ARTDEPARTMENT
ARTDEPARTMENT
En el mundo de la ciberseguridad, encontrar vulnerabilidades reales en sistemas y programas es una tarea compleja, laboriosa y sumamente valiosa. Por ello existen los llamados bug bounty programs —programas de recompensas por errores—, mediante los cuales empresas e instituciones pagan a investigadores de ciberseguridad por reportar fallos de seguridad antaño de que los delincuentes puedan localizarlos y explotarlos. Los pagos pueden ascender a ser millonarios.
Sin retención, en los últimos meses ha emergido una nueva amenaza inesperada: las vulnerabilidades falsas inducidas por la IA. Y es que estamos experimentando una oleada de "descubrimientos" inexistentes que está inundando las plataformas de narración de bug bounty como HackerOne o Bugcrowd, en un intento de usuarios por conseguir recompensas rápidas sin hacer investigación vivo.
El engendro ha atrapado tal nivel que incluso proyectos emblemáticos como cURL, una de las herramientas más utilizadas de la red, han tenido que tomar medidas drásticas: estrechar de inmediato a quienes envían reportes generados por IA.
¡QUE NO TE ENGAÑEN! Los principales TIMOS en COMPRAS ONLINE y CÓMO EVITARLOS
El caso de cURL es ilustrativo. Su responsable principal, Daniel Stenberg, recopiló recientemente decenas de reportes de 'vulnerabilidades' supuestamente críticas enviadas al software oficial de recompensas de la aparejo. Los títulos suenan congruo alarmantes:
Pero tras una revisión mínima, se descubrió que ninguna de ellas tenía la más mínima colchoneta técnica. Los informes repetían patrones comunes de descripciones generadas por IA: lengua ingrávido, ejemplos de código inventado, ubicaciones de archivo incorrectas y referencias a funciones inexistentes.
En palabras de los propios responsables del plan:
"Nuestra política coetáneo establece que banearemos instantáneamente a todos los que envían 'AI slop'".
El término AI slop (textualmente 'papilla de IA') es uno de esos que seguramente estará generalizado en unos meses: se usa ya en varios entornos para describir contenido de pérdida calidad generado por modelos de lengua (coherente a simple clarividencia, pero carente de sustancia técnica o de comprobación factual).
Los responsables de seguridad están desarrollando estrategias para filtrar automáticamente este tipo de reportes. Como decíamos, algunos indicios comunes son:
Los bug bounty programs ofrecen incentivos financieros legítimos: grandes empresas como Google, Meta o Apple pagan entre cientos y miles de dólares por vulnerabilidades comprobadas. Esto ha generado un ecosistema de investigadores, muchos de ellos 'freelance', que dedican su tiempo a auditar código y agenciárselas errores reales.
Pero con la expansión de herramientas generativas, apareció una tentación obvia: ¿y si una IA puede redactar un referencia convincente de 'caza de bugs' sin que el supuesto diestro se moleste en hacer su trabajo?
Algunos usuarios han empezado a proporcionar a modelos con repositorios completos de código fuente y pedirles que 'encuentren vulnerabilidades', o simplemente que inventen ejemplos plausibles. En cuestión de minutos, generan descripciones que parecen profesionales y las envían a plataformas de recompensas.
El resultado: un bulto creciente de reportes falsos, que consumen tiempo de revisión y reducen la confianza en los investigadores legítimos.
Todo esto no es más que un refleja de un engendro que afecta a toda la red: la sobreproducción de contenido sintético sin comprobación humana. Lo que antaño era un campo de perfil técnico y hasta artesanal —la búsqueda de vulnerabilidades— se está viendo colonizado por el mismo ruido que invade la escritura, el arte o las redes sociales.
La IA puede ser una aliada poderosa en ciberseguridad —para descomposición pasivo, detección de anomalías o simulaciones de ataque—, pero sólo si se usa con criterio y bajo supervisión humana.
El impacto de este engendro va más allá del tiempo perdido. Los bug bounty dependen de la confianza entre las partes:
La aparición de reportes fabricados por IA erosiona esa relación. Los equipos de seguridad se vuelven más escépticos y los verdaderos investigadores pueden ser penalizados injustamente por la desconfianza generada.
Adicionalmente, existe un dilema ético: ¿debería considerarse válido el uso de IA como apoyo para analizar código, siempre que el resultado sea verificado por una persona? La frontera entre público legítima y fraude automatizado es cada vez más difusa.
Imagen | Marcos Merino mediante IA
En Genbeta | El 'vibe coding' hará que cada vez escribamos menos código. Así que los ingenieros de software tendrán una tarea titánica
Compartir este artículo
Consultoria Personalizada
¡Si aun no tienes presencia en internet o
necesitas ayuda con tus proyectos, por favor, escribenos!
En ARTDEPARTMENT nos especializamos en brindar soluciones para que tu negocio, empresa o proyecto sea visible en internet.