El Código Abierto Murió Ayer. La IA Lo Mató. Lo Que Lo Reemplaza Es Peor.

Ayer, Cal.com cerró su código fuente. Uno de los proyectos open source de Next.js más grandes del mundo. Terminado. El cofundador Bailey Pumfleet considera que compartir tu código en la era de la IA es como repartir el plano de una bóveda bancaria a 100 veces más hackers que antes. Su socio Peer Richelsen añadió que cualquier aplicación open source está en riesgo y debería privatizar todo o las partes sensibles. Mientras tanto, Peter steipete (OpenClaw/OpenAI) respondió "malas noticias" con una captura de GPT 5.4-Cyber haciendo ingeniería inversa de código cerrado sin despeinarse.

¿Está muerto el open source?

No están solos. Tailwind, cURL, Ghostty, tldraw, GitHub. Proyectos diferentes, mismo reflejo, misma razón: IA. El ecosistema open source está en retirada total y nadie se detiene a preguntar si la retirada siquiera lleva a algún lugar más seguro.

Construyo con OSS todos los días. Hetzner, Postgres, Redis, Next.js, cualquier paquete npm que descargo sin pensarlo dos veces. Y ahora uno de los niños bonitos del open source acaba de levantar ambas manos. Todos reaccionan. Nadie hace la pregunta real.

¿Es cerrar el código la respuesta correcta a un problema que es, en sí mismo, muy real?

Mythos Crackeó un OS de 27 Años

El 7 de abril, Anthropic publicó el reporte técnico sobre Mythos Preview. Los números no son lo que llamarías sutiles.

Un desbordamiento de enteros TCP SACK de 27 años en OpenBSD, un sistema operativo famoso por su postura obsesiva con la seguridad. Un desbordamiento de búfer heap de 16 años en el decodificador H.264 de FFmpeg, presente en casi todos los teléfonos, navegadores y computadoras del planeta. Cinco millones de ejecuciones automatizadas de fuzzer nunca lo detectaron. Mythos lo identificó a través de razonamiento semántico sobre la lógica del código, no fuerza bruta. Una vulnerabilidad de ejecución remota de código de 17 años en el servidor NFS de FreeBSD (CVE-2026-4747). Acceso root sin autenticación. Cadena ROP de veinte gadgets dividida en múltiples paquetes. Completamente autónomo.

En Firefox 147, Opus 4.6 convirtió vulnerabilidades conocidas en exploits funcionales dos veces. Mythos lo hizo 181 veces.

Más del 99% de las vulnerabilidades permanecen sin parchar. El modelo no está disponible públicamente. Project Glasswing dio acceso a Amazon, Apple, Microsoft y un puñado de otros. Anthropic comprometió $100M en créditos de uso. La misma semana, el anuncio borró $15 mil millones de las acciones de ciberseguridad.

Ahora, la parte que Cal.com no mencionó. Mythos encontró esos bugs en código open source, sí. Pero el propio reporte de Anthropic establece explícitamente que Mythos encuentra y explota zero-days en "todos los sistemas operativos principales y todos los navegadores web principales." Incluyendo código cerrado. Dos días después del anuncio, AISLE (una startup de ciberseguridad) probó exactamente las mismas vulnerabilidades de demostración contra modelos pequeños, baratos y de pesos abiertos. Ocho de ocho detectaron la vulnerabilidad NFS de FreeBSD. El modelo más pequeño tenía 3.6 mil millones de parámetros y costó $0.11 por millón de tokens.

Conclusión de AISLE: la ventaja en ciberseguridad de IA es el sistema, no el modelo.

Cal.com tiene razón al entrar en pánico. Se equivoca en la solución.

Kerckhoffs Nos Advirtió. En 1883.

Todo el campo del "cerrar todo" está construyendo sobre una base que fue desacreditada antes de que la electricidad fuera común en los hogares.

Auguste Kerckhoffs, 1883, La Cryptographie Militaire. Una oración que construyó la criptografía moderna: un sistema no debe requerir secreto, y debe poder caer en manos del enemigo sin causar problemas. 143 años. Nunca invalidado. Claude Shannon lo reformuló en 1949: el enemigo conoce el sistema que se está usando. Cada framework de seguridad serio que existe desde entonces asume que el atacante tiene el código fuente. Esa no es una posición ideológica. Así es como construyes sistemas que realmente resisten ataques.

Cal.com acaba de basar toda su estrategia de seguridad 2026 en un principio que la industria abandonó antes de la bombilla. Cerraron la bóveda y asumieron que nadie puede ver a través de las paredes. Mythos ve a través de paredes. GPT 5.4-Cyber ve a través de paredes. El próximo modelo, en seis meses, verá a través de paredes más gruesas.

