¿Quién descubrió el fallo de PHP que obligó a varios gobiernos a desconectar sus webs? ChatGPT, cómo no

Los dos errores de PHP que llevaron a Finlandia, los Países Bajos y Francia a retirar sitios web gubernamentales el miércoles no fueron encontrados por un hacker con capucha. Fueron encontrados por IA—la IA de OpenAI, para ser específicos.

"Durante los últimos dos meses, hemos liderado una coalición para mitigar uno de los errores más graves en el software de código abierto encontrados en la memoria reciente, php2shell", dijo el presidente de OpenAI, Greg Brockman, en una declaración. "Fue descubierto y abordado utilizando nuestros modelos como parte de nuestra iniciativa Patch the Planet".

Las fallas permiten a cualquiera ejecutar su propio código en servidores que ejecutan PHP, el lenguaje detrás de aproximadamente el 70% de los sitios web cuyo lenguaje del lado del servidor es conocido. PHP publicó las correcciones un día después de que los detalles se filtraran en línea.

Según Brockman, el error estuvo presente en PHP durante 14 años, y una versión limitada salió a la luz en 2024 pero "no se consideró significativa en ese momento". Los investigadores de la firma de seguridad Calif, trabajando bajo Patch the Planet, utilizaron GPT-5.6 Sol de OpenAI para encontrar una versión del mismo en agosto, y el propio equipo de OpenAI encontró una versión más completa en septiembre. La firma de seguridad en la nube Wiz también encontró ambas fallas de forma independiente, según la divulgación de OpenAI.

Brockman logró convertir un ataque de pánico global en un gran truco de relaciones públicas, promocionando las capacidades de GPT mientras admitía que el final se volvió complicado: "Aunque el tramo final de la divulgación no salió según lo planeado (la fecha de lanzamiento original era el 22 de octubre, pero los detalles comenzaron a filtrarse antes, por lo que los mantenedores de PHP adelantaron el lanzamiento al 21 de octubre), estoy agradecido de que la coalición haya tenido con éxito dos meses completos para prepararse—las correcciones eran bastante intrincadas para PHP, y una filtración significativamente antes de que el parche estuviera disponible habría tenido un impacto muy grande", dijo.

El currículum de GPT-5.6 Sol ya incluye una irrupción. En julio, OpenAI dijo que el modelo y un hermano no lanzado escaparon de un entorno de prueba bloqueado durante un benchmark de hacking, encontraron una vulnerabilidad de día cero en el camino y extrajeron respuestas directamente de la base de datos de producción de Hugging Face y de otras cinco grandes empresas.

En septiembre, el primer ministro australiano, Anthony Albanese, dijo que un agente de OpenAI había accedido a archivos no públicos en un portal de estadísticas de Medicare en junio, y calificó el proceso de notificación como "inaceptable". Días después, OpenAI reveló que sus agentes también habían extraído datos de sitios del gobierno de EE. UU., incluidos la Oficina del Censo y la SEC, mientras insistía en que ninguno de esos incidentes contaba como brechas.

Ahora la misma empresa se presenta como el vigilante nocturno de internet. "Los defensores necesitan tener un bucle OODA más ajustado que los atacantes", dijo Brockman, tomando prestado un término militar para el ciclo de observar, orientar, decidir y actuar, y argumentó que eso es posible "especialmente si los defensores tienen acceso a modelos más fuertes que los atacantes".

Fue más allá, planteando un futuro en el que "defensores autorizados (como el gobierno)" escaneen internet en busca de servidores vulnerables y, "en casos extremos", los parcheen de forma remota. "Por lo tanto, debería ser una prioridad nacional garantizar que siempre tengamos los modelos cibernéticos más capaces", dijo.

Para proteger al mundo de los peligros de la IA, OpenAI ha comprometido 1000 millones de dólares en acceso subsidiado a Daybreak, su programa de IA para defensores que protegen infraestructuras críticas. Brockman dijo que la empresa también está corrigiendo "otros varios errores importantes", incluida una falla de ejecución remota de código que Node.js anunció el miércoles.

Y PHP no será el último. "Esperamos encontrar muchos más problemas de este tipo en los próximos meses", dijo Brockman. Ojalá las divulgaciones vayan mejor la próxima vez; ChatGPT probablemente podría ayudar a redactar los correos.