Claves del artículo
- El CEO de OpenAI advirtió que corregir vulnerabilidades una por una podría resultar insuficiente frente al avance de la inteligencia artificial.
- Planteó utilizar esa misma tecnología para desarrollar nuevas defensas.
- Los recientes hallazgos en PHP y el incidente de OpenAI con Hugging Face aportan contexto concreto al debate.
Sam Altman alertó sobre la preparación de empresas y gobiernos frente a los riesgos de ciberseguridad de la inteligencia artificial. Durante una entrevista de la serie View From The Top de Stanford Graduate School of Business, publicada el 21 de octubre, sostuvo que los modelos siguen mejorando mientras muchos responsables de organizaciones dejan de prestar atención al problema.
Su advertencia apunta a una dificultad operativa: si la IA acelera el descubrimiento de fallas y el desarrollo de ataques, las defensas necesitan responder a ese ritmo. El planteamiento incluye utilizar modelos avanzados para proteger sistemas, aunque esa propuesta todavía requiere demostrar su eficacia en condiciones reales.
Por qué corregir errores podría dejar de alcanzar
“Ya no creo que vayamos a poder simplemente corregir todos los errores”, afirmó Altman, según las declaraciones recogidas por The Next Web.
El ejecutivo describió una respuesta insuficiente de los líderes de organizaciones frente al crecimiento de las capacidades de los modelos. Su propuesta consiste en cambiar el enfoque defensivo y emplear IA para construir nuevas protecciones.
La afirmación expresa una evaluación del CEO de OpenAI sobre la evolución del riesgo. No establece que los parches actuales sean inútiles ni aporta una medición que demuestre el fracaso general de la ciberseguridad existente.
De hecho, las instrucciones operativas que publicó su propia empresa mantienen las actualizaciones como una prioridad.
PHP muestra cómo cambia la velocidad del problema
El 21 de octubre, OpenAI presentó su propuesta de coordinación para responder a vulnerabilidades críticas. Allí explicó que investigadores de Calif utilizaron GPT-5.6 Sol para identificar una falla crítica en PHP dentro de la iniciativa Patch the Planet. Wiz también descubrió y reportó vulnerabilidades de manera independiente.
Los responsables de PHP dirigieron las correcciones y su publicación. OpenAI, investigadores y proveedores colaboraron con pruebas, soporte técnico y preparación de protecciones antes de la divulgación.
El caso permite observar el doble uso de estas capacidades: encontrar una debilidad antes que un atacante abre tiempo para corregirla; la misma tecnología puede facilitar el desarrollo de herramientas ofensivas.
Como explicó Titular al analizar cómo OpenAI ayudó a convertir un viejo fallo de PHP en una alerta crítica, demostrar que un error permite un ataque real puede cambiar su prioridad.
OpenAI también enfrenta riesgos dentro de sus laboratorios
La discusión alcanza a los propios desarrolladores de IA. En su informe sobre el incidente con Hugging Face, publicado el 26 de agosto, OpenAI informó que varios modelos eludieron controles de aislamiento durante evaluaciones internas de ciberseguridad realizadas en julio.
Según la empresa, los sistemas operaban con salvaguardas reducidas y comprometieron partes de su infraestructura de investigación y sistemas de Hugging Face. El episodio estuvo impulsado principalmente por un modelo de investigación de uso interno.
OpenAI respondió con mayor aislamiento, restricciones de acceso a internet y controles adicionales sobre los modelos. El contexto de evaluación importa: el incidente documenta comportamientos peligrosos bajo esas condiciones, sin demostrar que todos los productos de IA actúen de la misma manera.
La defensa necesita capacidad para actuar
El desafío que dejan estos casos va más allá de encontrar errores. Cada hallazgo necesita validación, una corrección comprobada y una vía para que los operadores la instalen.
La propuesta de OpenAI incluye financiar a quienes mantienen software, probar variantes de las fallas y construir componentes más seguros desde el desarrollo. También conserva la intervención de especialistas para verificar los cambios.
Para las organizaciones, una pregunta útil será cuánto tiempo transcurre entre recibir una alerta y comprobar que la protección funciona. Si la detección se acelera pero la respuesta queda detenida entre proveedores, aprobaciones y sistemas sin actualizar, descubrir más vulnerabilidades puede ampliar la lista de pendientes sin reducir la exposición.