Seguridad por oscuridad tiene un récord perdedor de 143 años.

Hemos Visto Este Pánico Antes. Terminó Bien.

Finales de los 90, principios de los 2000. Llegan las herramientas de fuzzing automatizado. Mismo pánico, mismos artículos. Algunos de ellos en Slashdot, lo que te da una idea de la época.

Los mantenedores se quejaron de la explosión de carga de trabajo. Los actores maliciosos usaron las herramientas de fuzzing antes de que se enviaran los parches. El cielo se estaba cayendo. Un comentarista llamado williamyf lo explicó en el hilo de Slashdot de Cal.com la semana pasada: mismo tono de artículos en ese entonces, mismas predicciones, mismo resultado. Las grandes empresas eventualmente intervinieron con herramientas gratuitas y cómputo para proyectos OSS. Los mantenedores adaptaron sus procedimientos. El mundo del software siguió girando.

La respuesta no fue cerrar el código. Fue adaptarse.

Cal.com está repitiendo un error que la industria ya corrigió hace 25 años. La herramienta cambió. Fuzzers entonces, LLMs ahora. El pánico es idéntico. La respuesta correcta tampoco ha cambiado.

(Honestamente, si le hubieras dicho a un comentarista de Slashdot en 2001 que una startup de programación cerraría su código fuente en 2026 por la IA y lo llamaría una estrategia de seguridad, se habrían reído de ti hasta sacarte del hilo.)

Cerrar el Código Es Solo un Rompecabezas Con Más Pasos

Cuando un dev ve código cerrado, no ve una pared. Ve un rompecabezas. Lo sé porque soy ese dev.

Mapeé 27 endpoints no documentados de Ghost en 17 minutos usando Chrome DevTools Protocol. Log de auditoría completo. Exportación de base de datos en una sola llamada API. Wrapper TypeScript, 830 líneas, 40/40 tests. Ghost es open source y ejecuté todo el experimento localmente, públicamente.

Esa fue la demo publicable. Desde entonces he ejecutado exactamente el mismo método en tres aplicaciones comerciales. Productos que probablemente usas. Resultados idénticos. Dos de esos writeups nunca saldrán.

El método no se preocupa por tu código fuente. Necesita un navegador. Chrome DevTools Protocol expone cada llamada API que hace tu aplicación. Un agente lee el tráfico nativamente, iterativamente, construye un mapa completo de tus endpoints y flujo de datos. Sin acceso al repo. Para Cal.com específicamente, sin tocar su GitHub: el bundle TypeScript está minificado pero no encriptado, el tráfico móvil es observable, cada llamada API se dispara en DevTools en el momento que cargas el programador.

Cerrar el código oculta el plano. No el edificio.

Y la cosa es que los devs que habrían presentado un issue de GitHub sobre una verificación de permisos que filtra información? Esos devs ahora no dirán nada. Convertiste a tus usuarios más útiles en espectadores silenciosos.

Cerrar el código es un rompecabezas, no una pared.

Acabas de Cerrar la Bóveda Vacía

Cal.com era, según su propia descripción, el proyecto open source de Next.js más grande del mundo. La comunidad que encontraba sus bugs gratis acaba de desaparecer. Esa comunidad no les debía nada. Apareció porque el código era abierto.

Daniel Stenberg de cURL ejecutó su bug bounty por 7 años. La tasa de vulnerabilidades confirmadas comenzó por encima del 15%. Para 2025, colapsó por debajo del 5% porque el spam de IA inundó el proceso hasta que los reportes reales se ahogaron. Lo cerró. Mitchell Hashimoto en Ghostty fue más directo: "Esto no es anti-IA, esto es anti-idiota." tldraw cerró todos los pull requests externos. Mismo problema, mismo agotamiento.

Así que la comunidad está bajo estrés en todas partes. Justo. La pregunta es si cerrar ayuda o lo empeora.

Considera lo que Cal.com realmente cerró. Su código Next.js. Y considera lo que no pueden cerrar, porque nunca estuvo en el repo: su velocidad de envío, sus integraciones con Google y Outlook, su base empresarial, sus cinco años de experiencia de producto. El Linux de Red Hat es 100% abierto e IBM pagó $34 mil millones por él. IBM no compró el código. Compraron el soporte, la certificación, la confianza.

Tu código es la parte menos defendible de tu negocio.

Karen de Contabilidad podría habérselos dicho. El activo en el balance es la lista de clientes y la tasa de renovación, no el repositorio de GitHub. Pero nadie invita a Karen a la reunión de seguridad.

