A principios de esta semana, se publicó un anuncio sorprendente: debido a la detección de una nueva vulnerabilidad en el lenguaje de programación de código abierto PHP, los propietarios de sitios web deben parchear sus sitios inmediatamente; si no pueden actualizarse de inmediato, deben desconectar sus sitios web por razones de seguridad.
En el episodio semanal del podcast de TechCrunch Equity, Kirsten Korosec, Sean O’Kane y yo discutimos el significado de este “PHPocalypse” y si es probable que ocurran más eventos similares en el futuro.
Sean llamó a esto el verdadero "momento de liquidación", destacando que "cuando te adentras en el nivel óseo de internet", todo parece estar "sostenido por pegamento y sueños". También indicó que, con la disponibilidad generalizada de modelos de lenguaje grande y agentes de IA, descubrir estas vulnerabilidades solo se volverá más fácil. (Sin embargo, estas vulnerabilidades específicas fueron descubiertas por investigadores humanos, no por modelos de IA.)
Kirsten teme que estemos a punto de entrar en una "emoción de preparación para el fin del mundo de un nivel superior[…] porque puedes ver que los bancos podrían ser explotados, y dado los problemas de datos y privacidad, todo esto parece más grande de lo que podemos arreglar en este momento."
A continuación, una vista previa de esta conversación, con contenido editado y pulido.
Sean O’Kane: Parece que esta semana Internet está teniendo problemas en muchos aspectos.
Si el lector aún no está familiarizado con este tema, creo que la mejor manera de entenderlo es: en los últimos 10 años, ¿cuántas veces hemos enfrentado momentos en los que algo falló, o casi falló, y alguien que solo mantenía en su tiempo libre un pequeño repositorio descubrió justo a tiempo una actividad maliciosa y evitó el colapso total de la infraestructura de internet?
Ahora multiplica este escenario por mil millones: las personas no solo pueden acceder a estos modelos de lenguaje extremadamente avanzados que todos utilizan, sino también asignarles tareas para que las realicen por sí mismos; además, con la aparición de agentes de IA, que pueden concentrarse en completar estas tareas.
Esta semana hemos visto dos fuerzas ocurriendo simultáneamente. Por un lado, laboratorios y empresas como Google y OpenAI realmente enviaron personas para descubrir una serie de vulnerabilidades, incluyendo la vulnerabilidad de PHP. Por otro lado, muchas personas parecen estar apresurándose para aprovechar estas vulnerabilidades e intentar infiltrarse en sitios web. Por eso hemos visto sitios web gubernamentales desconectados y algunos sitios muy populares con caídas breves para corregir esta vulnerabilidad.
Este es el verdadero momento de liquidación, y veremos el riesgo a la baja de haber construido tantas partes de internet sobre tecnologías de código abierto como PHP. En los niveles más fundamentales de internet, todo se mantiene con pegamento y sueños.
Anthony Ha: Hay muchas cosas sorprendentes sobre este asunto. Una de ellas es —al menos según entiendo— que esto no es una vulnerabilidad nueva. Esta vulnerabilidad ha existido en PHP durante décadas.
PHP, como lenguaje de programación, se ha utilizado para construir una gran cantidad de páginas web, por lo que esta vulnerabilidad ha existido durante décadas, pero nadie lo sabía hasta ahora. Básicamente, estas grandes empresas de IA —incluyendo a Wiz, ahora propiedad de Google— pudieron aprovechar los LLM para encontrar estas vulnerabilidades. [Como se mencionó anteriormente, me equivoqué aquí: los investigadores humanos que participaron en la actividad “Hack the Planet” de OpenAI y Wiz descubrieron estas vulnerabilidades, aunque utilizaron IA para explotar este bug.]
Creo que una de las consideraciones es que debemos arreglarlo, porque si podemos encontrar esta vulnerabilidad con un LLM, otros también pueden hacerlo. Pero la única forma en que podemos lanzar un parche es haciendo pública esta vulnerabilidad. Por lo tanto, se crea una situación de pánico extremo, en la que dicen: “Bueno, esta vulnerabilidad ha existido durante décadas. Deben arreglarla inmediatamente; si no pueden arreglarla de inmediato, cierren su sitio web. Esta vulnerabilidad es tan grave.”
