MiniMax M2.5 frente a Qwen 3.6 Plus: ¿qué modelo de IA gratuito gana para la investigación de recompensas por errores?

Ambos modelos son gratuitos en OpenRouter. Ambos son potentes. Sin embargo, para la investigación en ciberseguridad y la búsqueda de vulnerabilidades, están diseñados con fortalezas diferentes. Este es nuestro análisis comparativo.

---

Los contendientes

El panorama de las recompensas por errores evoluciona rápidamente. El reconocimiento asistido por IA, la identificación de patrones y el análisis de vulnerabilidades se están convirtiendo en herramientas habituales del arsenal de cualquier investigador. La cuestión no es si usar IA, sino qué modelo ofrece la mayor ventaja sin vaciarte la cartera.

Hoy comparamos dos modelos totalmente gratuitos disponibles mediante OpenRouter: MiniMax M2.5 y Qwen 3.6 Plus. Ambos tienen especificaciones impresionantes. Es probable que solo uno sea más adecuado para la investigación de seguridad.

Rendimiento en investigación de seguridad

1. Análisis de código y detección de vulnerabilidades

Qwen 3.6 Plus destaca en este ámbito. El modelo muestra capacidades considerablemente superiores en:

• Comprensión de código en múltiples archivos — analiza bases de código complejas distribuidas entre varios archivos en una sola pasada
• Análisis de la depuración de entradas — identifica vulnerabilidades SQLi, XSS, SSRF y de deserialización en el código fuente
• Revisión de seguridad de API — analiza endpoints REST/GraphQL para detectar elusión de autenticación y vías de escalada de privilegios
• Resultados estructurados — genera informes de vulnerabilidades claros y prácticos, con referencias CVE y medidas correctivas

MiniMax M2.5 es competente, pero muestra un rendimiento inferior en el análisis profundo de código. Su mayor número de parámetros (456B) no se traduce necesariamente en un mejor razonamiento para tareas específicas de seguridad, ya que el modelo no está optimizado expresamente para comprender código.

2. Reconocimiento y recopilación de inteligencia

MiniMax M2.5 tiene una clara ventaja gracias a su enorme ventana de contexto de 4M de tokens, suficiente para procesar mapas completos de sitios web, grandes resultados de enumeración de subdominios e informes exhaustivos de superficies de ataque en un solo prompt. Esto resulta realmente útil para:

• Inteligencia completa de sitios web — analiza cada página, endpoint y parámetro de un objetivo incluido en el alcance
• Correlación de inteligencia sobre amenazas — procesa múltiples bases de datos CVE, informes de divulgación y artículos públicos para encontrar patrones
• Análisis de patrones de subdominios — procesa miles de resultados de subdominios para detectar convenciones de nomenclatura, pilas tecnológicas y TI en la sombra

3. Razonamiento sobre cadenas de exploits

Qwen 3.6 Plus domina. Su arquitectura híbrida de atención lineal con MoE dispersa le proporciona un rendimiento superior en:

• Cadenas lógicas de varios pasos — razona sobre situaciones como «el parámetro X no está depurado y permite inyectar contenido en Y, lo que activa Z en el backend»
• Análisis matemático y criptográfico — evalúa implementaciones criptográficas personalizadas, condiciones de oráculos de padding y ataques de temporización a partir del código fuente
• Filtrado de falsos positivos — distingue vulnerabilidades reales del ruido del WAF y de artefactos de datos de prueba
• Generación de cargas útiles — crea exploits de prueba de concepto que funcionan realmente, no meras cadenas teóricas

4. Calidad de los informes

Ambos modelos generan informes aceptables, pero Qwen 3.6 Plus produce documentos más estructurados y profesionales, con descripciones de vulnerabilidades, evaluaciones de impacto y recomendaciones de corrección más claras. Esto importa en los envíos de recompensas por errores, donde la calidad del informe influye directamente en la velocidad de triaje y en la recompensa.

---

El veredicto

Cuándo usar cada uno

Tarea	Modelo recomendado
Revisión de código fuente y análisis de vulnerabilidades	Qwen 3.6 Plus
Descubrimiento de cadenas de exploits	Qwen 3.6 Plus
Redacción de informes y correlación de CVE	Qwen 3.6 Plus
Procesamiento de grandes volúmenes de datos de reconocimiento	MiniMax M2.5
Análisis de documentos extensos (informes de más de 100 páginas)	MiniMax M2.5
Inteligencia multilingüe	Empate

Configuración práctica

Ambos modelos están disponibles de forma totalmente gratuita en OpenRouter. Esta es la configuración que utilizamos en KENSAI:

• Modelo predeterminado: qwen/qwen3.6-plus:free — gestiona el 80 % de las operaciones diarias
• Especialista en reconocimiento: minimax/minimax-m2.5:free — se utiliza al procesar resultados de análisis a gran escala
• Tareas exigentes: cuando los modelos gratuitos alcanzan sus límites, recurrimos a Claude Sonnet u Opus para cadenas de exploits novedosas

La estrategia: usar modelos gratuitos para el volumen y modelos de pago para la precisión. Así se mantienen al mínimo los costes operativos sin renunciar a una sólida capacidad de investigación.

---