La ola de fallas en PHP que tumbó sitios de gobierno esta semana no será la última. Reuters consultó a siete especialistas en ciberseguridad y la conclusión es incómoda: la IA seguirá encontrando errores graves en software crítico y los equipos tendrán menos tiempo para reaccionar.
Qué cambió con la IA
Antes, encontrar una vulnerabilidad requería habilidad y explotarla podía tomar semanas o meses. Eso daba margen para parchear.
Los modelos de IA revisan bases de código las 24 horas, encuentran fallas en lugares inesperados y pueden convertir una de ellas en un exploit en horas.
Shane Fry, CTO de RunSafe Security, dijo a Reuters que lo que cambia es la escala de tiempo: tanto para encontrar fallas como para que un adversario las convierta en un arma. La ventana de respiro de los defensores se está cerrando.
La semana que rompió el ritmo
La revelación de PHP coincidió con fallas en Node.js, el proxy de IA LiteLLM, Plex, Railway y la autoridad certificadora india eMudhra. La BBC reportó que gobiernos de Europa y otros países desconectaron páginas por precaución.
CISA emitió una alerta y pidió actualizar o desconectar los sistemas hasta poder aplicar los parches.
El resultado: bancos, aerolíneas, trenes y servicios fiscales tuvieron que improvisar un plan de emergencia en plena semana laboral. No fue un incidente aislado, sino una seguidilla de divulgaciones que puso a prueba a los equipos de seguridad.
No todos ven un apocalipsis
Daniel Stenberg, desarrollador principal de curl, sostiene que muchas fallas encontradas por IA son exóticas y difíciles de explotar. Ramy Rahman, de ArmorCode, dice que más divulgaciones no equivalen automáticamente a más ataques exitosos.
La distinción importa: encontrar un error no es lo mismo que tener un exploit funcional.
Matthew Prince, CEO de Cloudflare, tiene una visión menos tranquila. Dijo a Reuters que conoce “un montón de vulnerabilidades severas adicionales” en otro software crítico y que se vienen meses ocupados.
Hunt.io, que rastrea intentos de explotación, vio actividad agresiva contra PHP, pero al jueves por la tarde todavía no había una herramienta funcional en manos de atacantes.
Qué hacer con lo que viene
La advertencia sirve poco si no se convierte en tareas. Para un equipo pequeño, el orden razonable es este:
- Hacer un inventario de lo que está expuesto a internet, incluidos CMS, proxies de IA y dependencias olvidadas.
- Parchear primero lo que tiene exploit público o figura en la lista de CISA.
- Monitorear intentos de explotación y registrar qué se actualizó y qué no.
- Tener un plan para desconectar un servicio sin tumbar toda la operación.
- No confiar solo en el parche: revisar configuraciones y permisos.
El precedente de una IA que encontró una vulnerabilidad de 15 años en Linux muestra que estos hallazgos no son teóricos. También conviene recordar el cuento de terror de los bugs de IA que no se cumplió: no todas las fallas terminan en desastre, pero ignorarlas tampoco es una estrategia.
La IA no va a dejar de encontrar errores. La pregunta es si tu equipo tiene un inventario, un plan y alguien disponible cuando llegue el próximo aviso.
Más en: Ciberseguridad, Inteligencia Artificial
