OpenAI ha anunciado recientemente su participación en la identificación y coordinación de la reparación de dos vulnerabilidades críticas en el lenguaje de programación PHP. Esta iniciativa es impulsada por el programa "Patching the Entire Internet" de OpenAI, que reúne a mantenedores de software, investigadores de seguridad, proveedores de servicios en la nube y agencias gubernamentales de ciberseguridad para reducir los riesgos que estas vulnerabilidades pueden representar para la infraestructura global de Internet. OpenAI ha declarado que los modelos avanzados de inteligencia artificial son capaces de detectar defectos de seguridad en el software que tienen un amplio alcance, y cómo transformar rápidamente estos hallazgos en medidas de protección efectivas se está convirtiendo en un tema cada vez más importante en el campo de la ciberseguridad.
En este caso, la empresa de seguridad Calif utilizó GPT-5.6 Sol para descubrir una grave vulnerabilidad de seguridad, mientras que la empresa Wiz identificó y reportó de manera independiente dos vulnerabilidades relacionadas. El equipo de mantenimiento de PHP lideró la reparación de las vulnerabilidades y la publicación de versiones seguras, mientras que OpenAI, Wiz, Cloudflare y otros socios proporcionaron investigación técnica, apoyo de ingeniería y coordinación para ayudar a las organizaciones a prepararse para la protección antes de que las vulnerabilidades fueran divulgadas. PHP es un lenguaje de programación de código abierto ampliamente utilizado en sitios web y aplicaciones en línea, y muchos servicios de Internet dependen de él para manejar solicitudes web, operaciones de bases de datos y lógica de negocio en el backend.
Por lo tanto, el impacto de las graves vulnerabilidades en la base de PHP podría extenderse rápidamente a numerosos sitios web, servicios en la nube y sistemas empresariales.
OpenAI asiste en la reparación de vulnerabilidades en PHP mediante tecnología de IA
Las dos vulnerabilidades descubiertas han sido clasificadas como críticas, lo que podría permitir a los atacantes ejecutar código de forma remota sin autenticación. El equipo de desarrollo de PHP lanzó una versión de reparación el 21 de octubre y urgió a los usuarios a actualizar de inmediato. OpenAI ha señalado que este incidente resalta el doble papel de la inteligencia artificial en el campo de la ciberseguridad. Por un lado, los modelos avanzados pueden ayudar a los investigadores a descubrir defectos que han estado ocultos en software maduro durante mucho tiempo; por otro lado, la misma capacidad también puede ser utilizada por los atacantes para desarrollar rápidamente herramientas de explotación y programas de ataque.
Por lo tanto, los equipos de seguridad no pueden centrarse únicamente en si las vulnerabilidades pueden ser descubiertas, sino que también deben establecer un mecanismo eficiente para garantizar que las vulnerabilidades sean reparadas de manera oportuna y reducir el riesgo de ataque tanto como sea posible antes de que se implementen los parches correspondientes.
Según la información disponible, las vulnerabilidades fueron descubiertas con la ayuda de inteligencia artificial avanzada antes de que los atacantes las identificaran y las explotaran, lo que otorgó a los mantenedores de software un valioso tiempo de preparación defensiva. OpenAI denomina a esta fase "ventana del defensor", que es el período en el que la parte defensora puede identificar problemas, desarrollar soluciones de reparación y desplegar medidas de protección antes que los atacantes. Sin embargo, esta ventana no estará presente indefinidamente. A medida que las capacidades de los modelos de inteligencia artificial continúan mejorando, la brecha de tiempo entre la identificación de vulnerabilidades y el desarrollo de métodos de ataque puede ir disminuyendo.
Para ello, OpenAI ha propuesto un marco de respuesta coordinada para vulnerabilidades críticas, que consta de cinco etapas. Primero, los mantenedores de software, investigadores y socios técnicos clave validan conjuntamente las vulnerabilidades, evalúan su alcance, desarrollan y prueban soluciones de reparación, y utilizan modelos avanzados para realizar pruebas adversariales que verifiquen si los parches realmente detienen los ataques y buscan variantes relacionadas de las vulnerabilidades. En segundo lugar, se reserva tiempo suficiente para que las organizaciones afectadas se preparen, proporcionando la información técnica necesaria en fases según las responsabilidades de protección de cada parte involucrada. Tercero, se colabora con agencias gubernamentales de ciberseguridad para garantizar que los operadores de infraestructura crítica reciban alertas a tiempo.
