El proyecto está alojado en github.com/arm/metis y cualquiera puede usarlo, modificarlo e integrarlo en sus pipelines de integración continua .

¿Cómo utiliza los LLMs y la técnica RAG?

A diferencia de las herramientas clásicas de análisis estático (SAST), que funcionan con reglas fijas y firmas, Metis se apoya en modelos de lenguaje de gran tamaño (LLMs) capaces de interpretar el código de manera semántica . Pero la verdadera innovación está en cómo inyecta contexto.

Metis incorpora generación aumentada por recuperación (RAG, por sus siglas en inglés). En la práctica, esto significa que antes de pedirle al LLM que evalúe un fragmento de código, Metis recupera información relevante del proyecto: patrones arquitectónicos, hallazgos previos de seguridad, convenciones de codificación e incluso documentación. Al entregarle ese contexto adicional al modelo, el análisis gana una profundidad que reduce de forma drástica los falsos positivos, el gran talón de Aquiles de las herramientas tradicionales .

Metis funciona como una herramienta de línea de comandos con una arquitectura basada en complementos, lo que facilita extenderla a nuevos lenguajes o conectarla con distintos backends de LLM .

Alcance real: más de 130 proyectos internos y soporte multilingüe

Arm no ha creado Metis como un experimento de laboratorio. Ya lo está utilizando de forma interna en más de 130 proyectos de software, con planes de adopción generalizada para finales de 2026 .

En cuanto a lenguajes, el lanzamiento inicial se centró en C y C++, pero gracias a su sistema de complementos ya se ha extendido a Python, Rust, TypeScript e incluso Solidity, y la arquitectura es agnóstica al lenguaje, por lo que añadir nuevos es cuestión de desarrollar el complemento correspondiente .

¿Qué cifras de rendimiento se manejan?

Las comparativas internas de Arm muestran que Metis ofrece:

• Una tasa de verdaderos positivos hasta 10 veces mayor que las herramientas líderes de análisis estático.
• Aproximadamente un 50% menos de falsos positivos que esas mismas herramientas .

Sin embargo, no he encontrado una fuente oficial de Arm que afirme explícitamente una “tasa de acierto del ~95%” como un número rotundo. Los materiales publicados por la compañía evitan dar una cifra absoluta de ese estilo y prefieren centrarse en la mejora relativa (10x en TP, ~50% menos FP). Es posible que ese 95% provenga de un subconjunto muy específico de pruebas internas, de alguna medición de la comunidad o de una extrapolación, pero no está confirmado en las fuentes primarias revisadas aquí. Si ese dato concreto es crítico para ti, te recomendaría revisar directamente el README del proyecto en GitHub o la última publicación del newsroom de Arm.

¿Por qué Arm lo ha liberado como código abierto bajo Apache 2.0?

La decisión de abrir Metis no es cosmética. Responde a una estrategia clara de seguridad a escala . La licencia Apache 2.0 es permisiva y amigable para los negocios, lo que permite a cualquier empresa, proyecto open-source o desarrollador independiente usar, modificar e integrar la herramienta sin las ataduras del copyleft . Las razones de fondo son:

• El alud de informes de baja calidad generados por IA: Los modelos de IA han acelerado drásticamente el escaneo de vulnerabilidades, pero también han provocado una inundación de reportes ruidosos y de poca calidad que saturan a los mantenedores de proyectos. El triaje (discernir qué vulnerabilidades son reales) se ha convertido en un cuello de botella crítico . Metis aborda directamente este problema al usar RAG para filtrar el ruido y centrarse en fallos reales.
• Apalancamiento del ecosistema: Al liberar la herramienta, Arm se beneficia de las contribuciones de la comunidad, de pruebas en bases de código mucho más diversas y de una mejora general de la seguridad en la cadena de suministro de software de la que depende su hardware .
• Colaboración industrial: La liberación bajo una licencia estándar permisiva se alinea con la estrategia open-source más amplia de Arm e invita a que otros equipos de seguridad, programas de bug bounty y pipelines de CI/CD adopten la herramienta.

El contexto que no puedes pasar por alto

Metis no es otra herramienta de análisis estático. Representa un cambio de paradigma hacia las revisiones de seguridad agénticas y contextuales. Mientras que un SAST clásico te dirá “aquí hay un buffer overflow potencial”, Metis te dirá “este módulo asume que la entrada siempre viene validada, pero el flujo de datos muestra que puede llegar sin sanitizar desde el frontend; esto podría permitir una escalada de privilegios”. La diferencia está en la profundidad del razonamiento y en la capacidad de hilar componentes dispersos en grandes codebases .

La evidencia confirma la arquitectura de Metis (LLM + RAG + bucles de revisión agénticos), su despliegue en más de 130 proyectos, el soporte multilingüe mediante complementos y su liberación bajo Apache 2.0 con mejoras medidas de hasta 10x en tasa de verdaderos positivos. La cifra específica de “~95% de acierto” no aparece en las fuentes primarias de Arm analizadas; si es un dato relevante para tu evaluación, consulta directamente los repositorios y las publicaciones oficiales más recientes de la compañía.

