La IA está duplicando los descubrimientos de errores de software, y los expertos cibernéticos advierten de más interrupciones

🤖 Los avances en inteligencia artificial han descubierto una serie de nuevas vulnerabilidades de software que seguramente desencadenarán más interrupciones similares a las que se produjeron en los sitios web gubernamentales globales esta semana, según siete profesionales de la ciberseguridad que hablaron con Reuters. La IA ayudó a duplicar el número de fallas digitales descubiertas año tras año, según una investigación que se publicará en los próximos días por VulnCheck, una empresa de inteligencia de amenazas con sede en Massachusetts, un ritmo que está reescribiendo las suposiciones de la industria sobre cuánto tiempo tienen los defensores para actuar.

☁ Matthew Prince, director ejecutivo de la empresa de infraestructura digital Cloudflare, dijo a Reuters que estaba al tanto de un montón de vulnerabilidades severas adicionales presentes en otras piezas de software crítico, y predijo meses ocupados por delante a medida que la IA saca a la luz debilidades largamente ocultas en la estructura de Internet. Creo que vamos a tener un par de años en los que cada semana parecerá que se está desplomando el cielo, dijo Prince en una entrevista el jueves.

🚧 Las interrupciones que se extendieron por los sitios gubernamentales en Europa y en otros lugares a partir del miércoles siguieron al descubrimiento de debilidades en PHP, un lenguaje de programación venerable que alimenta una gran parte de Internet. Los operadores se apresuraron a arreglar su software en anticipación de una explotación masiva, y debido a que algunos sintieron que no podían parchear antes de que los hackers intervinieran, un subconjunto simplemente desconectó sus sitios hasta que pudieran hacerlos seguros, una precaución extraordinaria que vació los mostradores digitales de Tokio a Helsinki.

🔍 Un investigador de VulnCheck llamado Patrick Garrity señaló que la carrera por solucionar problemas en PHP ocurrió durante una semana ya ocupada en ciberseguridad: esa misma semana también se revelaron vulnerabilidades en alternativas de PHP como Node.js, el programa de streaming Plex, violaciones vinculadas a la puerta de entrada de IA LiteLLM y la plataforma de desarrollo Railway, además de que la autoridad de certificados de la India eMudhra había utilizado una clave criptográfica extremadamente frágil que podría haber puesto en riesgo a los usuarios en todo el internet. Si solo vimos cuatro o cinco incidentes similares en una semana, Garrity dijo que esperaría ver muchos más. 📉 La colapso del calendario de los defensores 💻 Las bases de código que ejecutan programas modernos son extensas, y los errores que abren posibles vías de explotación suelen aparecer en lugares inesperados. Antes, encontrar fallos requería un nivel básico de habilidad, y convertir esos fallos en herramientas de apertura digital —explotaciones— podía esperar que tomaran semanas o meses de trabajo por parte de un profesional experimentado. Ese retraso daba tiempo a los defensores para corregir las fallas y lanzar suavemente actualizaciones de software antes de que los adversarios pudieran actuar. 🤖 La inteligencia artificial ha puesto fin a esas suposiciones. Los modelos pueden encontrar un error tras otro al someter las bases de código a una vigilancia constante las 24 horas, y pueden desarrollar explotaciones en horas. Shane Fry, director de tecnología de RunSafe Security, empresa con sede en Virginia, dijo que el rendimiento demostrado de los modelos de IA en los últimos meses había eliminado cualquier duda sobre si cambiarían la industria. Lo que realmente y sin duda está cambiando es el ritmo no solo para encontrar vulnerabilidades, sino también la velocidad con la que los adversarios pueden armar esas vulnerabilidades, dijo Fry.

⚖ ¿Significa la inundación una guerra de hackers sin restricciones?

🧪 Aunque todos los expertos consultados por Reuters coincidieron en que los plazos de los defensores se estaban acortando, estaban divididos sobre si la IA conduciría a una guerra de hackers sin restricciones. Daniel Stenberg, desarrollador principal de la herramienta de transferencia de archivos ampliamente utilizada curl, argumentó que las vulnerabilidades encontradas por los modelos de IA tendían a ser errores exóticos que eran difíciles de aprovechar por parte de actores malintencionados. Ramy Rahman, ingeniero de soluciones principal senior en la empresa de ciberseguridad ArmorCode, dijo que más vulnerabilidades reveladas no significan automáticamente más ataques exitosos.

🔍 Hubo evidencia tentativa de esto en torno a la vulnerabilidad de PHP que atrajo la preocupación mundial esta semana. La firma de inteligencia de amenazas Hunt.io dijo que, al igual que Amazon y Cloudflare, había visto intentos agresivos de aprovecharse del error, pero su jefe de investigación, Esteban Borges, dijo que a partir de las 2 de la tarde hora del este del jueves, los ciberdelincuentes que rastreó parecían no haber logrado armar una herramienta funcional para explotarlo. Sin embargo, Prince le dijo a Reuters que había visto evidencia anecdótica de compromisos relacionados con la vulnerabilidad de PHP, manteniendo honesta la evaluación del riesgo en ambos lados.

👽 La avalancha de descubrimientos impulsados por la IA podría inquietar a la industria, pero sería un beneficio neto al final, argumentó Prince, comparándolo con matar a los monstruos en una casa embrujada: la confrontación podría ser aterradora, pero dejar a los monstruos acechar silenciosamente detrás de puertas cerradas era mucho peor. La realidad es que vamos a limpiar muchas de estas cosas, dijo — una auditoría largamente atrasada de los fundamentos envejecidos de Internet, realizada a velocidad de máquina.

🌏 Lo que significa para la economía digital de Bangladesh

💻 Para Bangladesh —un país donde la misma interrupción de PHP obligó al Banco de Bangladesh a desconectar su sitio web como medida de precaución—, el mensaje es particularmente claro. Los bancos del país, los portales gubernamentales, las plataformas de comercio electrónico y la industria de exportación de software de rápido crecimiento funcionan todos en la misma pila de software global, cuyas fallas ocultas la IA ahora está exponiendo una por una. Esto tiene dos caras: las empresas bangladesíes heredan el riesgo de una weaponización más rápida, pero también obtienen acceso a las mismas herramientas de escaneo y parcheo asistidas por IA que están elevando el estándar global.

🚀 La respuesta estratégica ya es bien entendida: inventarios de todos los sistemas y bibliotecas en uso, escaneo automatizado de vulnerabilidades como rutina en lugar de simulacro de incendio, centros de operaciones de seguridad que pueden actuar en horas, y reglas de adquisición que tratan la parcheabilidad como una característica del producto. Las empresas que construyen para mercados de exportación —desde fintech hasta servicios de procesos empresariales— pueden incluso convertir la higiene en un activo comercial: la práctica de seguridad demostrable es cada vez más parte de la diligencia debida en los contratos internacionales.

🔭 El veredicto dividido de la industria —más errores encontrados, pero no necesariamente más brechas— sugiere que el resultado depende menos de la tecnología que de la respuesta. Las instituciones que tratan los próximos años de titulares apocalípticos como una fuerza impulsora para la disciplina emergerán con sistemas más limpios y defendibles; aquellas que tratan cada advertencia como ruido seguirán descubriendo que sus procedimientos de emergencia nunca fueron ensayados. La IA ha hecho que la inseguridad del software sea más evidente; lo que las organizaciones hacen con el ruido sigue siendo, enteramente, responsabilidad suya.