Repasemos las últimas cinco semanas.

La noche del 11 al 12 de octubre, unos atacantes accedieron por internet a los controles de refrigeración de cientos de supermercados franceses. Alteraron las temperaturas y provocaron pérdidas de alimentos por millones de euros.

El 2 de noviembre ocurrió algo parecido en supermercados de otros países europeos. En Estonia, un congelador apareció programado a 50 grados.

El 10 de noviembre, Francia atribuyó los ataques de octubre a una unidad cibernética vinculada a la Guardia Revolucionaria iraní. La autoría de los posteriores no está igualmente esclarecida.

Pero entre ambos episodios sucedió algo todavía más interesante.

El 21 de octubre, gobiernos y empresas de diferentes países comenzaron a desconectar preventivamente páginas web.

Se habían descubierto dos vulnerabilidades críticas en PHP, una tecnología utilizada por el 68,3 % de las webs cuyo lenguaje de programación del servidor identifica W3Techs. Los fallos, conocidos como PHP2Shell, podían permitir ejecutar código en servidores vulnerables sin conocer ninguna contraseña.

Organismos y empresas de Alemania, Francia, Países Bajos y Reino Unido suspendieron temporalmente servicios. La razón era sencilla: no podían garantizar su seguridad mientras preparaban las correcciones.

Lo extraordinario es que la inteligencia artificial había participado directamente en el descubrimiento y explotación experimental de vulnerabilidades que llevaban años en el software. Calif, con Ryan Austin, y Wiz las investigaron de forma independiente.

El 5 de noviembre, OpenAI presentó GPT-6 Cyber. Sus investigadores habían utilizado el modelo para encontrar 81 vulnerabilidades graves desconocidas en Firefox y desarrollar 948 exploits funcionales de escalada local de privilegios en Linux. GPT-5.6 Sol había encontrado y explotado 166 vulnerabilidades en un escaneo anterior con el mismo sistema de investigación, sobre otra versión de desarrollo del kernel.

Más de cinco veces.

El 12 de noviembre cayó Microsoft 365. Outlook, Teams y otros servicios dejaron de funcionar correctamente en numerosos países, algunos durante más de un día.

Al día siguiente, Estados Unidos suspendió durante unas cinco horas todos los despegues nacionales por problemas en los sistemas de comunicaciones del control aéreo.

Las explicaciones oficiales de estas últimas averías apuntan a fallos técnicos, sin indicios conocidos de ciberataques.

Puede que sea una coincidencia.

Pero creo que estamos viendo algo más importante que una sucesión de incidentes.

La protección que nunca supimos que teníamos

Durante décadas, encontrar vulnerabilidades graves en un programa complejo exigía especialistas, mucho tiempo y recursos.

Eso tenía una consecuencia que quizá nunca valoramos suficientemente: millones de errores permanecían ocultos, no porque los sistemas fueran seguros, sino porque encontrarlos resultaba demasiado difícil.

La complejidad funcionaba como una protección accidental.

La inteligencia artificial está derribando esa barrera.

Los fallos descubiertos en Firefox o PHP no aparecieron este otoño. Ya estaban allí.

Lo que ha cambiado es nuestra capacidad para encontrarlos y demostrar cómo explotarlos.

Y esto altera radicalmente el equilibrio entre atacantes y defensores.

El atacante necesita descubrir una vulnerabilidad explotable. El defensor debe encontrarla, corregirla, comprobar que la corrección funciona y asegurarse de no romper el resto del sistema.

PHP2Shell ilustra perfectamente el problema.

La Fundación PHP reconoció que los primeros indicios de uno de los problemas habían aparecido en 2024. Corregirlo resultaba complicado. Había problemas de compatibilidad, recursos y organización. Desde 2024 seguía sin resolverse.

No bastaba con saber que algo podía estar mal. Había que encontrar una solución que no rompiera otras cosas. Esa era la dificultad. Y esa dificultad no desapareció cuando llegó la inteligencia artificial.

Lo que hizo la IA fue demostrar la gravedad del problema. Investigadores asistidos por estas herramientas consiguieron mostrar cómo explotarlo. Entonces comenzó una carrera internacional para instalar parches. Algunos organismos y empresas prefirieron desconectar servicios antes que arriesgarse a sufrir un ataque.

La IA contribuyó a provocar interrupciones de servicios sin necesidad de atacarlos. Bastó con descubrir que podían ser atacados.

