Si tus webs funcionan con PHP, lo primero que hay que hacer con esta noticia es aplicar los parches. OpenAI dice que ha pasado dos meses al frente de una coalición de responsables de proyectos, investigadores y proveedores de seguridad para corregir vulnerabilidades críticas en el lenguaje que sostiene una gran parte de la web. La empresa de seguridad Calif encontró un fallo con GPT-5.6 Sol dentro de la iniciativa Patch the Planet de OpenAI; Wiz descubrió y comunicó ambos por su cuenta. Los responsables de PHP dirigieron las correcciones y la publicación, y OpenAI lo considera uno de los problemas de seguridad más graves de los últimos tiempos.
La aportación práctica de OpenAI es un comprobador de versiones de PHP publicado como skill de Codex, que ayuda a los operadores a saber si sus versiones están afectadas y qué actualizaciones les corresponden. Entre bastidores, dice haber ayudado a probar las correcciones, a coordinar protecciones con proveedores de alojamiento e infraestructura y a informar a partes del Gobierno de Estados Unidos, como la Office of the National Cyber Director. También se ha comprometido a dedicar 1.000 millones de dólares a acceso subvencionado a Daybreak, su programa de modelos con capacidades de ciberseguridad, dirigido a organizaciones con pocos recursos que protegen servicios esenciales.
La parte más amplia del anuncio es una propuesta de marco para gestionar fallos críticos hallados por IA. Tiene cinco etapas: validar y corregir el fallo en el origen, con pruebas adversarias del parche usando modelos de frontera; dar tiempo a las organizaciones afectadas para prepararse; coordinarse con socios gubernamentales; preparar actualizaciones en los productos afectados; y publicar orientación cuando exista un parche. Los responsables del proyecto deciden a quién se avisa con antelación, y el calendario se revisa si aparecen explotación, filtraciones o un parche público que delate el fallo. OpenAI espera que hallazgos así aumenten mucho en los próximos meses.
La lógica es sólida. Cuando los modelos encuentran fallos graves más deprisa de lo que pequeños equipos voluntarios pueden corregirlos, la divulgación necesita más estructura, y esto coincide con lo que Anthropic y otros han descrito en su propio trabajo reciente de seguridad.
La cuestión de gobernanza es más difícil. Una empresa que vende los modelos que encuentran los fallos propone ahora coordinar quién se entera y cuándo, y además decide quién recibe acceso subvencionado a esos modelos. OpenAI pide opiniones y admite que sus propios clasificadores de bloqueo pueden estorbar el trabajo legítimo de seguridad. El marco tendría más peso si lo gestionara un organismo neutral, como un CERT o una fundación de código abierto, y no un proveedor, y la comunidad de seguridad hace bien en insistir en ello antes de adoptarlo.