Trail of Bits publicó patching-bugs y regression-hunt el 21 de octubre de 2026. Los plugins nacen de Patch the Planet, una iniciativa con OpenAI que ha producido cientos de parches de seguridad para proyectos open source de uso extendido. El primero reproduce fallos reportados, desarrolla correcciones y las prueba. El segundo busca regresiones: defectos nuevos que rompen comportamientos antes correctos. Los ingenieros dirigen el trabajo y revisan los resultados; los mantenedores aportan sus supuestos de seguridad y sus requisitos para parches.

La revisión de más de 130 pull requests fusionadas encontró 21 regresiones confirmadas. Dieciséis afectaron a la funcionalidad, las restantes al build o a las pruebas. Ninguna rompió una protección de seguridad. En una ejecución, los agentes encontraron 58 candidatos y confirmaron 21, con una precisión aproximada del 36 %. Este ruido llevó a Trail of Bits a dos conclusiones: tanto la creación como la revisión de parches necesitan procedimientos repetibles. Ejecuciones distintas generan candidatos distintos y aumentan el trabajo de revisión manual.

Los plugins utilizan instrucciones breves y prescriptivas, con pasos que se pueden ejecutar por separado. Cada paso tiene un esquema fijo de entrada y salida que contiene la afirmación, la revisión del código, la comprobación requerida, la evidencia sin procesar y las preguntas abiertas. Toda conclusión se apoya en una prueba de concepto ejecutada contra una instancia construida y en funcionamiento, mediante una interfaz accesible a un usuario real. Sin tal prueba, el resultado es inconcluyente.

regression-hunt sigue el código modificado a través de sus llamadores hasta llegar a las interfaces reales. Reproduce cada regresión posible en un despliegue activo y repite la prueba con un agente en un contexto nuevo. Una fase de adjudicación debe establecer que no se trata de un falso positivo, una corrección incompleta, un defecto latente ni un fallo preexistente. Si existe un modelo de amenazas, cada paso lo recibe como contexto común.

Al compararlo con un agente Codex base invitado a revisar una pull request, regression-hunt produjo un 25 % menos de falsos positivos en el conjunto de 21 regresiones confirmadas. El intervalo de confianza del 95 % fue del 14 al 38 %. Requisitos de evidencia más estrictos dejaron algunas regresiones conocidas en una categoría intermedia porque el plugin no pudo confirmarlas. Trail of Bits quiere mejorar la recopilación de pruebas.

patching-bugs aplica una prueba de tres brazos: el código original debe fallar, el código parcheado debe pasar y la reversión completa del parche debe hacer que el fallo reaparezca. Esto prueba que el parche mismo solucionó el fallo, no un cambio aislado. La reparación apunta al invariante de seguridad violado, no solo al síntoma reportado. El plugin ejecuta después regression-hunt sobre el cambio propuesto.

Ambas herramientas leen THREAT_MODEL.md y PATCHING_GUIDELINES.md (o AGENTS.md) de un repositorio. El modelo de amenazas debe definir los activos importantes, los límites de confianza, los controles de acceso, las configuraciones compatibles, los criterios de vulnerabilidad y la evidencia requerida para informes válidos. La guía de parches debe describir la compilación y pruebas, el alcance y ubicación del parche, cómo presentar cambios y qué deben demostrar las pruebas de regresión.

Para GPAC, Trail of Bits redactó instrucciones específicas del proyecto, vinculadas a la pull request 3953. Liboqs y validator.js publicaron modelos de amenazas siguiendo las recomendaciones de la empresa. Una documentación de proyecto más completa produce mejores resultados de los agentes.

Trail of Bits está evaluando si patching-bugs corrige los fallos reportados y sus variantes sin introducir regresiones. Analiza trazas de ejecución para ver qué reglas sigue Codex, qué pasos omite y dónde la evidencia es débil. Las próximas versiones deberían permitir a los mantenedores elegir entre parches mínimos y comprobaciones más amplias con tasas de falsos positivos más altas. Los plugins ya se utilizan en los trabajos de Patch the Planet.