A principios de agosto, el investigador de Wiz Sagi Tzadik pidió a un agente de IA que probara si una debilidad de WordPress también podía afectar a Drupal. Fracasó en esa tarea, pero reveló una falla independiente en PHP, el lenguaje de décadas de antigüedad que sustenta ambas plataformas y gran parte de la web. Tzadik sospechó inicialmente un falso positivo: “Los modelos tienden a alucinar”. Sin embargo, el exploit funcionó y expuso una debilidad que había pasado desapercibida durante más de una década.¹

El descubrimiento sirvió de argumento a favor de la IA como herramienta defensiva. Investigadores de Calif, trabajando con OpenAI, habían encontrado de forma independiente un problema relacionado; los grupos comunicaron sus hallazgos y se unieron a los mantenedores de PHP en un esfuerzo de unas 15 personas para rastrear los errores y preparar una corrección. La IA puede analizar código a una escala que los equipos humanos no pueden igualar, pero esa misma capacidad puede ayudar a los atacantes a identificar sistemas expuestos y automatizar la explotación, lo que hace esencial una divulgación rápida y coordinada.²

Esa carrera se intensificó cuando los detalles empezaron a circular en línea dos días antes del lanzamiento previsto del parche. Los mantenedores de PHP adelantaron el lanzamiento, pero un video de Calif que demostraba involuntariamente el exploit ayudó a desencadenar actividad de imitadores. Cloudflare observó miles de intentos antes de la divulgación, luego decenas de miles en 45 minutos, cientos de miles en dos horas y, finalmente, millones.¹

Para el miércoles y el jueves, el parche ya estaba disponible, pero habían comenzado los cierres preventivos. Reino Unido desconectó 32 servicios gubernamentales; sitios públicos de Finlandia, Países Bajos, Alemania y Japón sufrieron interrupciones, mientras empresas y pequeños negocios se apresuraban a actualizar. Para instituciones con grandes equipos de TI, un empresario calificó la interrupción como un «bache»; para empresas más pequeñas, las caídas se prolongaron hasta siete horas. Un operador de TI de Nairobi temía que los sistemas públicos, de respuesta lenta, todavía pudieran ser atacados.³

La respuesta ahora también se está comercializando, además de coordinarse: Aravind Srinivas dijo que los usuarios podrían recibir créditos para comprobar si los sitios PHP y las configuraciones de despliegue están expuestos, una muestra de la rapidez con que el análisis asistido por IA está pasando a formar parte de la defensa rutinaria.Aravind Srinivas (AravSrinivas)⁴

La lección no es que la IA resolviera el problema. Lo encontró con suficiente antelación para que los defensores actuaran, y reveló cuán rápidamente puede evaporarse esa ventaja inicial.