La carrera contra el reloj

Aquí empieza mi especulación.

Tenemos infraestructuras antiguas. Sistemas que no se pueden sustituir de un día para otro. Y ahora tenemos herramientas capaces de encontrar vulnerabilidades en días.

La reacción parece evidente: correr. Instalar parches. Reconfigurar. Sustituir lo que ya no se considera seguro. Hacer cuanto antes lo que hasta ayer podía esperar.

Pero las infraestructuras no se modernizan a la velocidad a la que una IA descubre vulnerabilidades. Cada actualización implica riesgos. Cada cambio obliga a comprobar que el sistema sigue funcionando. Y la prisa no hace desaparecer ninguna de esas necesidades.

En Microsoft, el fallo se manifestó tras un cambio reciente sobre una ampliación anterior de su infraestructura de red.

Según CBS, una actualización de comunicaciones incluyó parches de seguridad. Los equipos antiguos se saturaron, según la explicación oficial del Departamento de Transporte.

No sabemos si esas modificaciones respondían a las vulnerabilidades descritas ni si se aceleraron por una amenaza. La investigación técnica de la avería aérea seguía abierta.

Mi hipótesis es precisamente esa carrera. Sistemas antiguos que necesitan cambios. Herramientas que descubren motivos para cambiarlos cada vez más deprisa. Y personas obligadas a decidir cuánto tiempo pueden permitirse para hacerlo sin romperlos.

En ese escenario, ni siquiera hace falta un atacante. Basta con que el miedo a un ataque obligue a modificar deprisa sistemas que necesitan modificarse despacio.

Para comprobarlo habría que conocer los motivos de las actualizaciones de Microsoft y de la FAA, y si hubo una urgencia defensiva detrás. Después, vigilar si aumentan los parches urgentes y se reduce el tiempo entre el descubrimiento de una vulnerabilidad y su explotación. Y comprobar si también aumentan las caídas durante las actualizaciones.

Lo preocupante es que puedo estar equivocado

Supongamos que mañana se demuestra que Microsoft y la FAA sufrieron dos accidentes completamente independientes. Ningún ataque. Ninguna actualización urgente por miedo a vulnerabilidades.

Ninguna relación.

Perfectamente posible.

Pero seguiríamos teniendo tres hechos.

Primero: alguien consiguió provocar daños físicos en cientos de supermercados europeos mediante sus sistemas informáticos.

Segundo: el descubrimiento asistido por IA de vulnerabilidades antiguas obligó a gobiernos y empresas a desconectar preventivamente servicios web.

Tercero: dos averías técnicas interrumpieron, con apenas un día de diferencia, servicios informáticos internacionales y los despegues de todo Estados Unidos.

Y todo esto ha sucedido mientras aparecen sistemas capaces de acelerar extraordinariamente el descubrimiento y la explotación de vulnerabilidades.

La combinación debería preocuparnos aunque los incidentes no estén relacionados.

Durante décadas hemos construido una sociedad dependiente de infraestructuras tecnológicas complejas, interconectadas y difíciles de modernizar.

Una parte de sus vulnerabilidades permanecía oculta porque encontrarlas era complicado.

Esa dificultad está disminuyendo.

Y nuestra capacidad para corregirlas no está aumentando necesariamente a la misma velocidad.

No creo que alguien haya coordinado todos estos acontecimientos.

Me preocupa que no haga falta nadie que los coordine.

Que estemos entrando en una época en la que las debilidades acumuladas durante décadas pueden descubrirse más deprisa de lo que sabemos repararlas.

Y que, cuando intentemos correr para cerrar esas puertas, rompamos otras cosas por el camino.

Demasiadas cosas en poco tiempo.

Quizá sea una coincidencia.

Pero lo que está cambiando no es nuestra capacidad para construir sistemas vulnerables. Eso llevamos décadas haciéndolo.

Lo que está cambiando es nuestra capacidad para encontrarlos.

Y sospecho que apenas estamos empezando a comprender las consecuencias.

Fuentes principales

Artículo de opinión. La hipótesis sobre una causa estructural común y posibles actualizaciones defensivas aceleradas es una especulación del autor. No se ha demostrado una relación causal entre los incidentes descritos.

Texto de Roberto Ortega, elaborado con asistencia editorial de IA. Las versiones noruega e inglesa son adaptaciones editoriales del original español.