Un equipo de ciberseguridad descubre 12 vulnerabilidades en OpenSSL usando solo IA: «Los humanos estamos limitados por el tiempo, atención y trabajo»

Cada vez que escuchas la palabra de IA seguramente la relacionarás con cosas como ChatGPT de OpenAI o Gemini de Google, pues estas son las más utilizadas en ordenadores y móviles. Con ChatGPT tenemos unos 800 millones de usuarios activos semanales y Google Gemini ha sobrepasado los 300 millones de usuarios mensuales según los últimos datos de diciembre mientras que Google dice que tienen más de 650 millones de usuarios activos en total. A pesar del gran éxito de estas IA y otras similares, la inteligencia artificial tiene muchos más usos de los que crees. Por ejemplo, ahora se ha empleado un analizador autónomo con IA que ha conseguido descubrir 12 vulnerabilidades en OpenSSL y algunas existían desde hace décadas.

Con el uso de la inteligencia artificial podemos crear contenido a una velocidad que ningún ser humano puede replicar y aquí incluimos desde textos a vídeos, imágenes o hasta música. Es en textos donde más éxito ha tenido la IA al ser lo que más útil resulta para la mayoría de casos y gente. Se ha usado desde para crear emails para contestar a correos hasta escribir libros/novelas y como no, como asistente de programación.

Un analizador de código autónomo con IA descubre 12 vulnerabilidades de OpenSSL, incluyendo una que existía desde el año 1998

Hay quienes critican la IA por ofrecer resultados poco precisos y sufrir muchas alucinaciones mientras que otros la defienden por ser mejor de lo que esperaban. Si se crean herramientas con una IA entrenada para hacer una tarea como un agente autónomo, se reducen las posibilidades de equivocarse y alucinar al limitar su nivel de conocimientos. No es exactamente una IA agéntica tradicional, pero el equipo de seguridad de AISLE usaron un analizador autónomo en agosto de 2025 en un proyecto para descubrir los problemas de seguridad del código base de OpenSSL. La investigación se realizó por IA y han encontrado un total de 12 vulnerabilidades de OpenSSL que varían en distintos niveles de gravedad. Así pues:

1 de gravedad alta:

• CVE-2025-15467: Desbordamiento del búfer de pila en el análisis de CMS AuthEnvelopedData (alto): una vulnerabilidad con el potencial de permitir la ejecución remota de código en condiciones específicas

1 de gravedad media:

• CVE-2025-11187: Validación del parámetro PBMAC1 en PKCS#12 (moderado): falta de validación que podría provocar un desbordamiento del búfer basado en la pila

10 de gravedad baja:

• CVE-2025-15468: Bloqueo en el manejo del cifrado del protocolo QUIC
• CVE-2025-15469: Error de truncamiento silencioso que afecta a los algoritmos de firma poscuánticos (ML-DSA)
• CVE-2025-66199: Agotamiento de memoria a través de la compresión de certificados TLS 1.3
• CVE-2025-68160: Corrupción de memoria en el almacenamiento en búfer de línea (afecta al código desde OpenSSL 1.0.2)
• CVE-2025-69418: Fallo de cifrado en el modo OCB en rutas aceleradas por hardware
• CVE-2025-69419: Corrupción de memoria en la codificación de caracteres PKCS#12
• CVE-2025-69420: Bloqueo en la verificación de la respuesta de marca de tiempo
• CVE-2025-69421: Bloqueo en el descifrado PKCS#12
• CVE-2026-22795: Bloqueo en el análisis de PKCS#12
• CVE-2026-22796: Bloqueo en la verificación de la firma PKCS#7 (afecta al código desde OpenSSL 1.0.2)

AISLE no quiere que la IA reemplace a los humanos, pero si cree que reduce en gran medida el tiempo para buscar problemas de seguridad

Estas 12 vulnerabilidades de seguridad afectan a 8 subsistemas de OpenSSL desde CMS hasta QUIC. Lo impresionante es que algunas de estas vulnerabilidades existían desde hace años y hasta hace décadas, siendo la más antigua de 1998. Con esto quieren demostrar que la IA puede ser más efectiva que el ser humano, pues tal y como indica AISLE, los humanos estamos limitados. Nosotros tenemos limitaciones de tiempo (horario laboral o el el que le dediquemos al trabajo), capacidad de atención (no podemos estar 100% centrados durante todo el tiempo) y también nuestro rendimiento varía.

No es lo mismo haber descansado bien, estar motivado y centrado en encontrar y arreglar errores a crear una situación opuesta. También podemos estar saturados con un gran volumen de trabajo. Todo esto no afecta a la IA que trabaja con la misma velocidad y precisión 24/7 sin descansos. A pesar de esto, desde AISLE no quieren decir que la IA vaya a reemplazar por compoleto a los humanos, pues aunque tienen un sistema autónomo, han necesitado colaborar con los trabajadores de OpenSSL. De hecho, han sido estos los que tienen conocimientos sobre su código y han creado las mitigaciones a dichas vulnerabilidades. En todo caso, el mensaje que quieren dar es que usando un sistema de IA autónomo, se puede reducir drásticamente el tiempo de búsqueda y corrección de problemas de seguridad.