Un informe de LF Research estima en 25% las contribuciones de baja calidad generadas por IA, Debian cierra otra grieta del caso eMudhra en Firefox ESR y una falla crítica de Gogs cumple siete meses sin corrección.
LF Research publicó el 20 de octubre el informe "Navigating Open Source Software Development in the Generative AI Era", patrocinado por Red Hat, con dos cifras centrales: el 59% de los mantenedores reporta un aumento de contribuciones externas desde que se popularizó la IA generativa, y en promedio un 25% de los pull requests entrantes se percibe como "basura de IA" -código de baja calidad generado o asistido por modelos de lenguaje sin revisión adecuada. En los proyectos más grandes esa cifra sube a 31%, según el comunicado de la fundación. Hilary Carter, vicepresidenta sénior de investigación de la Linux Foundation, dijo que los proyectos necesitan diseñarse para una base de contribuyentes con IA creciente, no solo reaccionar ante ella. El propio informe matiza su dato más citado: el 25% es un promedio de las percepciones de 111 encuestados, no un conteo real de pull requests recibidos, y la categoría agrupa contribuciones "de baja calidad o generadas por IA" sin separar ambas causas, por lo que una parte de ese porcentaje podría ser simplemente código humano deficiente mal etiquetado como IA. Esa salvedad choca con el titular más optimista del propio comunicado, que sostiene que la IA generativa corta a la mitad el tiempo de programación -una afirmación que convive con la carga adicional de revisión que describen los mismos mantenedores encuestados. LF Research recomienda políticas de contribución más claras, atribución y verificación estandarizadas, y seguir invirtiendo en mentoría humana, pero no fijó plazos ni mecanismos obligatorios. Costa Rica no alberga mantenedores de peso en proyectos globales de código abierto, pero las empresas de software en zonas francas que contribuyen a dependencias externas, o que simplemente las consumen, absorben el mismo riesgo de calidad que describe el informe cada vez que actualizan una librería.
El equipo de seguridad de Debian publicó el aviso DSA-6573-1, recogido por LinuxSecurity, que actualiza el paquete de Firefox ESR en la distribución para rechazar los ocho certificados intermedios de eMudhra cuyas llaves privadas P-384 resultaron adivinables por un error de generación de 2025 -el mismo caso que esta edición cubrió ayer. La corrección incluye a los usuarios que desactivaron RemoteSettings, el mecanismo con el que Mozilla distribuye bloqueos de confianza sin esperar una actualización completa del navegador. La medida llega después de que Apple, Microsoft y Google bloquearan las mismas llaves entre el 19 y el 20 de octubre, y de que el lenguaje Go publicara las versiones 1.27.3 y 1.26.10 para que crypto/x509 rechace esas cadenas. El patrón confirma la lectura de TheNextWeb de ayer: los navegadores reaccionaron primero y el resto del ecosistema de código abierto -distribuciones, lenguajes, herramientas de línea de comandos- va cerrando la brecha con días de diferencia, paquete por paquete. Siguen sin confirmación pública los parches equivalentes en curl, Python y Node.js, que dependen de almacenes de certificados propios o desactualizados según reportó TheNextWeb. El impacto directo sobre Costa Rica es marginal: el país no tiene una autoridad certificadora que dependa de eMudhra, por lo que el riesgo se limita a los usuarios ticos de Debian que todavía no recibieron esta actualización automática.
