Google publicó Mantis el 3 de septiembre, liberando como framework de código abierto el arnés que, según dice, forma parte de su enfoque interno para encontrar y corregir vulnerabilidades a velocidad de máquina. Mantis automatiza la detección, la clasificación, la reproducción y la corrección, combinando agentes de crítica y revisión con reproducción en sandbox para fundamentar sus hallazgos.
La frase que se está leyendo mal
La publicación de Google dice: «Si bien la chapucería en el análisis de código con IA suele conducir a vulnerabilidades alucinadas y a tasas débiles de verdaderos positivos por debajo del 7%, diseñamos Mantis para que fuera eficaz combinando técnicas agentivas estándar del sector, como agentes de crítica y revisión, con la reproducción en sandbox de vulnerabilidades para su fundamentación». Ese número describe el estado del campo frente al que Google se está posicionando. Es la planteamiento del problema, no la puntuación del producto.
Lo que la interpretación habitual pasa por alto
En cuestión de horas, la cifra del 7% empezó a circular como si fuera la tasa de verdaderos positivos de Mantis, lo que invierte por completo la afirmación: convierte una crítica a los enfoques competidores en una admisión sobre la herramienta de Google. El punto más difícil, y el que merece la pena subrayar, es este: la publicación no ofrece ninguna cifra de precisión para Mantis. No hay tasa de verdaderos positivos, ni resultado de referencia, ni tabla comparativa. El lector recibe una arquitectura descrita y una afirmación de eficacia. El 7% sin fuente está haciendo el trabajo probatorio en la cobertura precisamente porque no hay una cifra medida que citar en su lugar.
Por qué la fundamentación es la propuesta de diseño
La arquitectura es la revelación sustantiva. Los informes de vulnerabilidades alucinadas son el modo de fallo que ha convertido a los analizadores de código con IA en una carga para quienes los mantienen: cada falso positivo cuesta tiempo humano de clasificación, y los proyectos de código abierto han empezado a rechazar directamente informes generados por IA. La respuesta de Mantis es la reproducción en sandbox: un hallazgo solo lo es si el arnés puede provocarlo. Esa es la respuesta arquitectónica correcta, y cualquiera que ejecute el código puede comprobarla, que es la ventaja de publicarlo como código abierto.
Lo que falta
La publicación no indica una licencia. Para una versión de código abierto dirigida a quienes mantienen sistemas y a operadores de infraestructuras críticas, la licencia no es un detalle: determina quién puede usar el arnés comercialmente y bajo qué პირობas. Quien tenga previsto adoptarlo debería leer el repositorio, no el anuncio.