Y ahora la parte que realmente debería preocupar a los clientes de Cal.com. Cierra el código, y no solo pierdes a las personas que presentaban issues gratis. Empiezas a derivar de vuelta hacia el mundo antes del open source. Broadcom compró VMware a finales de 2023, las facturas de los clientes subieron 10x en seis meses. Oracle Database todavía está en $47,500 por CPU. Tu proyecto secundario funciona a $15/mes en un VPS de Hetzner porque Linux, Postgres, Redis, Nginx son todos open source. Si cada empresa OSS comercial cierra su código por pánico a Mythos, no pierdes la capa de infraestructura. Pierdes las capas de arriba: programadores, facturación, analíticas, auth. Derivas de vuelta a un mundo donde cada componente es una factura empresarial.

Eso es lo que reemplaza al open source. No algo mejor. Algo más caro. 🤷

La Respuesta Real Es Velocidad, No Secreto

Peter steipete eligió la dirección opuesta. Su estrategia para OpenClaw: iteración rápida y endurecimiento de código, aunque introdujera regresiones ocasionales y la gente le gritara por ello. Lo ve como la única forma de avanzar. Creo que tiene razón.

En un mundo Mythos, la defensa no es ocultar tu código. La defensa es parchear más rápido de lo que los atacantes explotan. El propio reporte de Anthropic lo dice: la ventaja va para el lado que saque más provecho de estas herramientas. A corto plazo, podrían ser los atacantes. A largo plazo, deberían ser los defensores, porque los defensores tienen algo que los atacantes no: el acceso de commit para arreglar el código.

Pero "debería" requiere trabajo. Publica un SECURITY.md real con un SLA de respuesta actual, no una plantilla que copiaste de un repo starter de GitHub. Automatiza tus escaneos CVE y trata las dependencias marcadas como incidentes de producción, no elementos de backlog que se quedan tres sprints. Acorta tu ciclo de parches. La brecha entre "vulnerabilidad descubierta" y "parche desplegado" es la única ventana que importa ahora, y cada día que la dejas abierta es un día que Mythos (o lo siguiente después de Mythos) puede atravesar.

Ejecuté mi propia auditoría de dependencias la semana que salió el reporte Mythos. Encontré dos paquetes desactualizados con CVEs conocidos que habían estado ahí desde la última vez que toqué el proyecto. No porque no me importara. Porque el proceso no estaba automatizado. Esa brecha es lo que te mata. No si tu código está en GitHub.

Open source más endurecimiento rápido no es open source más esperanza de que salga bien. Es trabajo disciplinado. Pero es el único enfoque que sobrevive en un mundo donde el toolkit del atacante mejora cada seis meses y cerrar la puerta no cierra realmente la puerta.

Larga Vida al Open Source

Así que sí. El open source murió ayer. El que contaba con "muchos ojos" para compensar la ausencia de disciplina de seguridad real. El que publicaba código esperando que la comunidad encontrara los bugs. Ese, Mythos lo enterró el 7 de abril cuando encontró 27 años de bugs en OpenBSD.

Pumfleet tiene razón en ese punto específico. Ese modelo terminó.

Lo que sobrevive es el OSS que toma la seguridad tan en serio como un proyecto propietario. Que publica su SECURITY.md con un SLA real. Que paga a sus mantenedores (Tailwind no podía pagar a 8 personas a pesar de 75 millones de descargas mensuales: eso es un problema de modelo de negocio, no de open source). Que itera rápido. Que tiene un modelo de amenaza explícito, no un deseo de nunca encontrarse con un atacante motivado.

Leí el paper de Mythos, vi a Cal.com cerrar su código, y elegí lo opuesto. No voy a cerrar nada. Estoy acelerando mis ciclos de parches. Estoy publicando mis advisories. Me quedo abierto, porque el valor de mi trabajo nunca ha estado en mi código. Quedarme abierto es la mejor protección que tengo contra lo que viene.

El rey ha muerto. Larga vida al rey.

Fuentes

Anthropic, "Assessing Claude Mythos Preview's cybersecurity capabilities," red.anthropic.com, 7 de abril, 2026.

AISLE, "AI Cybersecurity After Mythos: The Jagged Frontier," aisle.com, abril 2026.

Cal.com, "Cal.com Goes Closed Source," cal.com/blog, 14 de abril, 2026.

(*) La portada es generada por IA. Dos personajes de cómic franceses discutiendo sobre seguridad de bóvedas mientras una langosta observa, divertida. Martes estándar.