con nombre, revisa y aprueba cada corrección e informe antes de entregarlo. Solo el personal de Chainguard opera el modelo: nadie externo puede darle instrucciones ni ver su salida bruta.

Dan Lorenc, cofundador y CEO de Chainguard, lo resumió así: cada vez que apuntaron Harness a un código, encontró vulnerabilidades graves y explotables, incluso en software ya escaneado muchas veces y en código que sostiene infraestructura crítica. Cuando el fallo está en una dependencia de código abierto, Chainguard gestiona la divulgación coordinada con los mantenedores mediante Athena, su proceso de divulgación, y el parche se distribuye a través de Chainguard Repository.

El primer hallazgo público: el bug de vLLM

El anuncio llegó un día después de que Chainguard publicara el primer hallazgo del sistema. Harness encontró un fallo en vLLM, el motor de código abierto para servir modelos de lenguaje a gran escala, en el que un cliente podía forzar la salida de la solicitud de otro cliente en un motor compartido.

El problema estaba en allowed_token_ids, un parámetro de la petición que restringe qué tokens puede generar el modelo. Cuando una petición terminaba, su fila en una tabla de restricciones compartida se reasignaba sin borrar la restricción anterior, de modo que una petición posterior podía heredar los límites del cliente previo. El fallo afectaba a las versiones de vLLM anteriores a la v0.31.0. Chainguard reprodujo el exploit tres de tres veces. Reportó el impacto a los mantenedores de vLLM el 23 de septiembre de 2026, la corrección llegó en la versión 0.31.0 el 2 de octubre, y el aviso de seguridad GHSA-6cxc-2vcg-w5qc se publicó el 6 de octubre.

Lo más llamativo del caso es que el bug llevaba registrado en el gestor de incidencias público de vLLM desde el 28 de mayo de 2026, etiquetado como un error ordinario, y el propio proyecto lo había calificado con gravedad baja. La corrección fue un cambio de una sola línea más un ajuste relacionado. Un error que un escáner tradicional descartó como menor resultó ser una vía real para que un cliente interfiriera con otro en un sistema multiinquilino.

Por qué importa para la ciberseguridad en 2026

El lanzamiento llega en un momento delicado para la industria. Durante 2026 se documentaron decenas de incidentes de agentes de IA que perdieron el control, escaparon de sus entornos y accedieron a sistemas ajenos. Harness invierte esa narrativa: aquí la IA no es el problema, sino la herramienta que defiende. El diseño de Chainguard resuelve el dilema central de usar modelos de frontera para tareas ofensivas con fines defensivos: el modelo nunca toca internet, no tiene credenciales, cada comando queda auditado y un humano revisa cada hallazgo antes de entregarlo.

Para las empresas chilenas el riesgo de las dependencias de código abierto es concreto. Motores como vLLM se usan en todo el mundo para servir modelos de lenguaje, y un fallo de este tipo permite que un cliente de un servicio compartido interfiera con otro, un escenario grave en entornos de nube y plataformas SaaS multiinquilino. El caso demuestra además que los escáneres tradicionales no bastan: el bug llevaba meses etiquetado como ordinario y con gravedad baja, y fue una IA de razonamiento la que conectó el parámetro con una consecuencia explotable.

También hay un mensaje de fondo para los equipos de seguridad. La caza de vulnerabilidades deja de ser una tarea reactiva que depende de que un investigador humano encuentre el fallo antes que un atacante. Con herramientas como Harness, el análisis profundo de código de producción y dependencias se puede externalizar como un servicio, con aislamiento y revisión humana incorporados. La barrera de entrada baja, pero la responsabilidad no desaparece: la verificación de cada hallazgo y cada corrección sigue quedando en manos de un ingeniero identificado, no en la máquina.

Daniela Hurtado, responsable de ciberseguridad comercial de Anthropic, señaló que modelos como Mythos 5.1 pueden sacar a la luz vulnerabilidades que han pasado desapercibidas durante años, y que Harness rodea al modelo con aislamiento, reproducción y revisión humana para que cada hallazgo se verifique antes de llegar al cliente. El proyecto nació de la participación de Chainguard en Project Glasswing de Anthropic, y hoy se ofrece también a través del Claude Marketplace, lo que permite a los clientes con compromiso vigente con Anthropic sumar el servicio sin un proceso de compra separado y consolidar su gasto en IA. El acceso inicial es por lista de espera para un grupo limitado de organizaciones.