Una vulnerabilidad hallada con ayuda de IA
Líderes de ciberseguridad están dando la voz de alarma después de que investigadores usaran inteligencia artificial para descubrir esta semana una vulnerabilidad de gran magnitud, y prevén que las herramientas de IA revelen debilidades más profundas en la infraestructura global de internet en los próximos meses. El periodo ha sido bautizado como Octubre Negro, en referencia a fallas críticas halladas en un lenguaje de programación que sostiene millones de sitios web y que podría haber permanecido sin parche durante años.[S1][S2]
Las fallas se localizaron en PHP, un lenguaje de programación que impulsa una amplia porción de la web. Algunos especialistas estimaron que hasta el 70% de todos los sitios de internet quedó expuesto a ataques como consecuencia. Investigadores de la plataforma de seguridad con IA Wiz describieron el hallazgo como una de las vulnerabilidades más graves jamás encontradas en PHP y posiblemente en la historia del software.[S1]
Según Wiz, los defectos subyacentes existían desde hacía décadas, pero demostrar que podían explotarse exigía una secuencia de pasos inusualmente intrincada que rozaba el límite de lo que los investigadores humanos podían lograr en la práctica. Esa complejidad explica por qué el hallazgo se considera un punto de inflexión.[S1]
Los ejecutivos prevén un tsunami de vulnerabilidades
Ejecutivos tecnológicos advierten que la IA se usará tanto para localizar como para aprovechar fallas de seguridad a una escala y una velocidad nunca vistas. Jason Clinton, subdirector de seguridad de la información de Anthropic, pronosticó un tsunami de vulnerabilidades en los próximos meses y sostuvo que no habrá tiempo suficiente para parchear la infraestructura crítica. El consejero delegado de Salesforce, Marc Benioff, calificó la situación de alerta roja.[S1]
Sam Altman afirmó que ya no cree que sea posible parchear todos los errores, sumándose a un coro creciente de figuras del sector. Matthew Prince, consejero delegado de Cloudflare, dijo que la IA puede encontrar e identificar fallas de seguridad de formas y a un ritmo que se sentirán catastróficos, porque la comunidad de seguridad no podrá responder con la suficiente rapidez. Pronosticó que los próximos dos años serán extraordinariamente difíciles mientras nuevas herramientas con paciencia ilimitada rastrean internet en busca de debilidades.[S1]
Comienza la explotación mientras las agencias responden
La preocupación no se limita a encontrar errores. Ya han comenzado los intentos de explotar la vulnerabilidad de PHP. Tras la divulgación de las fallas, sitios gubernamentales y privados de Estados Unidos y el Reino Unido se desconectaron brevemente para aplicar parches. La Agencia de Seguridad Nacional de Estados Unidos emitió una alerta en la que instó a cualquier sitio que funcione con PHP a instalar las correcciones sin demora.[S1]
La NSA advirtió que actores maliciosos podrían intentar usar los errores para acceder a servidores sin autorización, una vía que podría permitir a los atacantes robar datos sensibles, interrumpir servicios o adentrarse más en una red. Prince dijo que Cloudflare había registrado miles de intentos de explotar las fallas de PHP en las 10 horas previas al anuncio. Esa cifra subió a decenas de miles en los 45 minutos posteriores a la divulgación, a cientos de miles en dos horas y a millones cuando publicó su mensaje, según dijo.[S1]
