OpenAI propuso una respuesta coordinada para vulnerabilidades de software ampliamente utilizado, basada en dos meses de trabajo sobre fallas críticas en PHP. Los mantenedores del lenguaje dirigieron la elaboración de los parches y su divulgación, con apoyo de investigadores y proveedores de seguridad.
Según la compañía, Calif identificó una de las vulnerabilidades mediante GPT-5.6 Sol dentro de Patch the Planet, mientras Wiz detectó y reportó ambas de forma independiente. OpenAI también mencionó la participación de Cloudflare en las tareas de investigación, asistencia técnica y coordinación.
Francisco Carrasco M.
Los parches de PHP ya están disponibles
OpenAI indicó que las organizaciones usuarias de PHP deben aplicar las correcciones oficiales y revisar qué versiones mantienen instaladas. Para esa comprobación publicó una habilidad de Codex, aunque las actualizaciones correspondientes deben elegirse según las recomendaciones de PHP y sus proveedores.
Francisco Carrasco M.
El esquema contempla medidas previas a la divulgación, como adaptación de parches a versiones anteriores y reglas para firewalls de aplicaciones web. Estas protecciones provisionales pueden reducir la exposición, pero la compañía advierte que tienen límites y requieren seguimiento operativo.
OpenAI sostuvo que, hasta donde tiene conocimiento, las capacidades de IA permitieron descubrir las fallas antes que los atacantes. Al mismo tiempo, reconoció que herramientas similares pueden facilitar el desarrollo de exploits, lo que vuelve relevante coordinar los plazos de divulgación.
Julio Herrera Zúñiga
Cinco etapas para coordinar a mantenedores, proveedores y gobiernos
El marco comienza con la validación del hallazgo y las pruebas del parche, incluidas evaluaciones para detectar formas de eludirlo. Después contempla avisos anticipados a organizaciones afectadas, bajo decisiones de los mantenedores y según el tiempo necesario para preparar protecciones.
La tercera etapa incorpora agencias gubernamentales para llevar las recomendaciones a operadores de infraestructura crítica. La cuarta coordina actualizaciones de productos afectados con distribuidores y proveedores, mientras la quinta consiste en publicar las indicaciones de seguridad y apoyar su implementación.
En el caso de PHP, OpenAI señaló que se involucró a organismos estadounidenses como CISA, junto con socios internacionales. Los plazos pueden revisarse si hay explotación activa, filtraciones o un parche público que exponga detalles de la vulnerabilidad.
Admin
Acceso a herramientas y apoyo a proyectos abiertos
Como parte de sus iniciativas defensivas, OpenAI recordó su compromiso de destinar 1000 millones de dólares a subsidiar el acceso a Daybreak para organizaciones que protegen servicios esenciales y tienen recursos limitados de seguridad.
Admin
Para los mantenedores de código abierto, la compañía mencionó las suscripciones de Codex para OSS y el patrocinio a proyectos como la Fundación Rust. Patch the Planet también recibe solicitudes de apoyo técnico para abordar nuevas vulnerabilidades.