Rapid7 reportó de forma privada al mantenedor de Gogs una falla de inyección de argumentos el 17 de marzo: cualquier usuario autenticado puede lograr ejecución remota de código creando un pull request con un nombre de rama que inyecta la bandera --exec en la operación "Rebase before merging" de git rebase. La falla, con un puntaje de 9.4 sobre 10 en CVSS según Rapid7, afecta a las versiones más recientes -Gogs 0.14.2 y 0.15.0+dev- en Windows, Linux y macOS, y todavía no tiene un identificador CVE asignado. Rapid7 publicó el análisis completo después de que el mantenedor no respondiera ni a las solicitudes de estado ni a la oferta de postergar la divulgación. El análisis de CSOonline matiza la lectura más alarmista: Gogs suele desplegarse dentro de redes internas antes que expuesto directamente a internet, por lo que el escenario de explotación más probable requiere que un atacante ya tenga pie dentro de la red corporativa, no acceso público irrestricto. Las cifras de exposición, además, discrepan entre fuentes: The Hacker News cita unas 1.141 instancias de Gogs visibles en internet, mientras que otro rastreo -de fiabilidad menor y sin confirmación independiente- habla de más de 2.400. El caso ilustra, con cifras concretas, el límite estructural de mantener infraestructura crítica con un solo responsable sin obligación de respuesta. Sin parche oficial, la mitigación recomendada por Rapid7 es fijar DISABLE_REGISTRATION = true en app.ini para impedir que cualquiera cree cuentas nuevas capaces de abrir pull requests. No hay fecha de corrección ni confirmación de que el mantenedor retomará el proyecto. Costa Rica no registra públicamente ninguna instancia de Gogs comprometida, pero cualquier equipo tico que use la herramienta para alojar repositorios internos corre el mismo riesgo mientras no exista un parche oficial.
cat /feed/herramientasmultimedia.md
La tercera y última candidata de pruebas sube el motor Chromium embebido de la versión 127 a la 150 y reorganiza por completo cómo el programa carga sus complementos.
> El proyecto OBS Studio publicó el 20 de octubre la versión 33.0.0-RC3, descrita en su propio anuncio como el último build de pruebas antes del lanzamiento estable, según reportó Warp2Search. El cambio más profundo es la actualización del Chromium Embedded Framework de la versión 127/6533 a la 150/7871, que el equipo advierte como mayormente invisible para quien usa el programa pero recomienda vigilar por posibles regresiones en fuentes y paneles de navegador. OBS Studio 33 también reorganiza la carga de complementos: los de primera parte pasan a un nuevo directorio del núcleo y los de terceros usan una ubicación y estructura de carpetas revisada, aunque los complementos existentes seguirán cargando desde las rutas viejas hasta la versión 34.
> Entre el resto de cambios que detalla Linuxiac figuran soporte NVENC para usuarios de NVIDIA en sistemas Arm64, nuevos atajos para controlar el monitoreo de audio de cada fuente, mejor detección de juegos en pantalla completa para la captura de juegos, y soporte para SDKs más recientes de NVIDIA Broadcast. OBS Studio 33 también deja de dar soporte a Ubuntu 24.04 LTS, entre otros cambios específicos de Linux.
> El proyecto no fijó una fecha exacta para la versión estable; la práctica habitual de OBS es publicarla entre una y dos semanas después de la última candidata si no aparecen regresiones graves. El cambio afecta directamente a los streamers y productores de pódcast costarricenses que usan Ubuntu 24.04 LTS como base de grabación, quienes deberán migrar a una versión más reciente de la distribución para mantener soporte oficial de OBS.
El 24 de octubre combinó el debate sobre cuánto del código abierto ya es "basura de IA" según la Linux Foundation, el avance de Debian cerrando la brecha de certificados de eMudhra en Firefox ESR, una falla crítica de Gogs que cumple siete meses sin parche, y la recta final de OBS Studio hacia su versión 33 estable. Sobre Omarchy, el personaje de la semana de esta categoría, no hubo noticia nueva en las últimas 24 horas: la iniciativa de control de calidad automatizado que ThePrimeagen lidera desde el 19 de octubre sigue corriendo contra los builds nocturnos, pero no hay confirmación de que haya resuelto el fallo de idiomas instalados que esta edición reportó ayer como pendiente. Ningún hecho del día tuvo epicentro en Costa Rica; el país sigue estos desarrollos a través de desarrolladores individuales y de las distribuciones que empaquetan estas actualizaciones semanas después.