¿Está el inteligencia artificial revelando la fragilidad de la infraestructura de internet?

En apenas unas horas, una advertencia técnica se convirtió en una emergencia digital: se exigió a los propietarios de sitios web actualizar sus sistemas de inmediato debido a vulnerabilidades detectadas en el lenguaje de programación de código abierto PHP, y a quienes no pudieran actualizar con rapidez se les recomendó cerrar temporalmente su sitio. Un mensaje de tal contundencia no se emite todos los días, y revela una realidad que los ingenieros conocen bien pero que el público suele ignorar: gran parte de internet se sostiene sobre capas de software antiguas mantenidas por un número reducido de voluntarios.

¿Qué ocurrió exactamente?

Las vulnerabilidades en cuestión no son recientes: llevaban años latentes en PHP sin que nadie les prestara atención. Este lenguaje, cuyas siglas corresponden a «Hypertext Preprocessor», constituye la columna vertebral de los sistemas de gestión de contenidos más extendidos, como WordPress y Drupal, y se estima que está presente en cerca del 70 % de los sitios web, es decir, decenas de millones de dominios que abarcan desde blogs personales hasta tiendas en línea y portales gubernamentales.

Conviene corregir aquí una idea equivocada muy difundida: las vulnerabilidades fueron descubiertas por investigadores humanos que participaban en una iniciativa de investigación en seguridad desarrollada en colaboración entre OpenAI y la empresa Wiz, propiedad de Google; la inteligencia artificial se empleó en una fase posterior para explotar el fallo y demostrar su gravedad. Es decir, el verdadero papel de los modelos de lenguaje no fue el descubrimiento, sino acelerar el paso de una «vulnerabilidad teórica» a un «ataque práctico».

La paradoja de la divulgación en seguridad

Aquí aparece una ecuación difícil: no es posible distribuir el parche entre millones de sitios sin anunciar la existencia de la vulnerabilidad, y ese anuncio mismo entrega a los atacantes una hoja de ruta. Esta ecuación resulta manejable cuando el fallo afecta al producto de una sola empresa, pues se le puede notificar en privado y cerrar la puerta antes de que nadie se entere. Pero cuando la capa afectada es un componente esencial que opera en el corazón de la mitad de la web, la divulgación equivale a dar el pistoletazo de salida a una carrera abierta.

Y así ocurrió en la práctica: algunos detalles se filtraron antes de la fecha acordada, y el director ejecutivo de Cloudflare señaló un aumento de los intentos hasta millones de operaciones de explotación en muy poco tiempo. También se criticaron la forma en que se gestionó el anuncio y el tono celebratorio de algunas publicaciones, en un momento en el que lo que se requería era calma y coordinación, no promoción.

La inteligencia artificial: amplificador de riesgos y de soluciones a la vez

Lo que inquieta a los expertos en seguridad no es este incidente en concreto, sino lo que anticipa. Durante años, la seguridad de internet ha dependido en muchas ocasiones de la vigilancia individual: un único responsable de un repositorio pequeño que detecta una modificación sospechosa y evita una catástrofe. Este modelo, basado en la suerte y el esfuerzo voluntario, se vuelve extremadamente frágil cuando cualquier persona tiene a su disposición herramientas avanzadas de análisis de código y agentes de inteligencia artificial capaces de revisar millones de líneas en busca de un fallo.

Pero la ecuación funciona en ambos sentidos. Esas mismas herramientas están al servicio del equipo defensor:

• Revisión automática y continua del código abierto en busca de patrones peligrosos antes de que sean explotados.
• Aceleración de la escritura de parches y de su prueba en múltiples entornos.
• Análisis de registros de ataques y extracción de indicadores de compromiso en poco tiempo.
• Inspección de las bibliotecas externas que forman parte de la cadena de suministro de software.

La pregunta práctica es cuál de las dos partes adopta antes estas capacidades y cuál dispone de más recursos para sostenerlas.

Un coste oculto: la muerte de los enlaces

La crisis tiene otra cara menos visible. Muchas entidades optaron por cerrar sus sitios en lugar de actualizarlos, ya sea por falta de conocimientos técnicos o porque el sitio estaba abandonado desde hacía tiempo. El resultado es la acumulación de lo que se conoce como «putrefacción de enlaces» (link rot), es decir, la desaparición de páginas, referencias y documentos que preservaban parte de la memoria digital de instituciones y comunidades locales. Protegerse cerrando puede ser rápido, pero borra contenidos difíciles de recuperar.

¿Qué deben hacer los propietarios de sitios y las empresas?

La lección más importante es que la seguridad no es un suceso excepcional, sino un proceso continuo. Entre las medidas más simples y eficaces figuran:

• Inventariar los componentes de software realmente utilizados y conocer con precisión sus versiones.
• Habilitar las actualizaciones de seguridad automáticas allí donde sea seguro hacerlo.
• Realizar copias de seguridad periódicas y probar su restauración, no solo almacenarlas.
• Activar un firewall de aplicaciones web para reducir el tiempo de exposición antes de actualizar.
• Eliminar los complementos y servicios que no se usan para reducir la superficie de ataque.
• Disponer de un plan de comunicación claro para gestionar incidentes de seguridad.

Conclusión

La inteligencia artificial no creó la fragilidad de internet: simplemente la iluminó con una luz muy potente. La infraestructura sobre la que se ha construido una red con miles de millones de usuarios se apoya en proyectos de código abierto gestionados con presupuestos modestos y esfuerzos voluntarios. Y con la aceleración de las herramientas de análisis y explotación, financiar el mantenimiento, la documentación y la auditoría de estos proyectos se convierte en una inversión en la estabilidad de toda la economía digital, no en un lujo técnico.

✦ بقلم فريق دروب أيديا