La IA encontró una vulnerabilidad crítica en servidores de archivos y ya está siendo explotada por atacantes
Un sistema de IA detectó un error criptográfico fundamental en un software de servidor de archivos muy utilizado, que revisores humanos habían pasado por alto. Es un avance para la investigación automatizada en seguridad. Sin embargo, pese a que se publicó un parche con rapidez, los atacantes han empezado a explotar activamente la vulnerabilidad contra servidores que no se han actualizado. El caso pone de relieve un dilema conocido: un fallo conocido que no se corrige es una invitación abierta para quien quiera entrar.
Cuando la IA es más rápida que el administrador de sistemas
En junio de este año, la empresa de seguridad Horizon3.ai hizo algo notable: permitió que el modelo de IA Mythos, de Anthropic, analizara el código fuente de Rejetto HTTP File Server (HFS), una popular herramienta de código abierto para compartir archivos en redes. El modelo utilizó un razonamiento matemático avanzado y encontró un error criptográfico fundamental que los revisores humanos habían pasado por alto.
La vulnerabilidad, registrada como CVE-2026-61500 con una gravedad de 9,3 sobre 10, tiene que ver con la forma en que el software genera las cookies de sesión durante el inicio de sesión. HFS utiliza la función de JavaScript Math.random(), que parece inofensiva, pero en la práctica se basa en el algoritmo xorshift128+, cuya salida es matemáticamente reversible. Un atacante que recopile unas pocas respuestas de inicio de sesión puede calcular hacia atrás, reconstruir el valor secreto de la clave de firma y falsificar cookies de administrador válidas. El resultado: control total del servidor, sin necesidad de credenciales válidas.
Es un ataque elegante y perturbador, exactamente el tipo de cadena lógica que los modelos de IA con un razonamiento matemático sólido están especialmente capacitados para encontrar.
De un hallazgo de seguridad a la explotación activa
Rejetto actuó con rapidez. La versión 3.2.1, con las correcciones de seguridad necesarias, se publicó el 13 de julio. Pero, como sabe cualquiera que haya trabajado en seguridad, que exista una actualización no equivale a que esté instalada.
El 2 de octubre, la empresa de seguridad VulnCheck informó, según SecurityWeek, de que habían comenzado ataques activos contra instalaciones vulnerables. Los intentos parecen proceder de una única dirección IP, lo que puede indicar un solo actor de amenazas o un ataque más coordinado que oculta su verdadero alcance. Sea como sea, la brecha que encontró la IA se está explotando ahora en el mundo real, contra sistemas que no han tenido tiempo —o no han priorizado— actualizarse.
Este es el clásico problema de la ventana de tiempo en la ciberseguridad, ahora con una nueva dimensión. Cuando la IA puede encontrar vulnerabilidades más rápido y de forma más sistemática que los revisores humanos, se reduce el intervalo en el que una vulnerabilidad es conocida pero aún no ha sido explotada. Esto exige con más fuerza que toda la cadena, desde el hallazgo de seguridad hasta la actualización implementada, avance al mismo ritmo.
El sector sanitario paga un precio elevado
Al mismo tiempo, una decisión legislativa al otro lado del Atlántico muestra lo graves que pueden llegar a ser las consecuencias cuando la ciberseguridad falla de verdad. El Senado de Estados Unidos ha aprobado por unanimidad la Health Care Cybersecurity and Resilience Act, una ley bipartidista que busca que el sector sanitario sea más resistente a los ciberataques, según informa SecurityWeek.
Los antecedentes son sombríos. El año pasado, más de 270 millones de estadounidenses se vieron afectados por más de 730 brechas de datos en el sector sanitario, con un coste medio de 10 millones de dólares por brecha. El ataque contra Ascension en 2024 dejó fuera de servicio los sistemas de historiales clínicos en once estados. La intrusión en Change Healthcare expuso datos de unos 190 millones de personas.
El sector sanitario es un objetivo muy atractivo para los grupos de extorsión que practican la llamada doble extorsión: cifran los datos y amenazan con filtrarlos. Los centros sanitarios quedan atrapados entre la espada y la pared, desde el punto de vista moral y operativo: las autoridades desaconsejan pagar los rescates, pero las organizaciones deben sopesar ese consejo frente al riesgo de que los pacientes resulten perjudicados cuando los sistemas están caídos.
La nueva ley incluye fondos para el trabajo preventivo, la gestión de crisis y la formación en rutinas de seguridad, y ahora pasa a la Cámara de Representantes.
La misma moneda, dos caras
Estas dos noticias están conectadas en un plano más profundo. Las herramientas de seguridad impulsadas por IA, como Mythos, representan una enorme oportunidad: un análisis de vulnerabilidades sistemático y escalable que puede encontrar errores que los revisores humanos pasan por alto. Es justo lo que necesitamos, especialmente en sectores como el sanitario, donde las consecuencias de una intrusión pueden ser directamente vitales.
Pero la misma tecnología que encuentra las brechas puede, en las manos equivocadas, usarse para encontrarlas aún más rápido y con mayor precisión. La espada de doble filo es real. La cuestión no es si debemos usar la IA en el trabajo de seguridad, pues ya estamos convencidos de que debemos hacerlo, sino cómo construimos los procesos y el ritmo necesarios para que el beneficio sea mayor que el riesgo.