Una IA encontró una mina terrestre en los cimientos de la web y

La bomba que aún no ha explotado

Existe un tipo particular de pánico que proviene de saber que una catástrofe es posible pero aún no real. En las zonas devastadas por la guerra, los sitios de construcción lidian con esto constantemente. Los artefactos sin explotar yacen bajo el suelo, invisibles hasta que son perturbados. Los protocolos son claros: detener los trabajos, alertar a las autoridades y esperar a que lleguen los expertos.

Esa es, esencialmente, la situación que enfrenta hoy internet a nivel global.

Menos de dos meses después de que 100 empresas tecnológicas firmaran una carta abierta advirtiendo sobre la necesidad de resiliencia cibernética en la era de la inteligencia artificial, la advertencia resultó ser profética de la manera más concreta posible. Un escáner de vulnerabilidades asistido por IA descubrió defectos críticos en PHP, el lenguaje de programación que impulsa aproximadamente el 70 % de los sitios web del mundo, y sus consecuencias han sido inmediatas, caóticas y aún se están desarrollando.

Cómo ocurrió el descubrimiento

Las vulnerabilidades estaban profundamente insertas en el código base de PHP, permaneciendo en silencio durante años. No se trataba de errores menores que aparecen tras una revisión casual del código. Un investigador de ciberseguridad le dijo a la BBC que dedicó toda una noche a intentar explotar una de ellas como prueba de concepto y no lo logró.

Ese es precisamente el patrón que los investigadores han observado antes. Algunas de las fallas más peligrosas en software ampliamente utilizado resisten obstinadamente el descubrimiento humano. Requieren un tipo de persistencia, intuición y reconocimiento de patrones que incluso los ingenieros más experimentados pueden pasar por alto. Lo que sí necesitan es un equipo capaz de ejecutar millones de variaciones simultáneamente, cotejar patrones a lo largo de décadas de código y detectar anomalías que ninguna persona notarían por sí sola.

Eso es exactamente lo que aporta la IA. No como reemplazo del juicio humano, sino como multiplicador del esfuerzo humano a escala.

La Fundación PHP, que supervisa el lenguaje, actuó con rapidez una vez confirmada el descubrimiento. Se emitió un parche para la última versión de PHP. Pero la solución no es universal, y ahí es donde comienzan a acumularse las consecuencias de segundo orden.

La filtración que lo cambió todo

La divulgación responsable de vulnerabilidades sigue un protocolo bien establecido. Los investigadores hallan un fallo, envían una notificación privada a los mantenedores del software, se desarrollan parches y, solo entonces, se alerta al público. El objetivo es darle a los defensores una ventaja inicial sobre los atacantes. Idealmente, una ventaja cómoda.

Esta vez, el protocolo se vino abajo. Los detalles se filtraron antes de que cerrara la ventana de parcheo. Eso significa que el reloj comenzó a correr mientras todo el mundo observaba, y cada adversario en internet leía la misma información filtrada.

«Existe un dilema real», afirmó el profesor Alan Woodward, de la Universidad de Surrey, a la BBC. «¿Cómo adviertes a la gente que debe prepararse y que se requiere urgentemente un parche, sin alertar a los atacantes?» Su evaluación fue tajante: avisas a todos al mismo tiempo y esperas que los defensores estén lo bastante atentos para actuar más rápido que los atacantes.

Por lo que se sabe, esa carrera aún está en marcha. Cloudflare y Palo Alto Networks reportaron millones de intentos de explotación en las horas y días posteriores a la filtración. Aún no está claro si alguno de ellos ha tenido éxito. Los operadores de grandes sitios web quizás aún no sepan que han sido objeto de un ataque. Los pequeños sitios que ejecutan versiones desactualizadas de PHP pueden estar completamente al margen de todo.

