Un anuncio alarmante se difundió a principios de esta semana: debido a vulnerabilidades recién descubiertas en el lenguaje de programación de código abierto PHP, los propietarios de sitios web debían parchear sus sitios de inmediato — o, si no podían actualizar en ese momento, debían bajar los sitios por seguridad.
En el episodio de esta semana del podcast Equity de TechCrunch, Kirsten Korosec, Sean O’Kane y yo discutimos la importancia de la PHP-ocalypse y si veremos más incidentes como este en el futuro.
Sean calificó esto de «un verdadero momento de ajuste de cuentas» que destaca cómo «cuando llegas al nivel del hueso de internet», todo parece estar «sostenido con pegamento y sueños». Y con el acceso generalizado a los grandes modelos de lenguaje y a los agentes de IA, será cada vez más fácil encontrar estas vulnerabilidades. (Dicho esto, estas vulnerabilidades específicas fueron encontradas por investigadores humanos, no por modelos de IA.)
Kirsten, por su parte, se preguntó si estamos a punto de ver el «siguiente nivel del fatalismo supervivista […] porque puedes ver cómo los bancos podrían ser explotados, y [con] las preocupaciones sobre datos y privacidad, simplemente se siente mucho más grande de lo que podemos arreglar ahora mismo».
Sigue leyendo para ver un adelanto de nuestra conversación, editada por extensión y claridad.
Sean: Internet se está rompiendo de muchas maneras esta semana, al parecer.
Creo que la mejor manera de pensarlo, si la gente llega a esto sin contexto: ¿cuántas veces en los últimos 10 años hemos tenido estos momentos en los que algo se rompe o casi se rompe, donde una persona que mantiene un pequeño repositorio repro como pasatiempo o lo que sea logra detectar que algo malicioso está sucediendo y nos salva de que la infraestructura de internet se derrumbe por completo?
Ahora multiplica eso por mil millones, cuando la gente tiene acceso no solo a software extremadamente avanzado en forma de estos LLM que todos usan, sino también a la capacidad de encomendarles que salgan y lo hagan por sí mismos, creando agentes de IA que están decididos a lograr esas cosas.
Estamos viendo un equilibrio de dos cosas sucediendo esta semana. Una es que varios de los laboratorios y empresas como Google y OpenAI en realidad enviaron a personas a encontrar una cantidad de vulnerabilidades, incluida la de PHP. Y luego también tenemos a mucha gente que parece apresurarse a aprovechar esas vulnerabilidades para intentar piratear sitios web. Así que tenemos gobiernos derribando sitios web, tenemos sitios web realmente populares que caen brevemente para poder corregir esta vulnerabilidad.
Este es un verdadero momento de ajuste de cuentas, donde vamos a descubrir el riesgo negativo de construir tanto de internet sobre tecnología de código abierto como PHP. Cuando realmente llegas al nivel del hueso de internet, está sostenida con pegamento y sueños.
Anthony: Hay muchas cosas llamativas en esto. Una de ellas es el hecho de que — según entiendo, al menos — esta no es una vulnerabilidad nueva. Es una vulnerabilidad que ha existido en PHP durante décadas.
Y PHP ha sido utilizado como lenguaje de programación para construir gran parte de la web, así que esta vulnerabilidad ha estado ahí durante décadas, pero nadie la conocía. Lo que sucedió es que, esencialmente, estas grandes empresas de IA — incluida Wiz, ahora propiedad de Google — pudieron encontrar estas vulnerabilidades usando LLM. [Como se señaló anteriormente, me equivoqué en esto: Investigadores humanos que participan en la iniciativa Hack the Planet de OpenAI y Wiz encontraron las vulnerabilidades, aunque usaron IA para explotar el error.]
Supongo que parte del cálculo es: necesitamos parchear esto, porque si nosotros podemos encontrar esta vulnerabilidad usando LLM, otras personas también pueden. Pero la única manera de distribuir el parche es anunciar la vulnerabilidad. Y así se crea esta situación muy de pánico donde [dicen]: «Okay, esta vulnerabilidad existió durante décadas. Tienes que parchear de inmediato, y si no puedes parchear de inmediato, simplemente baja tu sitio web. Es una vulnerabilidad de esa gravedad».
