Max Justicz, director técnico y cofundador de Charge Robotics, utilizó un modelo de OpenAI para descubrir una vulnerabilidad grave; si se explotara, los hackers podrían tomar el control de servidores que ejecutan Ubuntu. Ubuntu es un sistema operativo de código abierto basado en Linux ampliamente utilizado.
Justicz tiene un interés amateur en la ciberseguridad y anteriormente ya había descubierto vulnerabilidades en el mismo código fuente. Le dijo a TechCrunch que descubrió este problema mediante GPT 5.6 Sol, lanzado por OpenAI en julio de este año, utilizando el proyecto de la empresa llamado Daybreak Blue. Este proyecto permite a los defensores de ciberseguridad utilizar modelos avanzados y potentes.
“Simplemente dirigí a ChatGPT hacia el mismo fragmento de código y le dije: ‘Anteriormente descubrí un bug que ya se había corregido hace varios años; por favor, ayúdame a encontrar un bug igual de grave o más grave’, y dos horas después me lo encontró,” dijo Justicz. “¡Esta vulnerabilidad es extremadamente compleja y difícil de detectar manualmente, ¡pero realmente existe!”
Él informó el problema al Debian Project, encargado de mantener el software relevante, que luego lanzó un parche para corregir la vulnerabilidad. Actualmente no hay evidencia conocida de que esta vulnerabilidad haya sido explotada. Sin embargo, que él haya encontrado este problema tan fácilmente sugiere que incluso hackers principiantes podrían utilizar modelos de IA para descubrir y explotar vulnerabilidades potenciales, y este riesgo podría ser solo la punta del iceberg.
Solo puedo imaginar lo que la gente podría lograr con más tiempo y acceso a modelos con menos restricciones. Debemos esperar que en los próximos meses se descubran y exploten algunas vulnerabilidades extremadamente locas, escribió Justicz en su publicación de redes sociales sobre este hallazgo. “Para la mayoría de ustedes aquí esto puede ser obvio, pero actualmente tomar un fragmento de código o un archivo binario que aún no ha sido auditado y entregarlo directamente a un modelo de IA potente ofrece una ventaja significativa.”
OpenAI claramente ha notado esto. La empresa anunció hoy que proporcionará un nuevo modelo enfocado en ciberseguridad, ChatGPT Cyber, a los usuarios de mayor nivel en su programa de ciberseguridad Daybreak Red. Daybreak Red permite a los investigadores de ciberseguridad ofensiva utilizar herramientas de descubrimiento y desarrollo de vulnerabilidades.
Ayer mismo, OpenAI indicó que el mismo modelo se utilizó para escanear el kernel de Linux y preparar parches para vulnerabilidades, descubriendo 948 problemas potenciales. OpenAI también encontró 81 vulnerabilidades "novedosas" en el navegador web Firefox.
This cutting-edge lab stated in a press release: "Our goal is to significantly expand Daybreak, bringing advanced security research to organizations of all sizes, independent researchers, and open-source maintainers."
OpenAI ha enfatizado constantemente que las personas que protegen la infraestructura digital tienen solo una ventana de tiempo muy estrecha para actuar, ya que los modelos de IA solo se volverán más hábiles en realizar ataques informáticos y más fáciles de obtener. Para los defensores cibernéticos, esta situación se siente como si un laboratorio de vanguardia hubiera liberado una gran cantidad de nuevo trabajo que excede sus recursos. Justicz dijo que él mismo gastó aproximadamente 5,000 dólares en suscripciones y tokens para buscar múltiples vulnerabilidades.
Además del acceso al modelo de Daybreak, OpenAI anunció un plan de mil millones de dólares para apoyar a profesionales de ciberseguridad que participen en el proyecto y trabajen en infraestructuras críticas como redes eléctricas o sistemas de suministro de agua.
El proyecto Daybreak también enfrenta algunas críticas. Justicz señala que este laboratorio de vanguardia parece haber "debilitado" recientemente Daybreak Blue, reduciendo su utilidad para detectar vulnerabilidades. Por un lado, limitar el acceso de posibles actores maliciosos podría ser positivo: Justicz dice que cuando se unió al proyecto, simplemente subió una foto de su licencia de conducir. Por otro lado, los profesionales de ciberseguridad indican que si ellos no pueden utilizar tecnologías de vanguardia, mientras que los actores maliciosos pueden implementar modelos de pesos de código abierto sin los controles de seguridad, ellos se verán limitados.
Sin embargo, OpenAI aún indica que solo hay "miles" de profesionales de ciberseguridad participando en el proyecto Daybreak, mientras que el número de posibles hackers es mucho mayor.
Aún no está claro si el laboratorio de vanguardia ha asignado suficientes recursos a este problema. Eric Wallace, investigador del equipo técnico de OpenAI, dijo: “Actualmente estamos dedicando una parte considerable de nuestra capacidad de vanguardia a descubrir y corregir vulnerabilidades en repositorios de código abierto, completamente por motivos de interés público.”
Sin embargo, el costo de buscar vulnerabilidades en Linux fue de 1.2 millones de dólares, claramente inferior a los aproximadamente 6 millones de dólares en gastos en tokens que la empresa invirtió en buscar una solución potencial para un famoso problema de dinámica de fluidos.
Si la infraestructura digital de la que depende el mundo realmente solo tiene una ventana de reparación muy estrecha, entonces tal vez se necesite un mayor sentido de urgencia.