Por qué esto es distinto de una corrección normal

Una vulnerabilidad crítica típica —incluso una grave— suele afectar a una aplicación específica o a un conjunto reducido de configuraciones. Esta hunde sus raíces en los cimientos. PHP ha sido la columna vertebral de la capa de contenido de internet durante más de dos décadas. WordPress, Drupal, Joomla y una infinidad de aplicaciones personalizadas dependen de él. El lenguaje no va a desaparecer. Su base instalada es enorme y está profundamente arraigada.

El parche solo se aplica a la última versión de PHP. Las instalaciones antiguas no pueden simplemente aplicar una corrección; primero deben actualizarse. Para un sitio bien mantenido que ejecuta PHP moderno, ese proceso es sencillo. Para la gran cantidad de sitios que aún corren versiones heredadas —algunas de ellas quizás en servidores que no se tocan desde hace años—, se trata de un proyecto de ingeniería considerable.

Aquí es donde el factor humano se convierte en el cuello de botella. Cada propietario de sitio web que no cuenta con conocimientos técnicos avanzados ahora enfrenta una disyuntiva: posponer la actualización y arriesgarse a quedar expuesto, o invertir tiempo y dinero en una renovación del sistema que quizás no estaba contemplada en su presupuesto. Las pequeñas empresas, las ONG y los blogueros individuales son los más vulnerables. Suelen ser también los menos preparados.

La pregunta sobre la IA

Gina Neff, profesora de IA Responsable en la Queen Mary University, calificó el episodio como un caso de éxito en un sentido. «Hemos visto cómo un equipo de personas, respaldado por una gran empresa de inteligencia artificial, utilizó la IA para encontrar el problema, trabajó durante meses de forma conjunta para resolverlo y preparó a todos para estar a salvo», afirmó.

Ese enfoque no es erróneo. La IA detectó una falla que los humanos pasaron por alto. Los defensores tuvieron la oportunidad de responder antes de que el ataque se materializara. No se han reportado brechas confirmadas. En una medida, el sistema funcionó.

Pero Neff también señaló la otra cara de la moneda: las mismas herramientas de IA están disponibles para los adversarios. Es probable que esas herramientas ya estén en funcionamiento, generando rutas de explotación y probando variaciones contra objetivos activos. La carrera entre defensa y ataque ya no trata sobre quién encuentra el error primero. Ahora se trata de quién puede convertirlo en un arma más rápidamente.

Esa dinámica —el descubrimiento asistido por IA acelerando tanto la protección como la explotación— es el desafío de ciberseguridad definitorio de la década. Este episodio de PHP no es un incidente aislado. Es un prototipo de lo que volverá a ocurrir una y otra vez a medida que estas capacidades maduren.

Qué sigue

La presión inmediata recae sobre los operadores de sitios web para que realicen actualizaciones. Cuanto mayor sea la ventana entre la filtración y la adopción generalizada del parche, más amplia será la exposición. Las autoridades de ciberseguridad de todo el mundo han emitido orientaciones urgentes. Pero las orientaciones no equivalen a cumplimiento.

En el plano de la infraestructura, la Fundación PHP y la comunidad más amplia del software de código abierto enfrentarán un escrutinio intenso. La pregunta sobre cómo prevenir filtraciones de este tipo en el futuro —especialmente a medida que las herramientas de IA hacen que el descubrimiento de vulnerabilidades sea más rápido y accesible— probablemente domine las próximas conferencias y debates sobre políticas de seguridad.

Para el propietario promedio de un sitio web, la lección es contundente: el software heredado ya no es simplemente un problema de deuda técnica. Es un pasivo de seguridad con riesgos medibles y tangibles. La metáfora de la bomba sin explotar se mantiene porque el peligro no es abstracto. Está ahí, enterrado, esperando a que alguien tropiece con él.

Ya sea que esa persona sea un investigador que intenta demostrar un punto, un delincuente que busca rentabilizar un modelo de negocio o un algoritmo de inteligencia artificial ejecutando experimentos a escala, el mecanismo de activación resulta cada vez más indistinguible.