El 21 de octubre, Fouad Matin, quien lidera los esfuerzos de OpenAI en materia de ciberseguridad y preparación ante desastres, tenía previsto pasar la noche con amigos para celebrar su cumpleaños.

En cambio, apenas había dormido dos horas mientras intentaba solucionar dos vulnerabilidades de seguridad críticas descubiertas por inteligencia artificial que amenazaban con trastocar gran parte de internet. El trabajo había involucrado a investigadores de seguridad de empresas emergentes y gigantes tecnológicos, así como a funcionarios gubernamentales estadounidenses e internacionales.

El Sr. Matin también tenía pendientes otros errores detectados por la IA que necesitaban solución. OpenAI cuenta con varios equipos dedicados a la ciberseguridad y está invirtiendo una importante capacidad de procesamiento en la detección y corrección de problemas, según indicó el Sr. Matin.

La IA “abre una verdadera caja de Pandora de vulnerabilidades”, afirmó. Añadió que las empresas de IA tienen la responsabilidad de detectar y solucionar los problemas, ya que “el verdadero objetivo es analizar y corregir la mayor cantidad posible de software del mundo ”.

En todo Silicon Valley, tecnólogos como el Sr. Matin se enfrentan a un cambio radical en la ciberseguridad. La IA ha demostrado ser tan eficaz para descubrir fallos de software que los ingenieros se encuentran ante una avalancha repentina de problemas que intentan solucionar antes de que los hackers puedan explotarlos. Las empresas están dedicando más tiempo y recursos a gestionar estas vulnerabilidades, y algunos tecnólogos están entrando en pánico.

La cantidad de fallos ha sido abrumadora. En mayo, OpenAI comenzó a utilizar su tecnología para buscar fallos en el software de código abierto, que se usa ampliamente porque es gratuito y constituye la base de gran parte de internet. Hasta el momento, según la compañía, investigadores internos y externos han utilizado sus modelos para encontrar más de 1300 errores .

En junio, Google también utilizó inteligencia artificial para detectar y corregir 1072 errores en su navegador Chrome, una cifra superior a la de los dos años anteriores. En lo que va de año, ha corregido más errores graves que en los últimos ocho años juntos. Y solo este mes, Microsoft publicó 1461 parches, más que los 1247 que emitió en todo 2025.

Probablemente esto sea solo el comienzo.

“Este es el primer goteo que está llegando, y la situación va a empeorar diez veces”, dijo Matteo Collina, director de tecnología de una empresa emergente llamada Platformatic, quien también ayuda a mantener Node.js, una herramienta gratuita para desarrolladores que utilizan empresas tecnológicas como Uber y Netflix.

Node.js ha recibido una avalancha de informes de errores y ha confirmado y corregido 50 vulnerabilidades este año, más que en cualquier otro año de su historia, según la Fundación OpenJS, la organización sin ánimo de lucro que aloja Node.js. Este mes, OpenAI se puso en contacto con el Sr. Collina para advertirle de que una vulnerabilidad que habían descubierto podría permitir a posibles atacantes acceder a sistemas en internet y robar datos.

Para hacer frente al aumento de la demanda, el Sr. Collina comentó que ha estado trabajando siete días a la semana y que cuenta con agentes de IA que trabajan en su nombre durante la noche. "Nadie sabe cómo será esta profesión en el futuro", afirmó.

(El New York Times ha demandado a OpenAI y Microsoft , alegando infracción de derechos de autor sobre contenido informativo relacionado con sistemas de IA. Ambas compañías han negado dichas acusaciones).

La búsqueda de errores informáticos fue en su día un arte humano. Los gigantes tecnológicos contrataban a investigadores de seguridad para que examinaran minuciosamente su código y creaban programas llamados "bug bounties" (premios por errores) que pagaban a los hackers éticos por revelar vulnerabilidades.

“Hace dos años, encontrar una vulnerabilidad de seguridad era algo realmente genial”, dijo Volker Dusch, ingeniero de seguridad que trabaja con la Fundación PHP, un colectivo que mantiene el lenguaje de programación PHP. El grupo reveló la semana pasada que la IA había descubierto una vulnerabilidad crítica en su código. “Ese reconocimiento social prácticamente ha desaparecido. La forma en que se valora esto está cambiando por completo”.

