OpenAI afirma que su IA ayudó a detectar fallos críticos en PHP

OpenAI afirma que su modelo GPT-5.6 Sol ayudó a encontrar una de las dos vulnerabilidades críticas en PHP, el lenguaje de programación de código abierto que sustenta gran parte de la web. La compañía también ha propuesto un marco de cinco etapas para gestionar el mayor número de errores descubiertos por IA que espera que surjan. En una publicación de blog el 21 de octubre, OpenAI señaló que pasó dos meses liderando una coalición de mantenedores, investigadores y firmas de seguridad sobre estos fallos. La firma de seguridad Calif encontró uno de ellos utilizando GPT-5.6 Sol a través de la iniciativa Patch the Planet de OpenAI, y Wiz encontró y reportó ambos de forma independiente.openai.com

Los fallos, denominados colectivamente "PHP2Shell", podrían permitir a los hackers ejecutar código malicioso en servidores afectados de forma remota, informó CNBC Comcast Corporation ↗ 3.44%. Si se explotan, los atacantes podrían tomar el control de los servidores sin necesidad de contraseña, reportó Axios. Los investigadores de Wiz escribieron que los errores se encuentran "entre las vulnerabilidades más graves descubiertas en PHP, y posiblemente en la historia del software".cnbc.com+1

Gobiernos advierten, empresas tecnológicas responden

La Agencia de Seguridad Nacional de EE. UU. dijo el miércoles a las organizaciones que apliquen las actualizaciones y desconecten los sistemas afectados si no pueden parchearlos de inmediato, informó CNBC. El FBI y autoridades en Singapur, el Reino Unido, Australia, Canadá y la Unión Europea emitieron alertas similares. Amazon Amazon.com, Inc. ↘ 4.57% dijo que su sistema MadPot detectó intentos de explotar los fallos antes de que se hicieran públicos, aunque aún no está claro cómo se enteraron los atacantes. Google Alphabet Inc. ↘ 3.08% señaló que su unidad Wiz utilizó IA para investigar los errores, y que Gemini ayudó a probar ataques y verificar parches. Cloudflare ↘ 1.18% indicó que añadió protecciones a su firewall.cnbc.com

El presidente de OpenAI, Greg Brockman, dijo que la coalición había planeado revelar los fallos el 22 de octubre. Los detalles se filtraron antes, por lo que los mantenedores de PHP lanzaron las correcciones un día antes, informó Mashable Ziff Davis, Inc. ↗ 1.61%. Wikimedia confirmó que una interrupción de Wikipedia estuvo vinculada al trabajo de parcheo, y el primer ministro de Japón instó públicamente a los propietarios de sitios web a instalar la corrección.mashable.com

Un marco de cinco etapas

La propuesta de OpenAI consta de cinco etapas. Primero, validar el error y corregirlo en el origen. Luego, dar tiempo a las organizaciones afectadas para prepararse e involucrar a socios gubernamentales, que en el caso de PHP incluyeron la Fuerza de Superinteligencia de la Casa Blanca, la Oficina del Director Nacional de Ciberseguridad y CISA. Después, preparar actualizaciones en productos derivados y publicar la guía una vez que se lance un parche. Según el plan, los mantenedores deciden quién recibe aviso previo, basándose en el papel protector de cada organización, cuánto tiempo necesita para actuar y si puede manejar información sensible, informó Help Net Security.helpnetsecurity.com+1

OpenAI también comprometió 1.000 millones de dólares en acceso subsidiado a Daybreak, su herramienta de seguridad, para organizaciones con pocos recursos que protegen servicios esenciales. Está solicitando comentarios sobre cuánto deberían durar las ventanas de divulgación y si los gobiernos deberían escanear internet y parchear ellos mismos los sistemas vulnerables.

La compañía afirmó que PHP no será el último caso de este tipo. "Por significativos que sean, estos errores se encuentran entre varias vulnerabilidades importantes que ya hemos encontrado y estamos trabajando para solucionar, y esperamos que hallazgos similares aumenten drásticamente en los próximos meses", escribió OpenAI.openai.com