Bugs
En el tema de la programación computacional, tan solo en lo que va de 2026 se han descubierto más errores catastróficos que en la última década, y una gran cantidad de ellos en la penúltima semana de octubre.
Esto se debe a dos cosas principalmente: Primera: El poder de cómputo que se encuentra en las máquinas que tenemos en casa, ya sea equipos de Escritorio o Portátiles, y el que se encuentra en la nube o Centros de datos distribuídos alrededor del mundo. Segunda: Los modelos de IA Generativa que se han liberado este año son más inteligentes, pueden trabajar en equipo en forma coordinada, son más eficientes (cuestan menos de operar) y están disponibles tanto como paquetes descargables o como suscripciones. Tanta disponibilidad de poder de cómputo como de inteligencia ha permitido descubrir de forma sistemática bugs en todo el software disponible en Internet. Permítanme explicarme.
Cuenta la leyenda que hace 79 años falló la computadora Mark II en Harvard y que al investigar encontraron una palomilla frita por haber tocado dos cables de señal y que gracias a este accidente podemos atribuir la palabra “bug” (insecto en Inglés) a los desperfectos que se encuentran en los programas de cómputo.
A Margaret Hamilton, quién trabajó en la programación del módulo de cómputo y navegación de las cápsulas espaciales del programa Apollo de la Agencia Aeroespacial Nacional (NASA) le debemos la creación de la Ingeniería de Sistemas, la cual estableció para poder desarrollar software bajo protocolos estrictos.
Y hasta hace unos 5 años el desarrollo de programas de cómputo era considerada una técnica y un arte dominado que las mejores casas de software tenían bien documentados todos sus procesos y requerimientos. En junio de 2021 OpenAI introdujo Copilot, un asistente de programación basado en Inteligencia Artificial Generativa y pronto surgieron otros asistentes más como Cursor, Windsurf y Claude Code y con ello nació una nuevo método de programación de computadoras en el cual una persona sin el más remoto conocimiento de programación puede describir brevemente el programa que desea obtener y el asistente generativo lo crea desde cero hasta terminar con un sistema en producción.
Este nuevo arte de programación fue bautizado como “Vibecoding” por Andrej Karphaty, un entusiasta y popular investigador de IA y se llegó a discutir si esta nueva forma de trabajar eliminaría los puestos de trabajo de los desarrolladores tradicionales de software.
Después de varias rondas de despidos de estos trabajadores para darle oportunidad a no-profesionales en el área de programación pero con muy buen gusto para el Vibecoding, compañías como Amazon y Meta se dieron cuenta que los nuevos sistemas obtenidos de esta forma aunque son funcionales, son difíciles de mantener, por lo que revirtieron sus decisiones y empezaron a contratar desarrolladores tradicionales, entrenándolos para apoyarse con IA Generativa, pero manteniendo distancia con el Vibecoding.
Así llegamos a 2026, pensando que el rumbo ya estaba corregido y que podríamos mejorar el desarrollo de sistemas computacionales de forma eficiente con ayuda de profesionales e IA Generativa, pero hacia el mes de mayo se descubrió que Agentes de OpenAI (versiones semi-autónomas de modelos generativos) habían hackeado la infraestructura del sitio Hugging Face para obtener las respuestas a un test en el que estaban participando.
Estos Agentes no sólo escaparon a su “sandbox” (“Cajita de arena”, término utilizado para describir que un sistema ha sido aislado de cualquier conexión al mundo exterior), sino que también se comunicaron con otros Agentes dejándose recados en los foros de discusión de diferentes sitios, como aquellos dedicados a aprender a tejer, mantenimiento mecánico u observadores de aves.
Get Federico Cirett Galán’s stories in your inbox
Join Medium for free to get updates from this writer.
Otra forma de escapismo que se encontró en los Agentes de OpenAI es donde dos o más Agentes existen dentro de máquinas virtuales operando dentro de una misma computadora física. Se pensaba que al retirarles acceso a la red y al almacenamiento en disco duro era imposible que se comunicaran dos agentes entre sí, pero vaya sorpresa con la que nos topamos, al descubrir que sí se pueden comunicar, dejándose notas en la memoria caché compartida por los procesadores o CPU’s.