Kirsten Korosec: Creo que un punto importante es que muchas personas ni siquiera saben que su sitio web utiliza PHP — como mencionaste, es un lenguaje de programación de código abierto con decenas de años de antigüedad.
Para quienes no lo conocen, Hypertext Preprocessor es su nombre formal; en realidad, es el componente central detrás de sistemas de gestión de contenido como WordPress y Drupal, utilizados por aproximadamente el 70 % de los sitios web. Hablamos de decenas de millones de sitios web. Para mí, lo clave es la escala. También me hace pensar inmediatamente en dos cosas: primero, esto es solo el comienzo. ¿Cuánto más software antiguo y deficiente aún está oculto y será explotado en el futuro?
Lo segundo es que 404 Media realizó un excelente análisis sobre lo que denominan “rotura de enlaces”. Debido a que muchas personas, empresas, gobiernos y quizás incluso ese pequeño sitio web comunitario cierran estos sitios, vemos una gran cantidad de enlaces rotos y algunos sitios que antes albergaban fragmentos históricos ya no son accesibles, en lugar de conservarlos mediante reparaciones.
Sean: Anthony, creo que planteaste un punto muy bueno. He visto que muchas personas no están satisfechas con este proceso de divulgación y tampoco les gusta la redacción un poco "vanesa" que OpenAI usó en la publicación relacionada.
Además, parece que varias personas actuaron antes del período de embargo de este lanzamiento, lo que desató una competencia en el mundo de los hackers. Recuerdo que Matthew Prince, CEO de Cloudflare, ya publicó que los intentos de ataque contra PHP2Shell se han incrementado a millones.
La forma habitual de manejar este tipo de vulnerabilidades en ciberseguridad es: si estás realizando pruebas de estrés en el software de una empresa, incluso si ese software es fundamental para el funcionamiento de muchas computadoras o partes de Internet, puedes informar el problema a la empresa y generalmente se limita a ese ámbito. Pero cuando hablamos de algo tan profundo y fundamental como esto, no puedes notificar discretamente a todos.
Quiero decir que, tal vez, si la IA fuera lo suficientemente avanzada y pudieras enviar correos electrónicos a través de mil millones de agentes, cada uno encargado de una parte específica de un sitio web, esto podría lograrse. Ahora empezamos a extrañar los días en que los administradores de sitios web eran fáciles de identificar, ya que eso quizás resolvería el problema en cierta medida. Pero no hay una solución sencilla. Creo que esto es solo el comienzo, y vendrán muchos vaivenes; claramente, este es un nuevo frente en el ámbito de la ciberseguridad.
Kirsten: Los posts de Matthew Prince en redes sociales me parecen muy reveladores y bastante aterradores. Además, no sé si han visto, pero Amazon también publicó un blog. Es una empresa con muchos recursos, por lo que tienen las herramientas y el equipo para detectar lo que está sucediendo. Básicamente, operan una red de miel o un cebo, y realmente observaron que alguien intentó explotar esta vulnerabilidad antes de que se anunciara públicamente.
Para mí, esto vuelve una vez más al mismo problema: Amazon tiene las herramientas, el capital y la experiencia para manejar estas cosas, pero hay tantos sitios web, e incluso posiblemente sitios web gubernamentales, que no tienen este nivel de atención. Por lo tanto, creo que esta es la parte realmente aterradora.
Además, hay algunos empleados de IA externos que podrían empujar este asunto hacia un estado de “preparación para el fin del mundo” de mayor nivel, porque se puede ver que los bancos podrían ser explotados, sumado a las preocupaciones sobre datos y privacidad, todo esto parece mucho más grande de lo que podemos arreglar actualmente. Por eso me gustaría ver dos cosas: primero, hasta qué punto se volverán extremos los comportamientos de las personas; y segundo, me pregunto si esto dará lugar a nuevas startups o si pasaremos a utilizar herramientas de código abierto—como las proporcionadas por empresas como Nvidia—para construir estas capas de seguridad.