El navegador Chrome de Google siempre se ha centrado en impulsar las actualizaciones de seguridad. Hace una década, fue objeto de polémica que el navegador, el primero en incorporar actualizaciones automáticas, distribuyera parches cada seis semanas. Ahora es habitual que el software crítico y de uso generalizado reciba correcciones de seguridad cada pocas semanas, pero, dado que la búsqueda de vulnerabilidades mediante IA genera una avalancha de errores en todo tipo de software, la cantidad y la frecuencia de los parches se están disparando, y la carrera por lanzarlos está en pleno apogeo.
En un informe publicado el jueves, el equipo de seguridad de Chrome afirma que las dos versiones principales del navegador lanzadas en junio incluían correcciones para 1,072 errores de seguridad, más parches de los que el equipo había lanzado en las 23 versiones principales anteriores juntas. Y aunque muchos de estos errores provienen de las notificaciones de los investigadores, el aumento se ha debido en gran medida a la rápida evolución del proceso interno del equipo de seguridad de Chrome para utilizar herramientas de IA en la detección de vulnerabilidades, su clasificación y el desarrollo de parches.
«En Chrome, llevamos utilizando el aprendizaje automático, la IA antes de que se la llamara IA, para detectar vulnerabilidades y automatizar las pruebas de seguridad desde al menos 2012. Ha sido fundamental para encontrar vulnerabilidades y potenciar a los desarrolladores», explica Parisa Tabriz, vicepresidenta y directora general de Chrome, a WIRED. Añade: «Pero creo que este año es muy diferente. Realmente se siente como un punto de inflexión tanto para la ofensiva como para la defensa».
Los modelos de inteligencia artificial son tan buenos detectando vulnerabilidades que algunos expertos afirman que la industria tecnológica podría tener que replantearse cómo se construye el software.
Un año lleno de parches de seguridad
Chrome ya se está adaptando a la nueva normalidad de lanzar una actualización importante cada dos semanas, con actualizaciones de seguridad semanales adicionales. Pero la avalancha de descubrimientos de vulnerabilidades ha sido tan intensa, y el equipo ha tenido tanto éxito al incorporar nuevos modelos y capacidades de IA en el flujo de trabajo para encontrar y corregir nuevos errores, que por ahora está probando un ritmo de lanzamiento de correcciones de seguridad dos veces por semana.
«La razón por la que llegamos a esta situación es que teníamos muchas correcciones de vulnerabilidades, así que poder ofrecer dos actualizaciones por semana durante este tiempo nos pareció lo más lógico. ¿Así será de ahora en adelante? No lo sabemos», afirma Doug Turner, director de ingeniería de Chrome.
Turner, al igual que otros investigadores de seguridad, cree que esta oleada de vulnerabilidades descubiertas con ayuda de la IA, o este posible apocalipsis, según cómo se mire, podría no durar para siempre. Al menos en productos maduros y estables como Chrome, el número de nuevos fallos parece disminuir una vez que la IA ha detectado los errores más fáciles de encontrar. Esto se debe a que los modelos pueden aprender cómo ha cambiado un proyecto de software a lo largo del tiempo y utilizar ese conocimiento para localizar vulnerabilidades.
«Estamos entrenando nuestro modelo para que conozca todas las vulnerabilidades de seguridad que hemos detectado en el pasado, incluidas las registradas en CVE (Vulnerabilidades y Exposiciones Comunes), el catálogo internacional de fallos de seguridad conocidos», explica Turner.
Todo este contexto permite a las herramientas de IA centrarse en posibles puntos débiles a lo largo del enorme y complejo código base de Chrome, incluidas aquellas funciones que ya no se encuentran en fase de desarrollo activo y que quizá ya no reciban tanta atención por parte de los desarrolladores, como la impresión.
Y se vienen cambios en Chrome…
Tabriz y Turner también destacan que, además de aplicar parches para solucionar problemas puntuales, el equipo de seguridad de Chrome está muy centrado en la idea de realizar cambios estructurales en el diseño del navegador, como reescribir partes del código C++ en el lenguaje de programación Rust, más seguro y con mejor gestión de la memoria, para que el software deje de verse afectado por categorías enteras de errores comunes.
«Hay un repunte a corto plazo, pero creo que se alcanzará un nuevo equilibrio. Es fundamental que quienes desarrollan software y analizan la seguridad de estos sistemas incorporen la IA en sus flujos de trabajo. Mi mayor deseo es que todo sea más seguro, pero no doy por sentado que todo vaya a mejorar automáticamente. No es así de fácil», concluye Tabriz.
Artículo originalmente publicado en WIRED. Adaptado por Alondra Flores.