El proyecto está alojado en github.com/arm/metis y cualquiera puede usarlo, modificarlo e integrarlo en sus pipelines de integración continua .

¿Cómo utiliza los LLMs y la técnica RAG?

A diferencia de las herramientas clásicas de análisis estático (SAST), que funcionan con reglas fijas y firmas, Metis se apoya en modelos de lenguaje de gran tamaño (LLMs) capaces de interpretar el código de manera semántica . Pero la verdadera innovación está en cómo inyecta contexto.

Metis incorpora generación aumentada por recuperación (RAG, por sus siglas en inglés). En la práctica, esto significa que antes de pedirle al LLM que evalúe un fragmento de código, Metis recupera información relevante del proyecto: patrones arquitectónicos, hallazgos previos de seguridad, convenciones de codificación e incluso documentación. Al entregarle ese contexto adicional al modelo, el análisis gana una profundidad que reduce de forma drástica los falsos positivos, el gran talón de Aquiles de las herramientas tradicionales .

Metis funciona como una herramienta de línea de comandos con una arquitectura basada en complementos, lo que facilita extenderla a nuevos lenguajes o conectarla con distintos backends de LLM .

Alcance real: más de 130 proyectos internos y soporte multilingüe

Arm no ha creado Metis como un experimento de laboratorio. Ya lo está utilizando de forma interna en más de 130 proyectos de software, con planes de adopción generalizada para finales de 2026 .

En cuanto a lenguajes, el lanzamiento inicial se centró en C y C++, pero gracias a su sistema de complementos ya se ha extendido a Python, Rust, TypeScript e incluso Solidity, y la arquitectura es agnóstica al lenguaje, por lo que añadir nuevos es cuestión de desarrollar el complemento correspondiente .

¿Qué cifras de rendimiento se manejan?

Las comparativas internas de Arm muestran que Metis ofrece:

• Una tasa de verdaderos positivos hasta 10 veces mayor que las herramientas líderes de análisis estático.
• Aproximadamente un 50% menos de falsos positivos que esas mismas herramientas .

Sin embargo, no he encontrado una fuente oficial de Arm que afirme explícitamente una “tasa de acierto del ~95%” como un número rotundo. Los materiales publicados por la compañía evitan dar una cifra absoluta de ese estilo y prefieren centrarse en la mejora relativa (10x en TP, ~50% menos FP). Es posible que ese 95% provenga de un subconjunto muy específico de pruebas internas, de alguna medición de la comunidad o de una extrapolación, pero no está confirmado en las fuentes primarias revisadas aquí. Si ese dato concreto es crítico para ti, te recomendaría revisar directamente el README del proyecto en GitHub o la última publicación del newsroom de Arm.

¿Por qué Arm lo ha liberado como código abierto bajo Apache 2.0?

La decisión de abrir Metis no es cosmética. Responde a una estrategia clara de seguridad a escala . La licencia Apache 2.0 es permisiva y amigable para los negocios, lo que permite a cualquier empresa, proyecto open-source o desarrollador independiente usar, modificar e integrar la herramienta sin las ataduras del copyleft . Las razones de fondo son:

• El alud de informes de baja calidad generados por IA: Los modelos de IA han acelerado drásticamente el escaneo de vulnerabilidades, pero también han provocado una inundación de reportes ruidosos y de poca calidad que saturan a los mantenedores de proyectos. El triaje (discernir qué vulnerabilidades son reales) se ha convertido en un cuello de botella crítico . Metis aborda directamente este problema al usar RAG para filtrar el ruido y centrarse en fallos reales.
• Apalancamiento del ecosistema: Al liberar la herramienta, Arm se beneficia de las contribuciones de la comunidad, de pruebas en bases de código mucho más diversas y de una mejora general de la seguridad en la cadena de suministro de software de la que depende su hardware .
• Colaboración industrial: La liberación bajo una licencia estándar permisiva se alinea con la estrategia open-source más amplia de Arm e invita a que otros equipos de seguridad, programas de bug bounty y pipelines de CI/CD adopten la herramienta.

El contexto que no puedes pasar por alto

Metis no es otra herramienta de análisis estático. Representa un cambio de paradigma hacia las revisiones de seguridad agénticas y contextuales. Mientras que un SAST clásico te dirá “aquí hay un buffer overflow potencial”, Metis te dirá “este módulo asume que la entrada siempre viene validada, pero el flujo de datos muestra que puede llegar sin sanitizar desde el frontend; esto podría permitir una escalada de privilegios”. La diferencia está en la profundidad del razonamiento y en la capacidad de hilar componentes dispersos en grandes codebases .

La evidencia confirma la arquitectura de Metis (LLM + RAG + bucles de revisión agénticos), su despliegue en más de 130 proyectos, el soporte multilingüe mediante complementos y su liberación bajo Apache 2.0 con mejoras medidas de hasta 10x en tasa de verdaderos positivos. La cifra específica de “~95% de acierto” no aparece en las fuentes primarias de Arm analizadas; si es un dato relevante para tu evaluación, consulta directamente los repositorios y las publicaciones oficiales más recientes de la compañía.