La IA ha superado rápidamente a los hackers humanos. Esta tecnología puede buscar fallos sin descanso, continuando su labor cuando los humanos probablemente se darían por vencidos. Además, puede buscar vulnerabilidades de forma exhaustiva, combinando numerosos fallos menores en fragmentos de código dispersos para construir un ataque peligroso.

El impacto de esta tecnología en la seguridad se hizo evidente a finales del año pasado. Los desarrolladores de software de código abierto notaron un fuerte aumento en los informes de errores. Algunos informes eran imprecisos —informes desordenados y sin comprobar sobre fallos de seguridad generados por IA—, pero otros describían amenazas significativas.

A finales de enero, un pequeño proyecto de código abierto conocido como Curl anunció que dejaría de pagar recompensas por la detección de errores, debido a la avalancha de informes. En febrero, Node.js recibió 4,6 veces más informes de lo habitual.

En abril, aumentaron los temores de un colapso de internet provocado por la IA. Anthropic anunció la creación de un modelo de IA, llamado Mythos , tan eficaz en el hackeo que no podía ser lanzado al público de forma segura. En su lugar, Anthropic otorgó acceso a un grupo selecto de empresas y gobiernos, denominado Proyecto Glasswing, para que pudieran comenzar a analizar sus sistemas en busca de vulnerabilidades y corregirlas. OpenAI y Google también desarrollaron modelos de IA centrados en la ciberseguridad y los compartieron con expertos en seguridad informática.

Sin embargo, los modelos de IA capaces de encontrar y explotar vulnerabilidades se han vuelto ampliamente accesibles. Vals AI, una empresa que evalúa el rendimiento de las tecnologías de IA, presentó recientemente a sus modelos un desafío de ciberseguridad para infiltrarse en una empresa ficticia. Según Vals AI, uno de los modelos más avanzados de OpenAI, que solo pueden usar defensores autorizados, completó el 81 % de los objetivos de la prueba. Le siguió un modelo de acceso libre de DeepSeek, una empresa emergente china, que completó el 73 % de las tareas asignadas.

La disponibilidad de una potente IA ha desatado una auténtica fiebre en Silicon Valley por encontrar y corregir vulnerabilidades antes de que los atacantes las aprovechen. Esto ha provocado que muchos puestos de trabajo en el sector tecnológico pasen de desarrollar nuevas tecnologías a defender las existentes para evitar su colapso.

En julio, investigadores de la empresa de ciberseguridad Calif centraron su atención —y sus agentes de IA— en PHP, lenguaje utilizado para construir aproximadamente el 70% de los sitios web. Descubrieron una vulnerabilidad , oculta en el código durante más de una década, que podría permitir la ejecución de código malicioso en cualquiera de esos sitios.

Los investigadores contactaron con el Sr. Dusch y con colegas de Wiz, una empresa de seguridad propiedad de Google, que habían descubierto una vulnerabilidad similar. Juntos, comenzaron a trabajar para solucionarla, en colaboración con otros miembros de OpenAI y la Fundación PHP. Los ingenieros se reunieron durante semanas en un canal secreto de Slack y mantuvieron llamadas telefónicas diarias para coordinar la reparación del problema.

Según Thai Duong, director ejecutivo de Calif, solucionar el fallo requirió modificaciones en unos 200 archivos, y lo calificó como "un parche masivo". Mientras preparaban la solución, el grupo notificó a las organizaciones que podrían ayudar a implementarla a gran escala, incluidos gobiernos y Cloudflare, una empresa de infraestructura de internet.

“Durante los últimos dos meses, he vivido con un miedo terrible a que alguien más encontrara el fallo o a que la información se filtrara antes de que todos tuvieran parches y soluciones”, dijo Matthew Prince, director ejecutivo de Cloudflare. “Durante los próximos dos años, viviremos en un estado donde, en promedio, cada semana habrá una vulnerabilidad crítica que afectará a toda la red”.

Para algunos expertos en seguridad, la reciente oleada de fallos de seguridad es un presagio de catástrofe inminente.

“Por muy mal que se hayan puesto las cosas en los últimos 4 días, van a empeorar mucho antes de mejorar”, escribió Jason Clinton, subdirector de seguridad de la información de Anthropic, en una publicación en redes sociales el 22 de octubre.

Otros ven la luz al final del túnel.

“En realidad, estamos más seguros en un mundo donde estamos descubriendo estas cosas”, dijo el Sr. Prince. “Los próximos dos años parecerán catastróficos, pero creo que saldremos de esta situación con una internet mucho más segura”.