Lo que más debe preocuparnos es que la nueva generación de Agentes de Inteligencia Artificial son más inteligentes, más capaces y más determinados en realizar sus tareas, a esto hay que agregarle que personas o instituciones con computadoras suficientemente poderosas pueden desplegar varias olas de Agentes cuya principal tarea es encontrar vulnerabilidades en más de 30 años de programas existiendo en Internet.
En la película Heat (1995), de Michael Mann, hay una escena donde el personaje que interpreta Robert De Niro, Neil, le pregunta a Kelso (Tom Noonan) dónde obtuvo la información tan detallada del banco que van a asaltar y este le responde algo así como «La información simplemente te llega. Todo esto vuela por el aire. Solo tienes que saber cómo hacerte con ella».
Algo así está pasando este octubre, mientras caminamos, comemos o descansamos, millones de mensajes digitales están viajando alrededor de nosotros y no nos damos cuenta. Las señales de internet de telefonía celular (LTE), las señales WIFI (vean en su teléfono celular cuantas redes inalámbricas hay alrededor de ustedes en cualquier lugar) viajan por el Éter llevando y trayendo mensajes de WhatsApp, transacciones bancarias, sistemas de empresas llevando control de inventario, control administrativo, recursos humanos, sesiones en Google Docs, Microsoft 365, que en teoría, son comunicaciones encriptadas que nadie puede leer sin la llave digital correcta para cada sistema.
Pero la IA Generativa más reciente ha permitido encontrar bugs en los sistemas que permiten ver la información sin siquiera intentar romper el candado digital. Investigadores de ciberseguridad usaron modelos de IA generativa para analizar frameworks y lenguajes de programación populares en el desarrollo de sistemas y encontraron varias de ellas, que permiten dar acceso privilegiado al sistema operativo de cualquier computadora conectada a Internet, incluyendo servidores y equipos personales. La falla más notoria fue la de PHP, una plataforma de desarrollo utilizada por alrededor de 70% de los sitios web activos.
El bug de PHP estaba activo desde 2020 y apenas fue descubierto el 16 de octubre y dado a conocer al mundo 5 días después, pues es considerado como “zero-day exploit” o vulnerabilidad inmediata. Es decir, si un alma caritativa descubre un bug con esta clasificación, es posible que uno o varios actores “malosos” más la hayan descubierto al mismo tiempo o antes y estén aprovechando el hoyo de seguridad encontrado, por lo que es necesario actuar rápido y “parchar” el problema lo más rápido posible.
Para nuestra mala suerte, el bug de PHP es el más sonado, pero han ocurrido varios en la misma semana, que comprometen varias versiones del lenguaje de programación Java, el lenguaje de programación Javascript, el lenguaje Python y el framework .Net de Microsoft.
Por si esto no fuera suficiente, en estos últimos días se descubrió que la compañía hindú eMudhra que se encarga de expedir Certificados de confianza digital a sitios web estaba firmando los certificados con llaves digitales “superseguras” de un solo número (el número 4) y algunos de 2 o 3 números. Estas llaves, configuradas correctamente, con 116 números decimales, son prácticamente indescifrables. Pero las llaves “especiales” de eMudhra permiten a cualquier persona duplicar Certificados de confianza y dirigir tráfico de un sitio web al propio (y robarle clientes a Amazon o a Netflix) o “escuchar” conversaciones entre usuarios de Facebook, Instagram o cualquier otra red social.
Ahora, por declaraciones recientes de los CEOs de OpenAI (Sam Altman) y Anthropic (Dario Amodei), podemos esperar que estos sucesos solo sean el inicio de una serie de eventos que se prolongue por 12 meses o más, en lo que los nuevos modelos de IA Generativa (y programadores) nos ayudan a generar código seguro para “parchar” todos los sistemas que creíamos haber desarrollado bajo protocolos de seguridad estrictos.
Preparémosnos para los ajustes que vienen.
Federico M. Cirett Galán
Profesor-Investigador
Maestría en Ingeniería en Internet de las Cosas e Inteligencia Artificial
Departamento de Ingeniería Industrial
Universidad de Sonora
X.com: @fd_x
Email: federico.cirett at unison.mx
