La IA ha encontrado casi mil vulnerabilidades en Linux y ya está lista para presumir
OpenAI ha anunciado que su sistema experimental basado en inteligencia artificial ha ayudado a detectar en el núcleo de Linux 948 vulnerabilidades distintas que permitían elevar privilegios. La empresa gastó más de un millón de dólares en el análisis: unos 1,21 millones en créditos de API. Parte de los problemas detectados ya se ha corregido; el resto se ha comunicado a los desarrolladores del núcleo.
Linux es un sistema operativo cuyo núcleo utilizan, entre otros, los dispositivos Android, la infraestructura en la nube y los superordenadores. El núcleo tiene más de 40 millones de líneas de código, lo que significa que los posibles puntos de ataque se esconden en las llamadas al sistema, los componentes de red, los sistemas de archivos y los controladores de dispositivos. OpenAI eligió este proyecto para comprobar si los modelos actuales de IA son capaces de buscar vulnerabilidades en un sistema de software grande e importante y mostrar hasta qué punto son peligrosas.
Para ello, la empresa creó un proceso de cinco fases: búsqueda de posibles errores, comprobación dinámica, evaluación de su explotabilidad, preparación de correcciones y revisión por especialistas. En la primera fase, los agentes de IA identificaron las partes del código importantes para la seguridad y las analizaron. En 12 horas, el sistema propuso más de 2300 posibles problemas.
A continuación, otros agentes crearon pruebas de concepto (PoC), pequeños ejemplos que muestran que una vulnerabilidad funciona de verdad, y comprobaron los candidatos. Todo el proceso duró 30 horas. El sistema consiguió reproducir 1724 hallazgos, aproximadamente el 75 % de la lista inicial. Según la valoración de OpenAI, solo alrededor del 3 % de los resultados restantes se debían a un análisis incorrecto del modelo.
Después, el sistema clasificó los problemas según los daños potenciales. Preparó 1169 exploits funcionales para la elevación local de privilegios —obtener más permisos en un ordenador al que ya se tiene acceso— y 291 PoC para demostrar filtraciones de información. Tras eliminar duplicados y falsos positivos, los investigadores contabilizaron 948 vulnerabilidades distintas de elevación de privilegios y prepararon correcciones.
OpenAI afirmó que especialistas de la empresa revisaron manualmente todos los exploits y parches generados antes de ponerse en contacto con los mantenedores del núcleo de Linux. Siguiendo las recomendaciones de la comunidad, los desarrolladores priorizaron los problemas. Según se ha informado, algunas vulnerabilidades ya se han corregido y el trabajo en las demás continúa.
Al preparar las correcciones, el modelo recibía el código fuente correspondiente e instrucciones sobre buenas prácticas: comprobar el parche con analizadores estáticos, respetar el estilo de las partes cercanas del programa y buscar errores similares para asegurarse de que la corrección fuera completa.
Sin embargo, no todos los problemas detectados eran nuevos. Cuando terminó el análisis, los mantenedores de Linux ya habían corregido 61 de las vulnerabilidades de elevación de privilegios detectadas; otras 43 ya contaban con parches preliminares. Casi 300 problemas —alrededor de un tercio— ya se habían debatido públicamente o comunicado a los desarrolladores.
El equipo también estudió 166 métodos de explotación y descubrió diez técnicas que no se habían descrito antes. Entre ellas hay manipulaciones de la memoria del núcleo, preparación de páginas de memoria para un ataque y elevación de privilegios mediante ataques que utilizan únicamente datos. OpenAI todavía no revela los detalles de estos métodos para no ayudar a los atacantes antes de que se publiquen las correcciones.
El informe describe el trabajo técnico y, al mismo tiempo, sirve de escaparate para un modelo de ciberseguridad de OpenAI aún no presentado. El documento no indica su nombre: el sistema aparece únicamente como «futuro modelo de ciberseguridad». La empresa compara el resultado con GPT 5.5-Cyber, que, según afirma, desarrolló 24 exploits para la elevación local de privilegios. Sea cual sea la valoración del tono promocional de la publicación, las cifras y las correcciones remitidas a los desarrolladores tienen relevancia práctica.
PEREC.RU
Las grandes tecnológicas llevan tiempo siguiendo un ritual muy práctico: primero lanzan una herramienta, luego le encargan que haga algo impresionante y, después, publican un informe en el que la ingeniería comparte espacio, cuidadosamente, con la publicidad. Esta vez, el escenario es el núcleo de Linux, el decorado son decenas de millones de líneas de código y el papel protagonista se lo lleva un modelo al que ni siquiera le han puesto nombre. El misterio, por supuesto, no impide que la presentación funcione.
La utilidad de una comprobación así no desaparece porque haya al lado un puesto de marketing. Si el sistema realmente ayuda a encontrar errores, verificarlos y preparar parches, los desarrolladores disponen de una herramienta más y los usuarios tienen más posibilidades de sufrir menos las consecuencias de los descuidos ajenos. Pero detectar un problema no equivale a resolverlo: hacen falta revisión humana, coordinación con los mantenedores del proyecto y publicación de las correcciones. Una vulnerabilidad no queda cerrada por aparecer en un informe, por muy espectacular que sea el gráfico.
Conviene, sobre todo, no confundir el número de candidatos con el de defectos confirmados. Los sistemas automatizados pueden rastrear rápidamente cantidades enormes de código, pero también generar ruido a toda velocidad; por eso son importantes la reproducción, el filtrado de falsos positivos y la revisión humana. De lo contrario, tendremos la conocida magia corporativa: entra la incertidumbre, sale una cifra redonda y un comunicado de prensa.
También cabe preguntarse quién se beneficia de la demostración. OpenAI gana reputación como desarrolladora de herramientas de ciberseguridad y una excusa para comparar un modelo sin nombre con otro sistema de la empresa. Los desarrolladores de Linux reciben una lista de problemas y parches, pero también más trabajo: hay que revisar cada corrección, integrarla y hacerla llegar a los usuarios. Qué casualidad que la parte más llamativa del informe promocione a la vez un producto futuro; en el sector a eso no lo llaman conflicto de intereses, sino buena elección del momento.
La prudencia al publicar los detalles de las nuevas técnicas parece razonable: revelar métodos de ataque operativos antes de corregirlos significa ayudar no solo a quienes se defienden. Sin embargo, el secretismo no debería convertirse en un escudo universal frente a la verificación independiente. Cuanto más importante sea el resultado anunciado, más necesarios son unos criterios de recuento transparentes y una explicación clara de qué problemas ya se han corregido y cuáles siguen esperando su turno.
En definitiva, no estamos ante la prueba de que la IA haya «protegido Linux» por sí sola, ni hay motivos para despachar el trabajo como un truco publicitario. El panorama es más prosaico: la búsqueda automatizada, y potente, acelera la auditoría; las personas separan lo útil del ruido, y la comunidad que mantiene el proyecto hace la parte ingrata: convertir los hallazgos en correcciones funcionales. La red neuronal puede encontrar un agujero; taparlo sigue siendo tarea de quienes responden por la casa.
