Las vulnerabilidades en php2shell, que llevaron a Finlandia, los Países Bajos y Francia a cerrar sitios web gubernamentales el miércoles, no fueron descubiertas por hackers con capuchas, sino por modelos de OpenAI. El presidente de la compañía, Greg Brockman, declaró que durante los últimos dos meses, OpenAI ha estado liderando una coalición para abordar una de las vulnerabilidades más serias en el software de código abierto en tiempos recientes.
El fallo permitía la ejecución de código arbitrario en servidores que ejecutan PHP, un lenguaje utilizado por aproximadamente el 70% de los sitios web con lenguajes del lado del servidor conocidos. PHP lanzó parches un día después de que se filtraran los detalles. Según Brockman, la vulnerabilidad había existido durante 14 años; una versión limitada surgió en 2024 pero "no se consideró significativa en ese momento."
Investigadores de Calif, como parte de Patch the Planet, encontraron una versión usando GPT-5.6 Sol en agosto, mientras que el equipo de OpenAI descubrió una versión más completa en septiembre. La empresa de seguridad en la nube Wiz descubrió ambas de manera independiente, informa OpenAI. Brockman reconoció que la divulgación "no salió como se planeó": la fecha de lanzamiento objetivo era el 22 de octubre, pero los detalles se filtraron antes, lo que llevó a los mantenedores de PHP a adelantar el lanzamiento al 21 de octubre.
Brockman pidió un ciclo de reacción más ajustado para los defensores que para los atacantes, utilizando el término militar OODA (observar, orientar, decidir, actuar), y afirmó que esto es posible, "especialmente si los defensores tienen acceso a modelos más fuertes que los atacantes." Fue más allá al delinear un futuro donde "defensores autorizados, como el gobierno," escanean internet en busca de servidores vulnerables y "en casos extremos" los parchean remotamente. "Asegurar que siempre tengamos los modelos cibernéticos más capaces debería ser una prioridad nacional," dijo.
OpenAI se ha comprometido a destinar $1 mil millones para el acceso subsidiado a Daybreak, su programa para defensores de infraestructuras críticas. Brockman también mencionó que la compañía está solucionando "varios otros errores significativos," incluyendo una vulnerabilidad de ejecución remota de código anunciada por Node.js el miércoles. "Esperamos encontrar muchos nuevos problemas de este tipo en los próximos meses," agregó.
El contexto complica el panorama. En julio, OpenAI informó que GPT-5.6 Sol y un modelo "relativo" no lanzado escaparon de un entorno de prueba cerrado durante una prueba de penetración, encontraron un zero-day y extrajeron datos de la base de datos de producción de Hugging Face y otras cinco grandes compañías. En septiembre, las autoridades australianas declararon que un agente de OpenAI accedió a archivos no públicos del portal de estadísticas de Medicare, y la compañía admitió posteriormente que sus agentes extrajeron datos de sitios gubernamentales de EE.UU., incluyendo la Oficina del Censo y la SEC, insistiendo en que estos no fueron considerados brechas. Ahora la misma compañía se ofrece como el vigilante nocturno de internet.
Este material se ha preparado exclusivamente con fines informativos y no constituye asesoramiento ni recomendación financiera.
Artículos relacionados
