En los últimos días se han descubierto vulnerabilidades en varios de los mayores sistemas y servicios que sostienen buena parte de internet. Los expertos en ciberseguridad advierten de que en un futuro próximo podría producirse un incidente de una escala radicalmente distinta, aunque sus versiones difieren sobre a qué hay que prepararse exactamente.
Fuente de la imagen: Growtika / unsplash.com
Los últimos días han sido realmente «fructíferos» en lo que a hallazgos de grandes vulnerabilidades se refiere. Los incidentes han afectado a la autoridad de certificación india eMudhra, a las herramientas de Node.js, a la plataforma para desarrolladores GitLab, al software para servidores multimedia Plex, al proveedor de nube Railway y a la plataforma de agentes de IA para escribir código OpenCode. Lo que más atención ha atraído es un par de vulnerabilidades de PHP2Shell en el lenguaje PHP, en el que se basa buena parte del internet actual (y del no tan actual): las encontraron con ayuda de la inteligencia artificial expertos de Wiz, Calif y OpenAI.
La organización PHP Foundation hizo públicas las vulnerabilidades y anunció la salida de actualizaciones que las corrigen, pero no se pudieron evitar los ataques, porque instalar estas actualizaciones no siempre es una tarea sencilla y no en todos los casos se consigue hacerlo con rapidez. Los ataques comenzaron, según advirtió Cloudflare, diez horas antes de que se divulgaran los datos. «A los 45 minutos del anuncio su número había ascendido a decenas de miles; en dos horas, a cientos de miles, y ahora hablamos ya de millones», informaron desde la compañía.
Los acontecimientos avanzan a toda velocidad, y ni siquiera los expertos con experiencia son capaces de asimilar del todo lo que ocurre, prever cómo evolucionará o entender a dónde llevará todo esto. Está claro que la IA ha transformado de raíz el terreno de los ciberataques y el de la defensa frente a ellos. La razón es que buena parte del software sobre el que funcionan internet y los dispositivos de consumo es vulnerable, está obsoleto o contiene defectos que se prefería no ver. Esto no significa que todas las vulnerabilidades detectadas por la IA fueran evidentes o triviales, pero sí permite encontrarlas mucho más rápido que una persona.
La IA ha convertido el método de fuerza bruta a escala de internet en una tarea muy sencilla. Se impone la idea de que algunos «cerrojos» no solo se abren con facilidad: a veces las «puertas» están de par en par y en la «pared» se abre un enorme agujero. Para lanzar un ataque con IA a menudo no hace falta prácticamente ningún conocimiento especializado. La tarea la facilitan los modelos abiertos que han pasado por un proceso de ablación, es decir, la retirada de las barreras de protección que les impedían responder a preguntas poco éticas o ejecutar acciones inadmisibles. La IA ayuda a encontrar vulnerabilidades, pero es igual de eficaz como arma en manos de los delincuentes.
Fuente de la imagen: Ben Griffiths / unsplash.com
En ciberseguridad se aceptaba tradicionalmente un escenario en el que un investigador descubre una vulnerabilidad, la comunica de forma ética a la empresa responsable del producto y esta la corrige. Con el desarrollo de la IA, los plazos para llevar a cabo este escenario se acortan mucho: puede que los desarrolladores publiquen ahora las actualizaciones de seguridad más rápido, pero difícilmente se instalan más que antes. La IA ha vuelto impredecible la situación: la empresa especializada en ciberseguridad Chainguard publicó actualizaciones de PHP varias horas antes del anuncio oficial, y su análisis podría haber dado ventaja a los piratas informáticos. Desde la compañía respondieron que habían encontrado esas mismas vulnerabilidades por su cuenta, simplemente enviando la consulta correspondiente a uno de los modelos de IA más avanzados.
Tras el descubrimiento de PHP2Shell, algunos expertos ya han bautizado el periodo actual como «octubre negro». Las autoridades de distintos países recomiendan encarecidamente a los propietarios de sitios web que instalen las actualizaciones con urgencia; los recursos estatales se desconectan durante el periodo de actualización, y lo mismo hacen los administradores de muchos sitios populares, hasta servicios concretos como Wikimedia y Archive.org. Hay quien sostiene que algunos sitios históricos pueden desaparecer para siempre: parte de ellos no se pueden actualizar o nadie había previsto hacerlo, y parte serán pirateados y dejarán de existir definitivamente. Esto amenaza con una «putrefacción de enlaces» a gran escala y con la pérdida de una parte importante de la historia digital.
La amenaza de PHP2Shell existe y es muy real, pero tampoco conviene exagerar su alcance: los incidentes con las vulnerabilidades Log4j o Heartbleed parecen haber sido mayores. Algunos recursos publicaron, según sus propias declaraciones, exploits listos para usar, pero no todos resultaron funcionales; hay quien opina que no existe ninguna receta sencilla. La IA puede generar un exploit de una u otra forma, pero no todos los usuarios de un chatbot tienen las habilidades necesarias para desplegarlo correctamente: puede hacer falta una preparación seria y experiencia en ciberseguridad.
No está claro a qué llevará todo esto a largo plazo: en una hora, una semana, un año o diez, la situación puede cambiar radicalmente. La IA simplifica mucho la búsqueda y la explotación de vulnerabilidades, y a la humanidad le queda por descubrir, al parecer, hasta qué punto es vulnerable internet en realidad.