Resumen:
OpenAI emitió un anuncio el 21 de octubre de 2026, revelando su participación en el descubrimiento y coordinación de la reparación de dos vulnerabilidades de seguridad graves en el lenguaje de programación PHP. Esta acción es promovida por el programa "Patch the Planet" (parchear todo Internet) lanzado por OpenAI, que reúne a mantenedores de software, investigadores de seguridad, proveedores de servicios en la nube y agencias gubernamentales de seguridad de redes para reducir conjuntamente los riesgos causados por las vulnerabilidades en la infraestructura global de Internet.
OpenAI afirmó que los modelos avanzados de inteligencia artificial han podido descubrir fallas de seguridad de software con una amplia gama de impactos, y cómo transformar rápidamente estos hallazgos en medidas de protección reales se está convirtiendo en un tema cada vez más importante en el campo de la seguridad de redes.
En este incidente, la empresa de seguridad Calif descubrió una falla de seguridad grave al utilizar GPT-5.6 Sol, y la empresa de seguridad Wiz descubrió e informó de forma independiente dos vulnerabilidades relacionadas. El equipo de mantenimiento de PHP es responsable de liderar las correcciones de vulnerabilidades y los lanzamientos de versiones de seguridad, mientras que OpenAI, Wiz, Cloudflare y otros socios brindan investigación técnica, soporte de ingeniería y coordinación para ayudar a las organizaciones relevantes a prepararse para la protección antes de que las vulnerabilidades se hagan públicas.
PHP es un lenguaje de programación de código abierto ampliamente utilizado en sitios web y aplicaciones de red. Una gran cantidad de servicios de Internet dependen de él para manejar solicitudes de páginas web, operaciones de bases de datos y lógica empresarial en segundo plano. Por lo tanto, existe una vulnerabilidad grave en la capa inferior de PHP y el impacto puede extenderse rápidamente a muchos sitios web, servicios en la nube y sistemas empresariales. Ambas vulnerabilidades descubiertas esta vez se consideran críticas y podrían permitir a un atacante ejecutar código de forma remota sin autenticación. El equipo de desarrollo de PHP lanzó una versión reparada el 21 de octubre e insta a los usuarios a actualizar de inmediato.
OpenAI declaró que este incidente resalta el doble papel de la inteligencia artificial en el campo de la seguridad de la red. Por un lado, los modelos avanzados pueden ayudar a los investigadores a descubrir fallas que han estado ocultas en software maduro durante mucho tiempo; por otro lado, los atacantes también pueden utilizar las mismas capacidades para desarrollar rápidamente herramientas de explotación y programas de ataque. Por lo tanto, el equipo de seguridad no solo puede centrarse en si se puede descubrir la vulnerabilidad, sino que también debe establecer un mecanismo eficiente para garantizar que la vulnerabilidad se repare de manera oportuna y reducir el riesgo de ataque tanto como sea posible antes de que se implementen los parches relevantes.
OpenAI declaró que, según la información que tiene actualmente, la vulnerabilidad se descubrió con la ayuda de inteligencia artificial avanzada antes de que el atacante la descubriera y explotara. Esto compra un valioso tiempo de preparación de defensa para los mantenedores de software. La compañía llama a esta fase la "Ventana del Defensor", que es el período de tiempo durante el cual los defensores pueden identificar problemas, desarrollar planes de solución y desplegar medidas de protección antes de que lo hagan los atacantes.
Sin embargo, esta ventana no siempre existirá. A medida que las capacidades de los modelos de inteligencia artificial sigan mejorando, el intervalo de tiempo entre el descubrimiento de vulnerabilidades y el desarrollo de métodos de ataque puede acortarse gradualmente. OpenAI cree que la industria de la ciberseguridad necesita pasar de un enfoque de manejo de vulnerabilidades relativamente descentralizado en el pasado a un mecanismo de respuesta sistemático que pueda coordinar rápidamente a los mantenedores de software, proveedores de servicios, operadores empresariales y agencias gubernamentales.
Con este fin, OpenAI ha propuesto un marco de respuesta coordinada para vulnerabilidades graves, que incluye principalmente cinco etapas.
En primer lugar, los mantenedores de software, los investigadores y los socios tecnológicos clave deben trabajar juntos para verificar las vulnerabilidades, evaluar su alcance y desarrollar y probar soluciones. En esta etapa, el equipo también debe utilizar modelos avanzados para realizar pruebas adversas para comprobar si el parche realmente puede prevenir el ataque y buscar posibles variantes de vulnerabilidad relevantes para evitar solucionar solo problemas superficiales y perder otras rutas explotables.
