Los sitios web se apresuran a solucionar un fallo de software que podría poner en riesgo gran parte de Internet.

Un lenguaje de programación utilizado en hasta el 70 por ciento de los sitios web de internet presenta un problema de seguridad crítico que podría permitir a los atacantes tomar el control o interrumpir los sistemas que lo utilizan, según informó el miércoles una empresa de investigación.

La magnitud y el alcance del fallo resultan aún más sorprendentes si se tiene en cuenta la forma en que fue descubierto: por investigadores de seguridad con la ayuda de herramientas de inteligencia artificial.

El problema era tan grave que el Centro de Colaboración en Ciberseguridad de la Agencia de Seguridad Nacional recomendó a los sitios web que no pudieran solucionar el problema de inmediato el miércoles por la mañana que se desconectaran temporalmente, ante el temor de que los piratas informáticos pudieran usar la IA para explotar rápidamente las vulnerabilidades del sistema.

El problema, denominado php2shell, afecta a la tecnología que gestiona la memoria de los sitios web al procesar las consultas desde un ordenador. Se dio a conocer el miércoles por la mañana, después de que la fundación sin ánimo de lucro que mantiene la herramienta tuviera la oportunidad de solucionar la vulnerabilidad.

Durante los últimos seis meses, el mundo de la ciberseguridad ha estado trabajando a contrarreloj para utilizar nuevos modelos avanzados de IA con el fin de encontrar fallos informáticos y corregirlos antes de que los piratas informáticos puedan descubrirlos y explotarlos.

Los mejores modelos cibernéticos de empresas de IA, como OpenAI, están estrictamente controlados y solo las empresas de ciberseguridad y tecnología debidamente acreditadas tienen acceso a ellos. Sin embargo, en el último mes, nuevos modelos de IA chinos, casi igual de capaces, se han puesto a disposición de cualquiera para su descarga gratuita.

La IA ya se ha utilizado en varios ciberataques de gran impacto. A principios de este mes, un banco surcoreano sufrió el robo de información detallada de sus clientes por parte de un hacker con sede en China. Según analistas de ciberseguridad, este hacker parecía ser un aficionado que utilizó herramientas de IA para ejecutar el ataque.

El fallo php2shell se descubrió como parte de una iniciativa de OpenAI para ayudar a los investigadores de seguridad a encontrar vulnerabilidades de Internet con herramientas de IA de vanguardia. (The Washington Post tiene una asociación de contenido con OpenAI). La vulnerabilidad, que lleva el nombre del lenguaje de programación PHP, fue identificada por investigadores de la empresa Calif.

«Dada la gravedad de estas vulnerabilidades y el uso generalizado de PHP, consideramos que este es uno de los problemas de seguridad más importantes de los últimos tiempos», declaró OpenAI en un comunicado. «Esto pone de manifiesto cómo la IA puede descubrir fallos de seguridad con repercusiones a escala de internet, pero esas mismas capacidades también pueden ayudar a los atacantes a desarrollar rápidamente herramientas y exploits ofensivos».

La compañía también dio a entender que había encontrado varias vulnerabilidades más importantes que están en proceso de ser corregidas.

Calif, la empresa de investigación que identificó la vulnerabilidad, afirmó en una publicación de blog que no esperaba encontrar problemas críticos al examinar PHP, el lenguaje de programación, debido a que muchas personas habían realizado «auditorías exhaustivas con asistencia de IA de este objetivo». Sin embargo, tras varios días de investigación, la empresa logró reconstruir una versión de la vulnerabilidad. Calif comenzó a reportar el error para su corrección en agosto.

Cloudflare, uno de los principales proveedores de seguridad en internet, anunció que ha implementado medidas de protección contra la vulnerabilidad, lo que permite que los sitios web sigan funcionando. WordPress, otra plataforma importante, también instó a los propietarios de sitios web a actualizar sus aplicaciones de inmediato.