Resumen:
Según el New York Times, la IA está descubriendo vulnerabilidades de seguridad del software a un ritmo sin precedentes, y a los ingenieros responsables de solucionarlas les resulta cada vez más difícil mantenerse al día. Las empresas de tecnología y los mantenedores de software de código abierto se apresuran a corregir las vulnerabilidades antes de que los piratas informáticos puedan explotarlas para proteger el software que impulsa una amplia gama de sitios web y servicios en línea.
El 21 de octubre, Fouad Matin, responsable de la preparación y el trabajo de seguridad de la red OpenAI, originalmente planeó celebrar su cumpleaños con amigos por la noche.
Pero ese día, solo durmió unas dos horas y estuvo ocupado coordinando la reparación de dos vulnerabilidades de seguridad graves descubiertas por la IA. Una vez que se explotan estas vulnerabilidades, pueden tener un impacto en una amplia gama de servicios de Internet. Entre los involucrados en el procesamiento se incluyen investigadores de seguridad de nuevas empresas y gigantes tecnológicos, así como funcionarios gubernamentales de Estados Unidos y otros países.
En su lista de tareas pendientes, hay más lagunas descubiertas por la IA que esperan ser solucionadas.
Mateen dijo que OpenAI ha organizado varios equipos para que sean responsables de la seguridad de la red e invirtió mucha potencia informática para encontrar y solucionar problemas. Él cree que las empresas de IA tienen la responsabilidad de abordar los riesgos revelados por esta tecnología, con el objetivo final de escanear y parchear el software del mundo tanto como sea posible.
La velocidad de descubrimiento de vulnerabilidades ha aumentado significativamente, lo que está ejerciendo una presión sin precedentes sobre quienes las solucionan.
Según OpenAI, la empresa comenzó a utilizar su propia tecnología para escanear software de código abierto en mayo de este año. Desde entonces, investigadores internos y externos han descubierto más de 1300 vulnerabilidades utilizando su modelo. Este tipo de software se puede utilizar de forma gratuita, se implementa ampliamente en diversos servicios de red y admite una gran cantidad de funciones de Internet.
Google también utilizó IA para descubrir y corregir 1072 vulnerabilidades en el navegador Chrome en junio de este año, superando el número total corregido en los dos años anteriores. Desde principios de este año, Chrome ha solucionado vulnerabilidades más graves que en los ocho años anteriores combinados.
Microsoft lanzó 1.461 parches solo en octubre de este año, superando los 1.247 parches de todo 2025.
A los ojos de algunos mantenedores de software, es posible que esta intensidad de trabajo apenas haya comenzado.
Matteo Collina es el director de tecnología de la startup Platformmatic y participa en el mantenimiento de la herramienta de desarrollo de código abierto Node.js. Empresas tecnológicas como Uber y Netflix están utilizando esta herramienta.
"Lo que está sucediendo ahora es sólo la primera parte, y la situación será diez veces peor". dijo Colina.
Según la Fundación OpenJS, una organización sin fines de lucro que apoya a Node.js, Node.js ha identificado y solucionado 50 vulnerabilidades de seguridad este año, más que cualquier año en su historia. En febrero de este año, el proyecto recibió 4,6 veces el número habitual de informes de vulnerabilidad.
Este mes, OpenAI se puso en contacto nuevamente con Colina para alertarlo sobre una vulnerabilidad recién descubierta. Los atacantes potenciales pueden usarlo para invadir sistemas en Internet y robar datos.
Para poder manejar el creciente número de informes, Colina ahora trabaja los siete días de la semana y deja que el agente de IA continúe manejando las tareas por él por la noche.
"Nadie sabe en qué se convertirá esta profesión en el futuro." Dijo.
En el pasado, encontrar vulnerabilidades de software era un trabajo que dependía en gran medida de la experiencia personal. Las empresas de tecnología contratan investigadores de seguridad para revisar el código y también pagan a piratas informáticos de sombrero blanco para que encuentren e informen problemas a través de programas de "recompensas por errores".
La IA está cambiando la velocidad y el valor de este trabajo.
Puede seguir buscando, retomando lo que los investigadores humanos podrían haber abandonado. También puede examinar pequeños fallos repartidos en diferentes códigos y combinarlos en ataques peligrosos.
