Una IA de OpenAI detectó fallas críticas que amenazan a millones de sitios web

El descubrimiento generó una alerta internacional y llevó a gobiernos y empresas a suspender temporalmente servicios para evitar posibles ataques.

Investigadores de ciberseguridad descubrieron mediante un modelo de inteligencia artificial de OpenAI dos vulnerabilidades críticas en PHP, un lenguaje de programación ampliamente utilizado en internet. El hallazgo provocó una respuesta internacional de emergencia, con organismos públicos y empresas que desconectaron temporalmente sus servicios para evitar posibles ataques informáticos.

Según informó Business Insider, las fallas fueron identificadas por la empresa de ciberseguridad Calif, que utilizó el modelo GPT-5.6 Sol de OpenAI. Paralelamente, la compañía Wiz descubrió de forma independiente los mismos problemas de seguridad.

Los hallazgos se produjeron en el marco de Patch the Planet, una iniciativa impulsada por OpenAI para identificar y corregir vulnerabilidades en la infraestructura digital mundial.

PHP es un lenguaje de programación de código abierto utilizado para el funcionamiento de numerosas páginas web. Entre otras funciones, permite gestionar sistemas de inicio de sesión, compras en línea y conexiones con bases de datos.

De acuerdo con las estimaciones citadas por Business Insider, PHP se utiliza en aproximadamente el 70% de los sitios web del mundo, lo que explica la preocupación que generó el descubrimiento.

Sin embargo, esto no significa que todos esos sitios hayan sido comprometidos, sino que los sistemas que utilicen versiones y configuraciones vulnerables podrían quedar expuestos a ataques.

Las dos fallas recibieron una calificación de gravedad de 9,2 sobre 10 en la escala internacional CVSS. En determinadas circunstancias, podrían permitir que ciberdelincuentes ejecuten código de forma remota, accedan a información privada o modifiquen el contenido de páginas web sin necesidad de conocer una contraseña.

OpenAI calificó el descubrimiento como “uno de los problemas de seguridad más importantes de los últimos tiempos”, debido a la cantidad de sistemas potencialmente afectados.

La compañía sostuvo que las vulnerabilidades fueron identificadas antes de que existieran indicios conocidos de que los atacantes las hubieran descubierto. Esto permitió coordinar la publicación de actualizaciones para corregirlas.

No obstante, después de que se hiciera pública la existencia de las fallas, comenzaron a registrarse intentos de explotación.

El director de tecnología de Cloudflare, Dane Knecht, advirtió que la empresa había comenzado a detectar ataques y que trabajaba en nuevas medidas de protección a medida que aparecían otras formas de aprovechar las vulnerabilidades.

Ante esta situación, organismos de ciberseguridad estadounidenses instaron a las organizaciones a actualizar sus sistemas de inmediato o desconectar temporalmente aquellos que no pudieran protegerse.

El equipo de seguridad de PHP ya había anunciado el martes 20 de octubre que publicaría una actualización de emergencia al día siguiente. También había advertido que podría adelantar su lanzamiento si aparecían pruebas de ataques activos.

Las correcciones fueron publicadas este miércoles, lo que inició una carrera entre administradores de sistemas y posibles atacantes para actualizar los servicios antes de que las fallas pudieran ser aprovechadas.

El episodio también puso sobre la mesa el papel de la inteligencia artificial en el futuro de la ciberseguridad.

OpenAI advirtió que, a medida que sus modelos se vuelvan más avanzados, será posible identificar vulnerabilidades de software a un ritmo considerablemente mayor.

Sin embargo, la misma capacidad que permite a investigadores encontrar y corregir fallas antes de que sean explotadas también podría ser utilizada por ciberdelincuentes para descubrir nuevas formas de vulnerar sistemas.

En ese sentido, Nicolas Bustamante, ingeniero de Microsoft, destacó que el descubrimiento se realizó utilizando un modelo anterior a las versiones más recientes de inteligencia artificial.

“No creo que el mundo esté preparado para la enorme cantidad de vulnerabilidades que descubrirán los modelos más nuevos”, advirtió en X.