OpenAI ha encontrado 948 vulnerabilidades de Linux que permitían conseguir privilegios de administrador. Como Mil maneras de morir, pero con el número corregido y el sistema informático como protagonista.
La campaña costó 1,21 millones de dólares en API: unos 1.279 por resultado. No incluye todos los gastos humanos y de infraestructura ni es una tarifa para hackear cualquier ordenador. Aun así, las cuentas impresionan. Son resultados comunicados por la empresa, no ataques contra 948 víctimas.
De buscar una grieta a proponer el arreglo
La cadena tiene cinco pasos: buscar fallos, reproducirlos, comprobar qué daño permiten, generar parches y someter los resultados a revisión humana. De 2.308 sospechas reprodujeron 1.724 problemas; tras agrupar variantes, contabilizaron las 948 vulnerabilidades que daban acceso a los máximos privilegios, llamados root. Las pruebas principales mantuvieron las protecciones habituales de Linux. The Hacker News
La revisión humana encontró una sorpresa: en una prueba inicial, 20 de 200 resultados habían conseguido el control mediante otro fallo desconocido, distinto del encargado. Les pidieron comprobar una cerradura y entraron por otra puerta. Añadieron una comprobación independiente: conseguir el resultado no demuestra haber hecho bien la tarea. Help Net Security
La seguridad no viene con fecha de caducidad. La tranquilidad, tampoco
Una campaña de julio obtuvo 166 resultados; la de octubre, con el próximo modelo especializado, llegó a 948: 5,7 veces más, aunque sobre versiones distintas del núcleo.
OpenAI advierte que, frente a un atacante con recursos, tener acceso local limitado a un sistema desactualizado puede equivaler prácticamente a tener root. El intruso ya debe poder ejecutar código dentro; no significa entrar desde internet por arte de magia.
Aunque nunca hayas instalado Linux, dependes de servicios que lo utilizan. La carrera también afecta a tus archivos, tus datos y las webs que necesitas.
¿Llegará antes el parche?
OpenAI compara sus costes con recompensas históricas de concursos de entre 20.000 y 70.000 dólares. Son referencias hipotéticas, no premios cobrados. Encontrar fallos empieza a salir barato; convertirlos en protección sigue exigiendo trabajo. Golem
Los parches pueden ser incompletos o introducir problemas. Después de generarlos toca revisarlos, aceptarlos, integrarlos, distribuirlos e instalarlos. Mientras la IA encontraba fallos, la comunidad de Linux ya trabajaba en corregir parte de ellos.
PHP ya mostró las costuras: recursos insuficientes, reparaciones difíciles, filtraciones y una publicación adelantada. Su fundación matiza que no había identificado exploits funcionales entre los que circulaban al entregar los parches. No todo el caos puede atribuirse a OpenAI, pero tampoco sirve como garantía de que los defensores llegarán siempre primero. PHP Foundation
Porque encontrar un agujero no instala el parche.
La mirada HUMANía
Conviene volver al principio. Al de OpenAI.
Su certificado de constitución de diciembre de 2015 hablaba de beneficio público, de ausencia de lucro privado y de abrir la tecnología cuando procediera. Su presentación fundacional defendía una IA ampliamente distribuida, sin la obligación de generar rendimiento financiero.
Luego llegaron el plan Pro de 200 dólares mensuales, el contrato piloto con Defensa en 2025, el anuncio de publicidad para las modalidades gratuita y Go y el acuerdo para desplegar sistemas en entornos militares clasificados en 2026.
La criatura fue creciendo, aprendió a cobrar, se fue a la mili, descubrió los anuncios y acabó trabajando con información clasificada. OpenAI sostiene que esos acuerdos mantienen salvaguardas. La distancia con aquella presentación de 2015 merece, como mínimo, una lectura sin música épica.
También merece una pregunta el reparto de capacidades. OpenAI reconoce que su programa Trusted Access for Cyber ofrece menos rechazos a profesionales verificados y acceso especializado bajo controles adicionales.
¿El GPT del usuario está tan limitado porque de lo interesante ya se encargan ellos? La sospecha sirve para la ironía; no demuestra el motivo. Lo comprobable es que hay distintos niveles de acceso y una empresa decide quién reúne las condiciones.
Evitar abusos importa. Poder discutir quién controla esas herramientas, también.
Encontrar y corregir estas vulnerabilidades puede protegernos. Pero el beneficio habrá que medirlo en sistemas reparados y daños evitados, no únicamente en resultados espectaculares.
Mientras tanto, por fin OpenAI ha abaratado algo: encontrar cómo perder el control.
Ahora falta que protegernos llegue igual de rápido.