En segundo lugar, se debe dar suficiente tiempo de preparación a las organizaciones afectadas. Diferentes organizaciones tienen diferentes tareas de protección: los editores de software pueden necesitar migrar parches a versiones anteriores, los proveedores de servicios de alojamiento en la nube deben verificar las medidas de mitigación temporales y las empresas de seguridad de redes pueden necesitar preparar reglas de detección o estrategias de protección de firewall de aplicaciones web (WAF) con anticipación. OpenAI propuso que la información técnica necesaria se proporcione en etapas según las responsabilidades de protección reales de cada participante, y que el riesgo de fuga se reduzca mediante acuerdos de intercambio de información y mecanismos de coordinación especializados.
En tercer lugar, se necesita cooperación con las agencias gubernamentales de ciberseguridad para garantizar que los operadores de infraestructura crítica reciban alertas y recomendaciones de protección oportunas. En el incidente de vulnerabilidad de PHP, OpenAI y sus socios se pusieron en contacto con múltiples departamentos gubernamentales y agencias de ciberseguridad de EE. UU., incluido el Grupo de Trabajo de Súper Inteligencia de la Casa Blanca, la Oficina del Director Cibernético Nacional y la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), y coordinaron con socios internacionales.
En cuarto lugar, una vez que se estabilicen el plan de reparación y el plan de divulgación pública, se debe ampliar el alcance de la participación para permitir que más editores de software, proveedores de servicios en la nube, proveedores de servicios de alojamiento y equipos de seguridad empresarial preparen actualizaciones con antelación. Para las organizaciones que todavía utilizan versiones anteriores de software y no pueden instalar directamente los parches más recientes, también deben evaluar la viabilidad de revertir parches u otras medidas de protección temporales.
En quinto lugar, después del lanzamiento oficial del parche, se deben proporcionar al público pautas de reparación claras para ayudar a los usuarios a confirmar si sus sistemas están afectados, qué versión deben instalar y cómo verificar si la reparación es efectiva. Todo el proceso de respuesta no finaliza inmediatamente cuando se lanza el parche. El equipo de seguridad también debe continuar rastreando la implementación y ayudar a las organizaciones que aún no han completado la actualización a lidiar con los problemas reales.
OpenAI señaló específicamente que existen dilemas obvios al compartir información sobre vulnerabilidades por adelantado. Por un lado, los proveedores de servicios en la nube, los proveedores de seguridad de redes y los operadores de infraestructuras críticas necesitan detalles técnicos suficientes para preparar medidas de protección eficaces; por otro lado, incluso la información limitada sobre la vulnerabilidad puede ayudar a los atacantes a inferir la ubicación específica de la falla. Por lo tanto, la información relevante debe proporcionarse en etapas basadas en las responsabilidades de protección de los participantes, las necesidades de tiempo de preparación y la capacidad para manejar información confidencial.
El cronograma de divulgación original también debe reevaluarse si comienza la explotación real de la vulnerabilidad, se filtran accidentalmente detalles técnicos o el propio parche público expone la ubicación de la vulnerabilidad. OpenAI cree que los mecanismos de coordinación deben poder ajustarse rápidamente a medida que cambian las amenazas, en lugar de seguir mecánicamente plazos fijos.
Para ayudar a más organizaciones a tomar medidas, OpenAI declaró que proporcionará herramientas de verificación de versiones de PHP y planea lanzar habilidades de soporte de Codex para ayudar a los operadores de sistemas a identificar versiones de PHP potencialmente riesgosas y determinar los planes de actualización aplicables según las pautas oficiales de PHP y de los proveedores de servicios. OpenAI también agrega información de divulgación de vulnerabilidades y guías de protección a través del proyecto "Patch the Planet" para ayudar a los administradores a encontrar parches autorizados, comprender medidas de mitigación temporales y verificar si las actualizaciones realmente se implementan.
En términos de soporte de recursos, OpenAI promete proporcionar acceso subsidiado al servicio Daybreak por un valor de mil millones de dólares a través del programa "Daybreak for Frontline Defenders", centrándose en ayudar a las organizaciones con recursos de seguridad limitados pero responsables de tareas críticas de protección de servicios. La compañía también brindará soporte de suscripción a los mantenedores de software de código abierto a través de Codex para OSS y patrocinará directamente proyectos como la Fundación Rust para proporcionar recursos para trabajos de mantenimiento y mejoras técnicas.
OpenAI señaló que los equipos de mantenimiento de proyectos de software de código abierto suelen tener un tamaño limitado. Además del trabajo diario de desarrollo, también necesitan manejar informes de seguridad, determinar el impacto de las vulnerabilidades, verificar parches y ser compatibles con múltiples versiones de software. Estas tareas requieren mucho tiempo y la inteligencia artificial puede ayudar a analizar el código, identificar informes duplicados, redactar pruebas y verificar correcciones, reduciendo así la carga de trabajo de los encargados del mantenimiento.
