El 21 de octubre, OpenAI lanzó un comunicado que muestra al exterior todo el proceso de corrección de una vulnerabilidad de PHP, descubierta liderada por la IA y gestionada de forma coordinada entre instituciones y empresas de varios países. Esta operación fue impulsada por el programa "Patch the Planet" (reparar todo internet), promovido por OpenAI, que reunió a mantenedores de software, investigadores de seguridad, proveedores de nube y agencias gubernamentales de ciberseguridad en un mismo frente, con un único objetivo: reducir el riesgo para internet mundial antes de que los atacantes pusieran sus ojos en las vulnerabilidades.
Las dos vulnerabilidades críticas de PHP fueron "olfateadas" activamente por la IA. La empresa de seguridad Calif, utilizando GPT-5.6Sol, identificó primero un defecto grave de seguridad; la empresa de seguridad Wiz descubrió y reportó de forma independiente las dos vulnerabilidades relacionadas. PHP es el lenguaje de código abierto que sostiene innumerables sitios web y aplicaciones web: desde las solicitudes de páginas y las operaciones de bases de datos hasta la lógica de negocio del backend dependen de él, así que una brecha en su capa subyacente puede arrastrar a sitios web, servicios en la nube y sistemas empresariales. Ambas vulnerabilidades fueron calificadas de nivel crítico: los atacantes podían ejecutar código remotamente sin necesidad de autenticación. El equipo de desarrollo de PHP lanzó el 21 de octubre una versión corregida e instó a los usuarios a actualizar de inmediato.
OpenAI llamó a este preciado período de respiro "Defender's Window" (ventana del defensor): es decir, el margen de tiempo en el que el bando defensor logra detectar el problema, elaborar un plan de corrección y desplegar protecciones antes que los atacantes. En este caso, las vulnerabilidades fueron descubiertas precisamente con ayuda de la IA antes de que los atacantes actuaran, lo que dio a los mantenedores un valioso tiempo de preparación defensiva. Pero OpenAI también advirtió de que, a medida que las capacidades de los modelos siguen escalando, el intervalo entre el descubrimiento de vulnerabilidades y la creación de herramientas de ataque se está comprimiendo, y el sector debe pasar de los enfoques fragmentados del pasado hacia mecanismos sistematizados capaces de coordinar rápidamente a mantenedores, proveedores de servicios, empresas y gobiernos.
Para ello, OpenAI presentó un marco de respuesta coordinada orientado a vulnerabilidades críticas, en cinco pasos. Primer paso: los mantenedores, los investigadores y los socios tecnológicos clave validan conjuntamente la vulnerabilidad, evalúan el impacto, desarrollan y prueban la corrección, y además realizan pruebas adversarias con modelos avanzados para confirmar que el parche realmente bloquea el ataque y rastrear otras posibles variantes explotables; segundo paso: otorgar a las organizaciones afectadas una ventana de preparación suficiente, entregando información técnica por fases según sus respectivas responsabilidades de protección, y contener el riesgo de filtraciones mediante protocolos de intercambio de información y mecanismos de coordinación específicos; tercer paso: colaborar con las agencias gubernamentales de ciberseguridad para asegurar que los operadores de infraestructura crítica reciban alertas a tiempo; en esta ocasión OpenAI contactó con el grupo de trabajo de superinteligencia de la Casa Blanca, la Oficina del Director Nacional de Ciber (ONCD) y la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), y se coordinó con socios internacionales; cuarto paso: una vez estabilizados el plan de corrección y el plan de divulgación, ampliar el alcance para que más distribuidores, proveedores de nube y de alojamiento preparen las actualizaciones con antelación, y para las organizaciones que usan versiones antiguas y no pueden instalar el parche más reciente, evaluar además la viabilidad de aplicar versiones anteriores del parche o protecciones temporales; quinto paso: tras la publicación del parche, ofrecer al público una guía clara de remediación y seguir monitoreando el despliegue, ayudando a las organizaciones que aún no se han actualizado a resolver problemas reales.
Para ayudar a más organizaciones a actuar, OpenAI proporcionará una herramienta de verificación de versiones de PHP y planea lanzar una habilidad de Codex complementaria, para ayudar a los operadores de sistemas a identificar versiones de PHP con riesgo y definir planes de actualización combinando las guías oficiales y de los fabricantes; el proyecto "Patch the Planet", por su parte, recopila la información pública sobre las vulnerabilidades y las guías de protección, ayudando a los administradores a encontrar parches autorizados, verificar medidas de mitigación temporales y confirmar si las actualizaciones se han aplicado realmente. En cuanto a los recursos, OpenAI se comprometió a ofrecer, a través del programa "Daybreak for Frontline Defenders", acceso subvencionado al servicio Daybreak por un valor de 1.000 millones de dólares, con prioridad a las organizaciones con tareas críticas de protección pero recursos de seguridad limitados, y otorgará suscripciones a los mantenedores de código abierto mediante Codex for OSS, patrocinando directamente proyectos como la Rust Foundation.
Una idea más profunda es usar la IA para reducir los defectos desde la propia fase de diseño del software: ayudar a los ingenieros a elegir configuraciones predeterminadas más seguras, llamar correctamente a las bibliotecas de seguridad y detectar temprano los patrones de código peligrosos. Una dirección clara es migrar los componentes críticos hacia lenguajes con seguridad de memoria, eliminando de raíz toda una clase de vulnerabilidades causadas por errores de gestión de memoria (como el acceso a memoria ya liberada o el desbordamiento de búfer); la IA puede asistir la migración, pero el comportamiento, la compatibilidad y la seguridad tras la migración siguen requiriendo revisión humana. La verificación formal usa matemáticas para comprobar que un programa cumple propiedades de seguridad bajo suposiciones específicas, y el sandboxing encierra en entornos controlados el software que procesa archivos, imágenes o medios no confiables, limitando su propagación adicional incluso si es comprometido.
OpenAI también reconoce que ampliar el uso de la IA en el ámbito de la ciberseguridad exige medidas más completas contra el abuso: está ajustando los clasificadores de seguridad de Daybreak, esforzándose por reducir el riesgo de que las herramientas sean utilizadas con fines maliciosos, pero unas restricciones demasiado estrictas también pueden frenar la investigación legítima, y el equilibrio es la clave. Además, planteó una idea más controvertida: los sistemas de internet podrían establecer gradualmente mecanismos de escaneo continuo de vulnerabilidades, notificar a los propietarios de los sitios web al descubrir vulnerabilidades conocidas e incluso, con autorización, corregir directamente los sistemas, aunque esto implica cuestiones de propiedad, permisos, errores operativos y límites de responsabilidad, y aún requiere garantías técnicas y de gobernanza rigurosas.
Este incidente de la vulnerabilidad de PHP fue un ejercicio práctico de OpenAI con "Patch the Planet" sobre el mecanismo de divulgación coordinada de vulnerabilidades en la era de la IA. Cuando los modelos avanzados ya pueden acelerar la investigación de vulnerabilidades en lugar de los humanos, lo que realmente protege internet depende, en última instancia, de si los mantenedores, los proveedores de nube, las empresas y las agencias gubernamentales pueden completar la validación, la corrección y el despliegue global a un ritmo más rápido; la clave de la futura competencia en ciberseguridad quizás ya no sea quién encuentra primero la vulnerabilidad, sino quién la valida más rápido, la corrige más rápido y logra que los sistemas afectados en todo el mundo se pongan a tiempo la armadura.