Anthropic utilizó su modelo de inteligencia artificial Claude para revisar más de cinco millones de líneas de código en 25 proyectos de código abierto, programas cuyo funcionamiento puede ser inspeccionado por la comunidad. El hallazgo fue contundente: detectó 493 problemas de seguridad, entre ellos uno que había permanecido oculto durante más de 21 años.
La revisión incluyó proyectos escritos en C, C++, Java, PHP y Python, además de OpenSSH, una herramienta usada para conectarse de forma segura a ordenadores y servidores remotos. Claude examinó más de 17.000 opciones de configuración, de las cuales 3.842 tenían relación directa con la seguridad.
La pieza clave no fue solo buscar vulnerabilidades, fallos que pueden ser aprovechados para atacar un sistema. Anthropic intentó identificar cuánto código quedaba accesible sin necesidad, incluso antes de la autenticación, la comprobación de identidad mediante contraseña, certificado u otro método.
El mecanismo de una puerta que no debería abrirse
Claude buscó esas habitaciones digitales abiertas antes de llegar a la puerta principal. En los 11 proyectos destinados a usuarios identificados, la IA detectó funciones que podían alcanzarse sin que hicieran falta antes de validar al visitante.
También te puede interesar:Claude podría Obtener el modo de investigación multiagente con memoria y delegación de tareasEl análisis encontró 93 puntos de acceso innecesarios en las configuraciones predeterminadas. También reveló 37 casos de ejecución de código previa a la verificación de identidad y 61 combinaciones de ajustes que debilitaban controles de seguridad sin mostrar una advertencia al administrador.
Uno de los casos más reveladores surgió de dos opciones de configuración, los ajustes que indican a un programa cómo debe comportarse. Una exigía certificados para identificar al usuario. La otra debía retrasar esa comprobación, pero al combinarse con la primera terminaba anulándola por completo.
Era como instalar una cerradura de alta seguridad y, al mismo tiempo, activar un interruptor que deja el pestillo sin efecto. El programa aceptaba ambas instrucciones sin señalar el conflicto.
Además, Claude identificó 162 combinaciones cuyo comportamiento no estaba documentado. Ese cableado oculto es importante porque un administrador puede creer que protegió un sistema cuando, en realidad, dos decisiones aparentemente normales reducen sus defensas.
También te puede interesar:Claude podría Obtener el modo de investigación multiagente con memoria y delegación de tareasEl caso de OpenSSH y la reducción de exposición
En OpenSSH, Claude encontró unas 4.500 líneas de código experimental accesibles para usuarios no autenticados. Estaban vinculadas a un algoritmo de firma poscuántica, un método pensado para resistir futuros ataques de ordenadores cuánticos, aunque esa función estaba desactivada de forma predeterminada.
El problema no ofrecía una vía directa para entrar al servidor. Sin embargo, OpenSSH procesaba ciertos datos enviados por el cliente antes de comprobar si el servidor permitía usar ese algoritmo. Es decir, una parte del engranaje empezaba a moverse aunque el administrador hubiera dejado esa función apagada.
Los responsables de OpenSSH recibieron el aviso y corrigieron el problema. La versión 10.6 redujo cerca de un 20% el código accesible antes de la autenticación.
Anthropic planea incorporar esta estrategia a OSS-Scanner, su servicio gratuito de revisión de seguridad para proyectos abiertos. Claude podrá detectar configuraciones riesgosas y proponer cambios, aunque las modificaciones que alteren un programa deberán pasar por revisión humana.
La oportunidad no consiste en prometer sistemas invulnerables. Consiste en cerrar puertas, pasillos y ventanas que no necesitan estar abiertos, para que un fallo desconocido tenga menos lugares desde donde colarse.
Directora de operaciones en GptZone. IT, especializada en inteligencia artificial. Me apasiona el desarrollo de soluciones tecnológicas y disfruto compartiendo mi conocimiento a través de contenido educativo. Desde GptZone, mi enfoque está en ayudar a empresas y profesionales a integrar la IA en sus procesos de forma accesible y práctica, siempre buscando simplificar lo complejo para que cualquiera pueda aprovechar el potencial de la tecnología.