Además de descubrir y corregir vulnerabilidades individuales, OpenAI también propone que los fallos de seguridad se reduzcan desde la etapa de diseño del software. La empresa cree que la IA puede ayudar a los ingenieros a elegir valores predeterminados más seguros, utilizar bibliotecas de seguridad correctamente y detectar patrones de código peligrosos en las primeras etapas del proceso de desarrollo.
Otra dirección importante es la migración de componentes de software clave a lenguajes seguros para la memoria. Muchas vulnerabilidades críticas resultan de errores en la administración de la memoria, como el acceso a la memoria que ya ha sido liberada o situaciones fuera de los límites del buffer. El uso de un lenguaje con garantías de seguridad de la memoria puede eliminar una gran clase de defectos comunes en su origen. La inteligencia artificial puede ayudar en la migración de código, pero el comportamiento, la compatibilidad y la seguridad posteriores a la migración aún requieren pruebas y revisión profesional.
OpenAI también enfatiza la verificación formal y mecanismos de aislamiento más sólidos. La verificación formal utiliza métodos matemáticos para demostrar que un programa satisface propiedades de seguridad específicas bajo supuestos explícitos, lo que ayuda a mejorar la confiabilidad de los componentes clave; La tecnología Sandbox puede limitar el software que procesa archivos, imágenes o contenido multimedia que no son de confianza a un entorno controlado. Incluso si el programa se ve comprometido, puede reducir la oportunidad de que los atacantes controlen aún más todo el sistema.
Al mismo tiempo, la empresa reconoce que ampliar el uso de la inteligencia artificial en la ciberseguridad también requerirá medidas antiabuso más sofisticadas. OpenAI está ajustando aún más el clasificador de seguridad de Daybreak en un esfuerzo por reducir el riesgo de que la herramienta se utilice para ataques maliciosos. Sin embargo, la compañía dijo que restricciones demasiado estrictas también pueden obstaculizar la investigación de seguridad legítima, por lo que se debe lograr un equilibrio entre abrir capacidades de defensa y prevenir el uso malicioso.
OpenAI finalmente pide a los mantenedores de software, investigadores, proveedores de servicios de seguridad de red y operadores empresariales que trabajen juntos para mejorar este marco. La empresa espera centrarse en varias cuestiones: cuánto tiempo se debe dar a los defensores para prepararse antes de que una vulnerabilidad se haga pública; cuándo se pueden revelar con antelación las vulnerabilidades críticas; qué organizaciones deben ser alertadas con antelación; y cómo proporcionar de manera confiable parches de reversión y alternativas de seguridad cuando la actualización de versiones anteriores de software no se puede realizar de manera oportuna.
OpenAI también propuso un escenario futuro más controvertido: los sistemas de Internet pueden establecer gradualmente un mecanismo continuo de escaneo de vulnerabilidades, notificar a los propietarios de sitios web cuando se descubran vulnerabilidades conocidas e incluso parchear directamente el sistema con la autorización adecuada. Sin embargo, este tipo de enfoque implica propiedad del sistema, permisos de gestión, riesgos de mal funcionamiento y límites de responsabilidad, y aún es necesario establecer estrictas garantías técnicas y de gobernanza.
Este incidente de vulnerabilidad de PHP muestra que la inteligencia artificial está cambiando la forma en que funciona la seguridad de la red. En el pasado, el descubrimiento, análisis, reparación e implementación a gran escala de vulnerabilidades graves a menudo requería una coordinación a largo plazo entre múltiples equipos; Hoy en día, los modelos avanzados pueden acelerar la investigación de vulnerabilidades, pero proteger verdaderamente Internet todavía depende de si los mantenedores de software, los proveedores de servicios en la nube, las empresas y las agencias gubernamentales pueden actuar con rapidez.
Para OpenAI, "Patch the Planet" no es solo una respuesta de emergencia a las vulnerabilidades de PHP, sino también un ejercicio para explorar un mecanismo coordinado de divulgación de vulnerabilidades en la era de la inteligencia artificial. A medida que la capacidad de la inteligencia artificial para descubrir fallas de seguridad continúa aumentando, la clave para la competencia en ciberseguridad en el futuro puede que ya no sea solo encontrar la vulnerabilidad primero, sino quién puede verificar el problema más rápido, corregir el código y proteger los sistemas afectados en todo el mundo de manera oportuna.
Artículos relacionados:
PHP ha expuesto graves vulnerabilidades de seguridad y los operadores de sitios web globales han entrado urgentemente en un estado de parcheo
Dos vulnerabilidades graves pueden provocar la ejecución remota de código en el servidor PHP parche de seguridad de emergencia oficial
Comentarios