Kirsten: Creo que lo importante es que mucha gente ni siquiera se da cuenta de que sus sitios web tienen PHP — que es este, como mencionaste, lenguaje de programación de código abierto con décadas de antigüedad.
Para quienes no lo saben, Hypertext Preprocessor es el término oficial, [es] realmente el ingrediente central detrás de los sistemas de gestión de contenidos que se usan en todo WordPress, Drupal, algo así como el 70% de los sitios web. Estamos hablando de decenas de millones de sitios web. Así que para mí es la escala. También me hizo pensar de inmediato dos cosas: Una, esto es solo el comienzo. ¿Qué otro software malo con décadas de antigüedad existe ahí fuera que vaya a ser explotado?
Y la otra fue algo que 404 Media, que tenía un desglose realmente excelente, mencionó, que es la podredumbre de enlaces (link rot). Porque mucha gente, empresas, gobiernos, quizás ese pequeño sitio web del vecindario, están cerrando estos [sitios web]. Y así vamos a tener muchísima podredumbre de enlaces y también sitios web que quizás tenían un pequeño fragmento de historia ahí fuera y que ya no serán accesibles, en lugar de parchearlos.
Sean: Anthony, creo que hiciste un muy buen punto. He visto a mucha gente descontenta con el despliegue de la divulgación aquí, y algo del exhibicionismo que OpenAI parece haber hecho en su publicación al respecto.
También, parece que un par de personas se adelantaron al embargo de este lanzamiento, lo que desencadenó una carrera entre el gremio de los hackers. Creo que fue el CEO de Cloudflare, Matthew Prince, [quien] ya publicó sobre haber visto que escaló a millones de intentos de hackeo del PHP2Shell.
La cuestión con estas vulnerabilidades, la forma en que esto suele funcionar en ciberseguridad, es que si estás haciendo pruebas de estrés al software de una empresa, incluso si es un software fundamental que ayuda a funcionar a muchas computadoras diferentes o a partes de internet o lo que sea, puedes acudir a esa empresa y divulgarlo y más o menos se queda dentro de esa burbuja. Pero cuando hablamos de algo tan profundo y tan fundamental como esto, no puedes andar avisando a todos discretamente.
O sea, quizás podrías, si la IA fuera lo suficientemente avanzada y pudieras encargar a mil millones de agentes enviar un correo electrónico a cada persona que tiene control sobre alguna parte de un sitio web. Ahora estamos añorando los días en que teníamos webmasters fácilmente identificables, y quizás eso habría resuelto el problema hasta cierto punto. Pero simplemente no hay una manera fácil de hacer esto. Creo que este es el comienzo de lo que será mucho ir y venir y claramente una nueva frontera en la ciberseguridad.
Kirsten: La publicación en redes sociales de Matthew Prince me pareció realmente reveladora y bastante aterradora. Además, no sé si alguno de ustedes vio esto, pero Amazon también publicó una entrada de blog. Esta es una empresa con muchísimo capital, así que tienen las herramientas y un equipo para kind of detectar lo que está pasando. Operan, básicamente, una red honeypot, o señuelo, y de hecho vieron que hubo intentos de explotar esa vulnerabilidad antes de que fuera anunciada públicamente.
Para mí, de nuevo, se remonta a esto: Amazon tiene las herramientas, el capital y el conocimiento para combatir estas cosas. Hay tantos sitios web e incluso potencialmente sitios web gubernamentales que simplemente no tienen ese nivel de atención. Y entonces, para mí, esa es realmente la parte aterradora.
Y hay algunos empleados de IA allá afuera que probablemente llevarán esto al siguiente nivel de fatalismo de supervivencialistas, porque uno puede ver cómo podrían explotarse los bancos, y [con] las preocupaciones de datos y privacidad, simplemente se siente algo mucho más grande de lo que podemos arreglar ahora mismo. Así que me interesa ver dos cosas. Una, qué tan extremo se vuelve el comportamiento de la gente — pero también me pregunto si surgirán algunas nuevas startups como resultado de esto, o si vamos a recurrir a algunas de las herramientas de código abierto [ofrecidas por empresas como Nvidia] para crear estas capas de seguridad.