Hoy el peligro real de la IA no es Terminator: es tu historial médico

El 21 de octubre, la empresa de ciberseguridad CrowdStrike informó que un atacante había usado agentes de inteligencia artificial para entrar en los sistemas de al menos 15 entidades de salud argentinas. De una de ellas, como mínimo, se llevó historias clínicas. ¿Cómo terminan las herramientas que usamos para trabajar participando en el robo de nuestros datos médicos?En este caso, alguien las puso a ejecutar un plan de ataque. La escena tiene poco de Terminator: hubo programas con fallas, descuidos de seguridad y un delincuente que supo aprovecharlos. La IA le permitió delegar parte del trabajo.Otra noticia de esa semana ayuda a entender el problema de fondo. Amazon detectó, cuatro días antes de que saliera el arreglo, un intento de ataque contra una falla de PHP, un lenguaje que usan muchísimos sitios web. Son casos distintos: CrowdStrike no vincula los ataques en Argentina con PHP. Pero, juntos, muestran cómo la IA puede ayudar tanto a encontrar fallas como a aprovecharlas, mientras corregirlas sigue llevando tiempo.Una falla escondida durante 14 añosPHP funciona como el motor que arma las páginas de una web cuando las visitamos. Lo usa WordPress y está presente en cerca de siete de cada 10 sitios cuyo lenguaje de servidor se conoce. Ese número mide su popularidad; no significa que todos ellos sean vulnerables.El problema se parece al de una cerradura con un defecto de fábrica instalada en muchos edificios. Aunque cada portero haga bien su trabajo, la cerradura necesita una reparación. En PHP, el defecto estaba en la manera de administrar la memoria: bajo ciertas condiciones, el programa podía dar por válidos datos incompletos y permitir que un desconocido ejecutara órdenes en el servidor sin contraseña.El problema combinaba, en realidad, dos fallas, que se conocieron en octubre como PHP2Shell. Según Calif, la firma que las descubrió primero, la parte afectada más antigua del código viene de 2012. Llevaba unos 14 años ahí.Encontrar el error lleva días; corregirlo puede llevar mesesRyan Austin, investigador de Calif, empezó a revisar PHP a fines de julio y tuvo el primer hallazgo el 1 de agosto, dos días después. Trabajó con IA dentro de una iniciativa de OpenAI para buscar y corregir fallas en software de código abierto. La herramienta revisaba el código; él orientaba la búsqueda.El arreglo tardó bastante más.