En el caso de las vulnerabilidades de PHP, OpenAI se comunicó con el Grupo de Trabajo de Inteligencia de Alto Nivel de la Casa Blanca, la Oficina del Director Nacional de Ciberseguridad y la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), y coordinó con socios internacionales.
Cuarto, una vez que las soluciones de reparación y los planes de divulgación pública se estabilizan, se amplía la participación para que más editores de software, proveedores de servicios en la nube, proveedores de servicios de alojamiento y equipos de seguridad empresarial se preparen para las actualizaciones con antelación. Quinto, después de la publicación de los parches, se proporciona al público una guía clara de reparación y se realiza un seguimiento continuo del estado de implementación. OpenAI ha señalado especialmente que compartir información sobre vulnerabilidades con anticipación presenta una clara dicotomía. Los proveedores de servicios en la nube, las empresas de ciberseguridad y los operadores de infraestructura crítica necesitan detalles técnicos suficientes para prepararse eficazmente para las medidas de protección, pero incluso la información limitada sobre vulnerabilidades puede ayudar a los atacantes a deducir la ubicación de los defectos.
Por lo tanto, la información relevante debe proporcionarse en fases, según las responsabilidades de protección de los participantes, las necesidades de tiempo de preparación y la capacidad para manejar información sensible. Si las vulnerabilidades han sido realmente explotadas, si los detalles técnicos se filtran accidentalmente, o si la divulgación pública del parche expone la ubicación de la vulnerabilidad, el cronograma de divulgación original debe ser reevaluado. Para ayudar a más organizaciones a tomar medidas, OpenAI ha declarado que proporcionará una herramienta de verificación de versiones de PHP y planea lanzar habilidades complementarias de Codex para ayudar a los operadores de sistemas a identificar versiones de PHP que puedan tener riesgos. OpenAI también ha recopilado información sobre la divulgación de vulnerabilidades y guías de protección a través del proyecto "Patching the Entire Internet".
En cuanto al apoyo de recursos, OpenAI se ha comprometido a proporcionar acceso a servicios subsidios Daybreak valorados en 1,000 millones de dólares a través del programa "Dawn of the Frontline Defenders", con un enfoque en ayudar a organizaciones con recursos de seguridad limitados que asumen tareas críticas de protección de servicios; a través de Codex for OSS, se ofrece apoyo de suscripción a mantenedores de software de código abierto, y se patrocina directamente a proyectos como la Fundación Rust. OpenAI también ha propuesto que se reduzcan los defectos de seguridad desde la fase de diseño del software, incluyendo ayudar a los ingenieros a elegir configuraciones predeterminadas más seguras, trasladar componentes críticos a lenguajes seguros en memoria, y adoptar validaciones formales y mecanismos de aislamiento más robustos.
La empresa reconoce que la expansión del uso de la IA en el campo de la ciberseguridad requiere medidas más completas para prevenir abusos, y está ajustando los clasificadores de seguridad para Daybreak, buscando un equilibrio entre la capacidad de defensa abierta y la prevención de usos maliciosos.
Finalmente, OpenAI hace un llamado a los mantenedores de software, investigadores, proveedores de servicios de ciberseguridad y operadores empresariales para que colaboren en la mejora de este marco, y discutan cuestiones como el tiempo de preparación antes de la divulgación de vulnerabilidades, las condiciones para la divulgación anticipada, los destinatarios de las alertas y las alternativas seguras para el software obsoleto. La empresa también ha propuesto una visión futura más controvertida: los sistemas de Internet podrían establecer gradualmente un mecanismo de escaneo continuo de vulnerabilidades, notificando a los propietarios de sitios web al descubrir vulnerabilidades conocidas, e incluso reparando sistemas directamente con autorización, aunque esto plantea cuestiones sobre la propiedad del sistema, permisos de gestión, riesgos de errores y límites de responsabilidad, que aún requieren estrictas garantías técnicas y de gobernanza.