Las señales de advertencia se habían estado acumulando desde que los sistemas de IA de frontera comenzaron a suscitar temores de que el descubrimiento de vulnerabilidades se aceleraría. Pero los fallos de PHP —detectados por investigadores humanos que trabajaban en un esfuerzo asistido por IA, en lugar de por modelos actuando por sí solos— hicieron concreta esa perspectiva. PHP sustenta aproximadamente el 70% de los sitios web, lo que significa que una debilidad de décadas de antigüedad tuvo un alcance enorme una vez descubierta.¹

Para el miércoles, la coreografía habitual de la divulgación coordinada comenzó a desmoronarse. Los investigadores y proveedores habían preparado parches y notificaciones confidenciales, pero la información sobre los errores circuló antes del lanzamiento previsto. La Fundación PHP dijo que Chainguard había “roto unilateralmente el embargo”, lo que llevó a gobiernos y empresas a desconectar sitios en lugar de arriesgarse a una intrusión.²

La carrera dio vida a la amenaza de la IA sin, hasta ahora, producir su desenlace más grave. Cloudflare vio cómo los intentos de ataque pasaban de miles antes de la divulgación a millones después, mientras que Amazon dijo que la explotación era generalizada. Sin embargo, funcionarios alemanes no informaron de ningún uso exitoso del fallo, y los investigadores descubrieron que los errores eran más difíciles de convertir en armas de lo que sugería el volumen de escaneos.²

Esto ha suscitado comparaciones con el Y2K: una advertencia aterradora que movilizó a los defensores a tiempo. Los expertos en seguridad advierten contra confundir esta escapada por poco con seguridad. «No tenemos que esperar otros dos años antes de que esto ocurra (de nuevo)», dijo Samantha Lewis, jefa de inteligencia de amenazas de Armadin. «Podrían ser tres horas a partir de ahora».³

La disputa más profunda gira en torno a lo que el episodio dice sobre la capacidad de respuesta de la web. Una visión ve un sistema sostenido por «pegamento y sueños», donde los pequeños operadores y organismos públicos carecen de los recursos de Amazon o Cloudflare.¹ Otra lo ve como prueba de que la disciplina básica —aplicar parches, autenticación multifactor, contención y planes de recuperación— aún funciona. Pero Tomer Schwartz, de Wiz, sostiene que el futuro no puede depender de administradores individuales que apliquen correcciones manualmente: la IA puede ayudar a encontrar y probar vulnerabilidades a gran velocidad, mientras que «aplicar parches a mano no escalará».⁴