Los equipos de seguridad informática atraviesan momentos de alta tensión. Ya no basta con reaccionar ante una única falla: ahora deben enfrentar múltiples amenazas en cuestión de días, y la inteligencia artificial (IA) está cambiando las reglas del juego.
El pasado 20 de octubre, los responsables de seguridad de los principales navegadores web recibieron un correo electrónico con un mensaje inquietante:
«Tenemos un problema»
. Adjunto al mensaje venía un archivo que contenía ocho claves de seguridad privadas, números que normalmente deberían tener 116 dígitos para garantizar el cifrado. En este caso, ninguna superaba los tres dígitos. Una de ellas era simplemente «4». El remitente firmó como «Wayne» y las claves habían sido emitidas originalmente por una autoridad de la India, la empresa eMudhra.
Revocar esas claves de las bases de datos centrales es posible, pero verificar que todos los sistemas estén actualizados resulta una labor titánica. Los navegadores actualizan sus listas negras, pero muchos dispositivos conectados —como sistemas Linux que requieren actualizaciones activas o herramientas de línea de comandos en Mac OS que necesitan corrección manual— quedan expuestos.
Mientras los defensores aún lidiaban con ese problema, en la mañana del 21 de octubre surgió otro. Se detectaron dos fallos de seguridad en PHP, un lenguaje de programación que sustenta decenas de millones de aplicaciones web, incluyendo foros, portales financieros y sitios gubernamentales. Se prometió un parche para esa misma tarde, pero mientras tanto, los gobiernos recomendaron desconectar por completo los sistemas afectados. Varios sitios web gubernamentales en Europa quedaron inactivos.
El consejo resultó acertado. Horas después de anunciarse la vulnerabilidad, y más de 12 horas antes del parche, se filtraron los detalles técnicos. La falla era extremadamente grave: permitía la ejecución remota de código no autorizada (RCE), lo que otorgaba a un atacante el control total de las máquinas que ejecutaban PHP. Una prueba de concepto demostró que explotar la vulnerabilidad era sencillo.
No existe un vínculo directo entre ambas vulnerabilidades, pero ambas fueron descubiertas con ayuda de inteligencia artificial. La falla de PHP fue hallada de forma independiente por dos miembros de un consorcio de ciberdefensa basado en IA, liderado por OpenAI, empresa estadounidense. Según eMudhra, las claves defectuosas también podrían haber sido descubiertas mediante IA; el método de divulgación sugiere un enfoque de investigación poco convencional.
Para el 22 de octubre, ya se habían publicado dos vulnerabilidades más. GitLab, herramienta de desarrollo de software, anunció un parche para una debilidad que afectaba a 12 años de versiones y que permitía RCE, clasificándola con un 10 en una escala de gravedad de 10 puntos. Oracle, gigante tecnológico, corrigió una falla similar en Java, su lenguaje más utilizado, y la clasificó con 9,1 de gravedad. Probablemente también se utilizó IA para descubrir estos fallos.
Estos episodios ilustran una incómoda realidad de la ciberseguridad basada en IA: solucionar un problema deja poco tiempo para su explotación. El fallo de PHP se anunció con 18 horas de antelación antes de que se publicara el parche, para preparar a los defensores. Sin embargo, la publicación accidental de un vídeo que demostraba la vulnerabilidad permitió a otros —también con ayuda de IA— realizar ingeniería inversa y descubrir cómo explotarla. Una empresa de seguridad publicó su versión de la solución seis horas antes, lo que permitió a cualquier atacante examinar qué se había corregido y deducir más detalles de la falla en sistemas sin parchear.
Los defensores antes enfrentaban el reto de encontrar fallos en su propio software antes que los atacantes. Ahora el desafío es diferente: con la IA exponiendo una gran cantidad de vulnerabilidades, ¿cómo pueden informar a sus usuarios sobre las correcciones sin alertar a sus enemigos en el proceso?
Fuente: Infobae