Volker Dusch, ingeniero de seguridad de la Fundación PHP, lo tiene claro. La fundación, que mantiene el lenguaje de programación PHP, reveló la semana pasada una grave vulnerabilidad descubierta por IA.
Dusch dijo que hace dos años, descubrir una vulnerabilidad de seguridad era un gran problema. Ahora el reconocimiento de los pares que aporta está disminuyendo y la forma en que toda la industria evalúa este trabajo está cambiando.
Sin embargo, el aumento de los informes de vulnerabilidad también conlleva una carga adicional significativa.
Desde finales del año pasado, los mantenedores de software de código abierto han notado un aumento significativo en el número de informes. Algunos de ellos revelan amenazas graves, otros son informes de baja calidad generados por IA que son confusos y no han sido probados.
A finales de enero de este año, el proyecto de código abierto curl anunció que dejaría de pagar recompensas por errores porque no podía hacer frente a la afluencia de informes.
Al mismo tiempo, las capacidades ofensivas de la IA también ponen a los defensores cada vez más nerviosos.
En abril de este año, Anthropic declaró que el modelo Mythos que desarrolló tenía fuertes capacidades de piratería y no podía abrirse al público de forma segura. Luego, la compañía puso el modelo a disposición de un grupo de empresas confiables y agencias gubernamentales para inspeccionar y parchar los sistemas a través de un programa llamado Proyecto Glasswing. OpenAI y Google también ofrecen a los defensores modelos de IA centrados en la ciberseguridad.
Pero cada vez hay más modelos disponibles que pueden encontrar y explotar vulnerabilidades.
La empresa de evaluación de IA Vals AI creó recientemente una tarea de ataque simulada que requería que el modelo invadiera una empresa ficticia. Los resultados de la prueba mostraron que un modelo avanzado de OpenAI, que sólo está abierto a defensores aprobados, completó el 81% de los objetivos de la prueba; seguido de cerca por un modelo disponible gratuitamente de la empresa china DeepSeek, con una tasa de finalización del 73%.
A medida que estas capacidades proliferan, los equipos de seguridad de Silicon Valley están acelerando las investigaciones. Les preocupa que los atacantes pronto descubran la misma vulnerabilidad.
Un proceso de reparación de PHP muestra sobre quién recae exactamente esta presión.
En julio de este año, los investigadores de la empresa de ciberseguridad Calif comenzaron a permitir que agentes de inteligencia artificial inspeccionaran PHP. Según los informes, alrededor del 70% de los sitios web utilizan este lenguaje de programación. Un equipo de investigación descubrió que una vulnerabilidad que había estado oculta en el código durante más de una década podría permitir a los atacantes ejecutar código malicioso en los sitios web afectados.
Calif luego se puso en contacto con Dusch y los investigadores de Wiz, una empresa de seguridad propiedad de Google, que descubrió vulnerabilidades similares. También participan ingenieros de OpenAI y la Fundación PHP.
El equipo colaboró en un canal confidencial de Slack durante semanas, coordinando las soluciones por teléfono todos los días. El director ejecutivo de California, Thai Duong, dijo que la solución involucra alrededor de 200 archivos y es una actualización de parche masiva.
Mientras preparaban el parche, también notificaron a las agencias gubernamentales, a la empresa de infraestructura de Internet Cloudflare y a otras organizaciones, con la esperanza de ampliar la cobertura de reparación tanto como fuera posible.
El período en el que se ha descubierto la vulnerabilidad pero no se ha reparado en profundidad se ha convertido en la etapa más estresante para los participantes.
El director ejecutivo de Cloudflare, Matthew Prince, dijo que ha pasado los últimos dos meses en un estado de miedo extremo de que alguien más descubra la vulnerabilidad temprano o que la información se filtre antes de que el parche esté listo.
Predice que en los próximos dos años, en promedio, aparecerá cada semana una vulnerabilidad grave que afectará a todo Internet.
En la industria de la seguridad, existen opiniones diferentes sobre la siguiente situación.
Jason Clinton, subdirector de seguridad de la información de Anthropic, dijo en las redes sociales el 22 de octubre que, aunque la situación en los últimos cuatro días ha sido mala, empeorará en el futuro antes de mejorar.
Prince cree que descubrir estos problemas de larga data hará que Internet sea más segura. Predice que los próximos dos años serán muy malos, pero una vez completada esta ronda de reparaciones, la gente puede esperar una Internet mucho más segura.
Comentarios