¿Internet sigue siendo seguro?

Hay que compadecerse de los defensores cibernéticos. En ocasiones, debe entrar en acción tras la revelación inesperada de una vulnerabilidad en algún software de uso generalizado. Sin embargo, rara vez debe hacerlo varias veces en la misma semana.

El 20 de octubre, los equipos de seguridad de los principales navegadores web recibieron un correo electrónico inusual. Decía: «Tenemos un problema» y venía acompañado de un archivo con ocho claves de seguridad privadas: números generados aleatoriamente que se utilizan para cifrar las comunicaciones en internet. Estas claves deberían tener 116 dígitos para garantizar la seguridad. Las del correo electrónico, emitido originalmente por una autoridad india, no tenían más de tres dígitos. Una de ellas era una clave privada de tan solo «4». Para colmo, el correo electrónico estaba firmado simplemente como «Wayne».

Revocar dichas claves de bases de datos centrales importantes es factible. Sin embargo, verificar que todos los sistemas se hayan actualizado correctamente es una tarea ardua. Los principales navegadores web mantienen sus listas negras actualizadas, pero muchos sistemas conectados a internet no se adaptan con tanta facilidad. Algunos, como muchos sistemas Linux, requieren una actualización de software activa; otros, como algunas herramientas de línea de comandos en Mac OS , deben corregirse manualmente.

Los defensores estaban ocupados solucionando esas vulnerabilidades cuando, en la mañana del 21 de octubre, surgió otro problema. Se habían descubierto dos fallos de seguridad en PHP , un lenguaje de programación veterano que sustenta decenas de millones de aplicaciones web, incluyendo foros, portales financieros y sitios web gubernamentales. Se prometió un parche para esa misma tarde. Mientras tanto, los gobiernos aconsejaron a las organizaciones afectadas que desconectaran completamente sus sistemas, una instrucción que no se tomó a la ligera. Varios sitios web gubernamentales en Europa quedaron inactivos.

El consejo resultó ser acertado. Horas después de que se diera a conocer la noticia de la vulnerabilidad, y a más de 12 horas de la fecha prevista para el parche, se filtraron sus detalles. La vulnerabilidad era extremadamente grave: una receta para la ejecución remota de código no autorizada ( RCE ), que permitía a un atacante tomar el control de máquinas que ejecutaban PHP . Explotar la vulnerabilidad, como demostró al menos una prueba de concepto ampliamente difundida, era sencillo.

No existe un vínculo directo entre ambas vulnerabilidades, pero sí una relación significativa: ambas parecen haber sido descubiertas mediante inteligencia artificial (IA) . La vulnerabilidad de PHP fue hallada de forma independiente por dos miembros de un consorcio de ciberdefensa basado en IA , liderado por OpenAI , una empresa estadounidense. Según eMudhra, la empresa india que las emitió, las claves de seguridad defectuosas también podrían haber sido descubiertas mediante IA . Sin duda, el método de divulgación sugiere un enfoque de investigación poco convencional.

Para el 22 de octubre se habían publicado dos vulnerabilidades más. GitLab, una herramienta de desarrollo de software, anunció un parche para una debilidad que afectaba a 12 años de versiones y que podía permitir su propia ejecución remota de código (RCE) , clasificándola con un 10 en una escala de gravedad de 10 puntos. Oracle, un gigante tecnológico, corrigió una debilidad similar en Java, su lenguaje de programación más utilizado, y la clasificó con un 9,1 en gravedad. Probablemente también se utilizó inteligencia artificial para descubrir estas fallas.

Estos episodios ilustran una incómoda realidad de la ciberseguridad basada en IA : solucionar un problema deja poco tiempo para su explotación. El fallo de PHP se anunció con 18 horas de antelación antes de que se publicara el parche, con el objetivo de preparar a los defensores para instalar la actualización rápidamente. Sin embargo, la publicación accidental de un vídeo que demostraba la vulnerabilidad permitió a otros, con la ayuda de la IA, realizar ingeniería inversa y descubrir cómo explotarla. Poco después, una empresa de seguridad publicó su versión de la solución seis horas antes, lo que permitió a cualquier atacante examinar con precisión qué se había corregido y, por lo tanto, descubrir más detalles de la vulnerabilidad en los sistemas sin parchear.

Los defensores se enfrentaban antes al difícil problema de encontrar fallos en su propio software antes que los atacantes. Ahora tienen un desafío diferente: con la IA exponiendo una gran cantidad de vulnerabilidades, ¿Cómo pueden informar a sus usuarios sobre las correcciones sin alertar a sus enemigos en el proceso?

© 2026, The Economist Newspaper Limited. All rights reserved.