El CEO de Cloudflare afirma que la IA revolucionará Internet semanalmente durante dos años.

El director ejecutivo de Cloudflare, Matthew Prince, declaró a Reuters que cabe esperar un par de años de pánicos semanales por motivos de seguridad, días después de que una investigación asistida por IA sobre PHP dejara a GOG fuera de servicio.

Las vulnerabilidades que provocaron el caos residen en el propio PHP, no en ningún sitio web construido sobre él, y PHP se ejecuta en el 69,3% de los sitios web cuyo lenguaje del lado del servidor se conoce. Prince afirma que su empresa ya conoce vulnerabilidades más graves en otros programas críticos. Lo que cambió esta semana es la rapidez con la que cualquiera puede convertir una vulnerabilidad en un ataque funcional.

Wiz Research publicó los hallazgos el 21 de octubre bajo el nombre PHP2Shell, agrupados en dos CVE con una gravedad que alcanza CVSS 9.2. Todas las versiones de PHP de la última década se ven afectadas por al menos una de ellas, desde la versión 5.4. Los errores son problemas de seguridad de memoria en la forma en que el motor maneja los errores fatales, y permiten que un atacante no autenticado lea la memoria del proceso o ejecute código en el servidor. La memoria en cuestión puede contener contraseñas, tokens de autenticación, claves API y certificados pertenecientes a otras solicitudes. El equipo de investigación demostró la ejecución remota de código sin autenticación contra contenedores actuales de WordPress, Drupal y Joomla, y señaló que la elección del software era arbitraria, ya que una página simple de "hola mundo" en una versión de PHP afectada queda expuesta de la misma manera. El equipo de PHP lanzó el parche ese mismo día.

El código vulnerable llevaba más de diez años sin que nadie lo convirtiera en un exploit útil. Crear uno implicaba encadenar varios errores y adaptarlo a la forma en que cada objetivo organiza la memoria, un trabajo lento y especializado que antes se limitaba a las vulnerabilidades teóricas.

“Los modelos de vanguardia fueron fundamentales para que este proceso fuera práctico, permitiéndonos desarrollar y adaptar exploits funcionales en múltiples aplicaciones en cuestión de horas.”

— Wiz Research

Wiz mencionó los modelos que utilizó, reconociendo a Gemini 4 Argon por sus contribuciones al descubrimiento, el desarrollo de exploits y la validación de parches. Raluca Ada Popa, de Google DeepMind, presentó el resultado como una IA de vanguardia que cierra una brecha con la que los defensores habían convivido durante una década. El mismo mecanismo funciona para cualquier persona del otro lado. El argumento de Prince a Reuters es que el límite en el descubrimiento de vulnerabilidades solía ser el número de expertos dispuestos a dedicar meses a ello, y ese límite ya no existe.

“Creo que vamos a tener un par de años en los que cada semana sentiremos que el cielo se nos cae encima.”

— Matthew Prince

Cloudflare se sitúa frente al 86,0% de los sitios web que utilizan un proxy inverso, lo que equivale al 27,9% de la web, y esa lista incluye Epicgames.com, Spotify, Shopify y X. Además, lleva seis meses inmersa en su propia reestructuración en torno a la IA, tras haber despedido a 1.100 empleados por correo electrónico en mayo, alrededor del 20% de la empresa. El memorando de Prince describe una transición hacia la era de los agentes de IA, en lugar de una reducción de costes. El uso interno de la IA en la empresa había aumentado más del 600% en los tres meses anteriores. El hombre que pronostica dos años de colapso impulsado por la IA dirige una empresa que apostó su plantilla a esa misma tecnología.

GOG anunció a las 8 de la mañana, hora del Pacífico, que su tienda y GOG Galaxy estarían fuera de servicio durante un par de horas por mantenimiento, sin especificar el motivo, y aproximadamente cuatro horas después volvió a publicar un mensaje sobre lo único que una interrupción del servicio no puede afectar.

“Tu biblioteca sin DRM está justo donde la dejaste.”

— GOG

Los servidores de inicio de sesión de Final Fantasy 14 se cayeron durante ese mismo período, y el gobierno de Finlandia retiró algunos sitios web como medida de precaución. Ninguno de esos servicios tenía que estar ejecutando código vulnerable para que la decisión tuviera sentido; parchear un lenguaje utilizado por dos tercios de la web es más rápido con los servicios en línea apagados.

Me preocupa más la diferencia de versiones que la fecha del parche. PHP 8 cubre el 65,4% de los sitios PHP, lo que deja un 26,8% en la versión 7 y un 7,7% todavía en la versión 5. Estos son los servidores con menos probabilidades de que alguien lea un blog informativo un miércoles. Un parche publicado el 21 de octubre solo protege a los servidores que lo instalan, y el resto permanece vulnerable mientras nadie los modifique.

El debate sobre IA que ha acaparado la industria de los videojuegos durante todo el mes gira en torno a una máquina diferente. Masahiro Sakurai afirmó esta semana que las herramientas generativas impulsarán a Steam más allá de los 19.000 juegos que ha incorporado este año, frente a los 275 de 2010, y que la mayoría de los títulos que lleguen serán copias no rentables de sistemas que otros juegos ya utilizan. Su preocupación reside en una plataforma de distribución digital inaccesible. La divulgación de PHP se centra en la misma capacidad aplicada a la infraestructura, donde el problema no reside en el volumen de producción, sino en una única cadena de trabajo operativa.

Epic Games anunció su MegaJam de IA para el 12 de noviembre, con 7500 dólares para el ganador de cada categoría y subvenciones de hasta 50 000 dólares para la continuación del concurso. Posteriormente, eliminó discretamente la sección de preguntas frecuentes que indicaba a los participantes que debían usar IA. Epicgames.com figura en la lista de sitios web que se encuentran detrás de la capa de proxy que gestiona Prince, la cual es la parte de la infraestructura que absorbió el evento esta semana, en lugar de la que gestionaba la jam.

El 18 de octubre, Brandon Stirrup, gerente sénior de estrategia comercial de Xbox, expuso la versión más contundente del argumento del "creador", afirmando que cualquiera puede crear un juego con IA a partir de un prototipo de dos días con apenas tres horas de trabajo, para luego eliminar su cuenta al día siguiente. Esta semana, el argumento del "creador" me resulta menos interesante que el del "rompedor", ya que un premio de una jam y un hilo eliminado son opiniones, mientras que un CVSS 9.2, el lenguaje más utilizado en la mayoría de la web, es una demostración.

Prince espera que el ciclo termine de forma satisfactoria. Su postura es que las vulnerabilidades que se están descubriendo ahora se corrijan y que, en los próximos dos años, el software sea más seguro que antes. Se trata de una afirmación a largo plazo que se complementa con una instrucción a corto plazo: mantener actualizados los navegadores y clientes y considerar rutinarias las notificaciones de interrupción del servicio de los próximos meses. Prefiero ciclos de parches tediosos a un código base más limpio en 2028, y la previsión actual apunta a lo segundo.

Cloudflare no ha especificado qué otros programas críticos está monitorizando. Wiz ha declarado que las variantes de PHP que ha detectado no son las únicas presentes en el código fuente, aunque el parche de octubre cierra la clase en su raíz.