Max Justicz, director de tecnología y cofundador de la startup Charge Robotics, usó un modelo de OpenAI para encontrar una vulnerabilidad grave que, si se explotara, podría permitir a hackers tomar el control de servidores que ejecutan Ubuntu, un sistema operativo de código abierto basado en Linux muy utilizado.
Justicz, que tiene un interés aficionado en la ciberseguridad y previamente encontró una vulnerabilidad en la misma base de código, le dijo a TechCrunch que encontró este problema usando GPT 5.6 Sol, lanzado en julio, a través de Daybreak Blue del fabricante de IA, un programa que brinda a los defensores de ciberseguridad acceso a potentes modelos fronterizos.
«Literalmente solo apunté ChatGPT al mismo cuerpo de código y dije 'encontré este error anteriormente que fue corregido hace varios años, por favor encuentra errores igual o peor', y volvió en dos horas con esto», dijo Justicz. «Es extremadamente enrevesado y difícil de encontrar para un humano, ¡pero funciona!»
Reportó el problema al Proyecto Debian, que mantiene el software en cuestión y emitió un parche para corregir la vulnerabilidad. No hay evidencia conocida de explotación. Aun así, la facilidad con la que la encontró sugiere que solo hemos visto la punta del iceberg en cuanto a posibles exploits que incluso hackers novatos pueden utilizar con la ayuda de modelos de IA.
«Solo puedo imaginar lo que se podría hacer con más tiempo y acceso a modelos menos mutilados. Deberíamos esperar que se encuentren y exploten algunos errores extremadamente locos en los próximos meses», escribió Justicz en un hilo de redes sociales que discute su hallazgo. «Esto puede ser obvio para la mayoría de la gente aquí, pero actualmente hay un enorme alpha en tomar algún código o binario que alguien aún no ha auditado y simplemente apuntarle un potente modelo de IA».
OpenAI parece haberse dado cuenta. Hoy, el gigante de la IA anunció que un nuevo modelo enfocado en ciberseguridad, ChatGPT Cyber, estaría disponible para el nivel más alto de usuarios del programa de ciberseguridad, Daybreak Red, que permite a los investigadores de ciberseguridad ofensiva herramientas para la búsqueda y el desarrollo de vulnerabilidades. Ayer, OpenAI dijo que el mismo modelo había sido usado para escanear y preparar parches para vulnerabilidades en el kernel de Linux, encontrando 948 posibles problemas. OpenAI también encontró 81 vulnerabilidades «novedosas» en Firefox, el navegador web.
«Nuestro objetivo es expandir dramáticamente Daybreak, llevando la investigación de seguridad avanzada a organizaciones de todos los tamaños, investigadores independientes y mantenedores de código abierto», dijo el laboratorio fronterizo en una declaración.
OpenAI ha insistido en que hay una ventana de tiempo estrecha para que las personas que salvaguardan la infraestructura digital tomen medidas antes de que los modelos de IA se vuelvan aún mejores para hackear y más fáciles de acceder. Para los defensores cibernéticos, sin embargo, puede sentirse como si los laboratorios fronterizos hubieran desatado una montaña de nuevo trabajo que supera sus recursos. Justicz dijo que personalmente gastó alrededor de $5,000 en suscripciones y tokens para encontrar varios exploits.
Además del acceso a modelos de Daybreak, OpenAI también ha anunciado una iniciativa de $1 mil millones para apoyar a los profesionales de ciberseguridad en el programa que trabajan en infraestructura crítica como la red eléctrica o los sistemas de agua.
El programa Daybreak tiene sus propias críticas. Justicz señala que el laboratorio fronterizo parece haber «nerfeado» recientemente Daybreak Blue para hacerlo menos útil en la búsqueda de vulnerabilidades. Por un lado, puede ser bueno limitar el acceso de posibles actores maliciosos —Justicz dijo que simplemente subió una foto de su licencia de conducir para unirse al programa. Por otro, los profesionales de ciberseguridad dicen que tienen una mano atada si no pueden usar tecnología fronteriza mientras los actores maliciosos pueden desplegar modelos de pesos abiertos con guardarraíles abliterados.
Aun así, OpenAI dice que solo «miles» de profesionales de ciberseguridad participan en el programa Daybreak, frente a un número mucho mayor de posibles hackers.
No está claro si los laboratorios fronterizos están dedicando suficientes recursos a este problema. Eric Wallace, un investigador del personal técnico de OpenAI, dijo que «ahora estamos asignando una cantidad significativa de nuestro cómputo fronterizo hacia el descubrimiento y parcheo de vulnerabilidades en bases de código de código abierto, completamente pro bono».
Pero la cacería de errores en Linux costó $1.2 millones, lo cual es significativamente menos que los aproximadamente $6 millones en tokens que la compañía invirtió en encontrar una posible solución a un famoso problema de dinámica de fluidos.
Si hay una ventana estrecha de tiempo para parchear la infraestructura digital de la que depende el mundo, puede que se requiera más urgencia.