Investigadores de seguridad que utilizaron los modelos avanzados de inteligencia artificial de OpenAI descubrieron fallos importantes en un programa informático ampliamente utilizado en internet, lo que desató temores en todo el mundo sobre posibles interrupciones significativas para consumidores y empresas.

La administración Trump y algunos gobiernos de Europa y Asia advirtieron que todas las organizaciones que utilizan el software PHP deben instalar de inmediato las actualizaciones publicadas el miércoles para corregir las vulnerabilidades. Según algunas estimaciones, alrededor del 70 % de los sitios web y aplicaciones web utilizan este software. Datos recientes sugieren que su adopción está disminuyendo.

Si bien las soluciones están disponibles, su publicación crea una especie de guía para los hackers, quienes podrían fácilmente aplicar ingeniería inversa a los parches para iniciar ataques antes de que las empresas, los gobiernos y los usuarios puedan proteger sus sistemas. Según los expertos, los ataques exitosos podrían permitir a los hackers tomar el control de los servidores, robar datos privados y alterar sitios web.

Las agencias de seguridad, incluida la Agencia de Seguridad Nacional (NSA), aconsejaron a las empresas que desconectaran sus sistemas si no se podía aplicar una actualización de inmediato, en un intento por prevenir ataques de piratas informáticos. Algunos sitios web gubernamentales en Europa adoptaron estas medidas, lo que provocó la indisponibilidad de algunos servicios.

Esta revelación ha intensificado aún más la preocupación que se ha ido gestando durante los últimos seis meses sobre el potencial de la IA para trastocar la ciberseguridad si no se abordan las deficiencias en materia de seguridad.

«Hacemos un llamamiento urgente a todos para que actúen esta noche», declaró Sanae Takaichi, primera ministra de Japón, en las redes sociales. «Si resulta difícil aplicar la actualización de seguridad con prontitud, suspender temporalmente los sitios web y adoptar medidas similares puede considerarse una forma eficaz de reducir el riesgo».

PHP es un lenguaje de programación de código abierto que se utiliza para ejecutar sitios web y aplicaciones de internet. La fundación sin fines de lucro que supervisa PHP publicó un parche el miércoles por la mañana, y los expertos en seguridad afirmaron que, si se aplica correctamente, debería proteger los sitios web. Sin embargo, tanto las empresas grandes como las pequeñas, especialmente aquellas con equipos de seguridad reducidos, suelen tardar en adoptar los nuevos parches.

Este tipo de retrasos, el uso generalizado de PHP y la facilidad con la que los piratas informáticos pueden atacar a muchas organizaciones han llevado a los profesionales de la seguridad a advertir que las consecuencias podrían ser significativas.

“Con la IA, la actualización de seguridad se ha convertido en una emergencia”, dijo Cynthia Kaiser, ex alta funcionaria del FBI que supervisó casos de ciberseguridad y que ahora trabaja en la empresa tecnológica Halcyon.

Los investigadores que descubrieron las vulnerabilidades trabajan en Calif, una pequeña empresa estadounidense de expertos en ciberseguridad que prueba modelos de IA de vanguardia para identificar y desarrollar ciberataques. Su labor ayuda a alertar a los responsables de la seguridad de las redes sobre problemas no detectados, permitiéndoles solucionarlos antes de que los ciberdelincuentes puedan causar daños.

Calif afirmó haber descubierto los fallos de PHP en cuestión de días. Sus investigadores utilizaron GPT-5.6 Sol para los hallazgos iniciales y un modelo OpenAI aún no publicado para la explotación de las vulnerabilidades.

Investigadores de seguridad señalaron que la vulnerabilidad era preocupante dada la amplia difusión del software. En una publicación de blog, OpenAI confirmó que Calif había utilizado sus modelos y que Wiz, otra empresa de seguridad propiedad de Google, también había descubierto e informado de las vulnerabilidades de forma independiente.

«Dada la gravedad de estas vulnerabilidades y el uso generalizado de PHP, consideramos que este es uno de los problemas de seguridad más importantes de los últimos tiempos», declaró OpenAI. «Esto pone de manifiesto cómo la IA puede descubrir fallos de seguridad con repercusiones a escala de internet, pero esas mismas capacidades también pueden ayudar a los atacantes a desarrollar rápidamente herramientas y exploits ofensivos».

El problema de PHP fue el último descubrimiento de Calif, una empresa que forma parte de un selecto grupo de compañías, agencias gubernamentales y organizaciones de investigación con acceso anticipado a modelos avanzados de IA antes de su lanzamiento público. A principios de este año, Calif desarrolló un gusano en la plataforma de comunicaciones china WeChat que podría haber permitido a un hacker comprometer rápidamente prácticamente cualquier cuenta de WeChat con solo llamarla. También utilizó una versión temprana del modelo Mythos para eludir los protocolos de seguridad del sistema operativo macOS de Apple, considerado durante mucho tiempo como altamente seguro y difícil de vulnerar.

Estos descubrimientos tuvieron consecuencias relativamente limitadas en el mundo real. Sin embargo, las vulnerabilidades de PHP podrían generar problemas persistentes debido a la facilidad con la que los hackers pueden recrear el ataque y a la omnipresencia del software en cuestión. PHP es un lenguaje con décadas de antigüedad, conocido originalmente como "Página de Inicio Personal", y es un componente fundamental de servicios populares como WordPress y Drupal.

Sin embargo, los datos de Shodan, un motor de búsqueda que analiza los sistemas informáticos de todo el mundo para identificar las tecnologías que utilizan, muestran que la adopción de PHP está disminuyendo. Muchos sitios web nuevos se construyen con tecnologías que no son vulnerables a este ataque.

Pero algunos expertos en seguridad dijeron que el fallo era potencialmente uno de los más graves encontrados en la memoria reciente, y uno de los más significativos identificados hasta la fecha por la IA.

“Sin duda, es uno de los errores más críticos del año”, dijo Bruce Dang, investigador de California, y agregó que “el impacto se sentirá durante un tiempo”.