OpenAI ha publicado los resultados de uno de los experimentos de seguridad informática más ambiciosos realizados hasta ahora con inteligencia artificial. Según un informe difundido el 4 de noviembre bajo el título A thousand fewer paths to root («Mil caminos menos hacia root»), un conjunto de agentes automáticos identificó, reprodujo y explotó 948 vulnerabilidades distintas de escalada local de privilegios en el núcleo de Linux, el tipo de fallo que permite a un usuario sin permisos convertirse en administrador absoluto del sistema.
La prueba se realizó a mediados de octubre con un modelo de ciberseguridad que la compañía todavía no ha identificado públicamente. El coste total fue de unos 1,21 millones de dólares en créditos de API, lo que equivale a unos 1.279 dólares por cada vulnerabilidad única, según recogen Interesting Engineering y el propio anuncio de la empresa en la red social X.
Un embudo automático de cinco fases
El sistema, descrito por OpenAI como una cadena de descubrimiento, explotación y parcheo, funciona en cinco etapas: búsqueda de vulnerabilidades, validación dinámica, evaluación de explotabilidad, generación de parches y revisión humana. Primero, unos agentes «exploradores» acotaron el análisis a 5.034 objetivos dentro del núcleo, unos 2,8 millones de líneas de código, aproximadamente el 7% del total. Después, agentes analistas generaron miles de hallazgos candidatos que el sistema intentó reproducir en máquinas virtuales aisladas.
Fase | Resultado | Tiempo |
|---|
Objetivos analizados | 5.034 (≈2,8 millones de líneas) | — |
Hallazgos candidatos | 2.308 | 12 horas |
Vulnerabilidades reproducidas | 1.724 | 30 horas |
Exploits de escalada de privilegios funcionales | 1.169 | — |
Pruebas de concepto de fuga de información | 291 | — |
Vulnerabilidades distintas tras el análisis de variantes | 948 | — |
Las cifras proceden del informe de OpenAI tal y como lo resumen varios medios especializados; algunos citan recuentos intermedios ligeramente distintos, pero todos coinciden en la cifra final de 948.
Diez técnicas de ataque desconocidas
Más allá del volumen, el dato que más inquieta a los especialistas es cualitativo. Al revisar una muestra de 166 exploits, los investigadores encontraron al menos diez técnicas de explotación que, hasta donde sabían, no estaban documentadas. Expertos externos en seguridad del núcleo consultados por el equipo también las consideraron nuevas. Entre ellas figuran métodos para colocar objetos en las cachés de memoria del kernel, mejorar la fiabilidad de los ataques u obtener privilegios mediante ataques que solo manipulan datos.
La comparación con campañas anteriores muestra la velocidad del avance. En julio, el modelo GPT-5.6 Sol encontró y explotó 166 vulnerabilidades únicas de este tipo por 513.690 dólares. Tres meses después, y pese al endurecimiento adicional del núcleo en ese periodo, el nuevo sistema multiplicó por más de cinco el resultado.
Defensa antes que ataque
OpenAI enmarca el trabajo dentro de su iniciativa Patch the Planet, lanzada en junio, y asegura que ha retenido los detalles técnicos por motivos de seguridad. La empresa afirma haber enviado ya cientos de informes y parches para los fallos críticos siguiendo las pautas de la comunidad del kernel, y que trabaja con socios del programa para notificar el resto.
«Nuestro objetivo es ayudar a los defensores a encontrar y corregir vulnerabilidades antes de que los atacantes puedan usarlas».
— OpenAI, en su cuenta oficial de X (traducción de El Intelectual)
Para dimensionar el hallazgo, la compañía aplicó a las 948 vulnerabilidades las recompensas históricas de concursos como Pwn2Own o TyphoonPWN: el resultado, entre 18,9 y 66,3 millones de dólares, supera entre 16 y 55 veces el coste del experimento. Se trata, subraya, de una comparación ilustrativa y no de ingresos reales.
Por qué importa
Linux sostiene la mayor parte de los servidores de internet, la nube, los teléfonos Android y buena parte de la infraestructura crítica. Que una sola ejecución automatizada pueda destapar cerca de un millar de vías para tomar el control de esos sistemas confirma que la IA ha cambiado la economía de la ciberseguridad: encontrar fallos ya no es el cuello de botella; corregirlos a tiempo, sí.
Ahí está la gran pregunta. Los mantenedores del kernel, en gran parte voluntarios, deberán absorber una avalancha de informes, y la misma capacidad que hoy usa un laboratorio para defender puede caer mañana en manos menos escrupulosas. Conviene además recordar que las cifras provienen de la propia OpenAI y de un modelo no publicado, por lo que aún no han sido verificadas de forma independiente. Lo que parece claro es que la carrera entre atacantes y defensores se librará, cada vez más, entre máquinas.
Tecnología
Cargando comentarios…