Antes de presentar ese informe de error de IA, OpenAI tiene algunos consejos.

⟫ 27/10/2026 ⟫ Greg Otto

Fuente: CyberScoop

**El Impacto de la Generación Automática de Informes de Vulnerabilidades en el Software de Código Abierto**

La inteligencia artificial (IA) ha revolucionado múltiples sectores, y la ciberseguridad no es una excepción. Sin embargo, la reciente declaración de un ejecutivo de OpenAI ha puesto de manifiesto un dilema creciente en este terreno: el aumento de informes de vulnerabilidades generados por IA que están abrumando a los mantenedores de proyectos de código abierto. Este fenómeno no solo plantea desafíos operativos, sino que también puede tener implicaciones significativas para la seguridad del software y la colaboración en la comunidad tecnológica.

Michael Aiello, ejecutivo de ciberseguridad en OpenAI, expuso esta problemática durante una sesión de preguntas y respuestas en el DataTribe Challenge celebrado en Washington D.C. Al abordar la comparación entre el programa "Patch the Planet" de OpenAI y la decisión de algunos mantenedores de código abierto de rechazar las presentaciones basadas en IA, Aiello enfatizó que la situación se ha convertido en un "problema de ecosistema." Señaló que muchos mantenedores simplemente no pueden responder a la avalancha de informes de vulnerabilidades generados por IA, que a menudo superan su capacidad de revisión.

La magnitud del problema se hace aún más evidente al contrastar la cantidad de informes generados por IA con el enfoque más coordinado de OpenAI. La empresa colabora con organizaciones de investigación en seguridad para identificar vulnerabilidades, desarrollar soluciones y ayudar a integrarlas en los proyectos afectados. Según la información disponible en su sitio web, OpenAI ha desarrollado y probado 661 parches, de los cuales 458 han sido aceptados por los mantenedores de los proyectos en cuestión.

Aiello subrayó que quienes participan en el programa "Daybreak" de OpenAI suelen coordinarse estrechamente con los mantenedores, en lugar de simplemente enviar un informe a GitHub y esperar resultados positivos. Este enfoque proactivo se vuelve crucial dado que los mantenedores se ven a menudo obligados a evaluar cientos de informes generados por IA para determinar su validez, las implicaciones de seguridad y la evaluación de las soluciones propuestas. "En la mayoría de los casos, es probable que se trate de errores reales en algún grado," explicó Aiello. La pregunta que surge es si estos errores son críticos y si valen el tiempo de los mantenedores. La frustración ha llevado a muchos de ellos a dejar de aceptar estas presentaciones.

Además, Aiello ofreció recomendaciones para aquellos que crean divulgaciones de vulnerabilidades para los mantenedores de código abierto. Sugirió que es fundamental trabajar en establecer la calidad del hallazgo, redactar un informe comprensible y destinar recursos para coordinar la divulgación una vez que se presente un informe. "Asegúrate de que sean realmente de alta calidad, que sean consumibles y legibles por una sola persona, y luego gasta tus propios recursos coordinando la divulgación de vulnerabilidades," aconsejó. "Necesitas coordinar la divulgación de vulnerabilidades en todo el ecosistema, que es en sí mismo otro proyecto."

Un ejemplo concreto de este tipo de coordinación fue el trabajo de OpenAI en relación con las vulnerabilidades recientes en PHP. Aiello indicó que una organización de investigación asociada descubrió una falla, y OpenAI trabajó con la Fundación PHP para validar el problema, desarrollar una solución y coordinar su lanzamiento. "Tienes que trabajar con los socios de respuesta y tienes que trabajar con los operadores para emitir realmente el parche," afirmó.

Este proceso implica la coordinación con un amplio grupo de organizaciones, extendiendo el trabajo desde la revisión técnica hasta la liberación del parche. Aiello reconoció que llevar a cabo todo el proceso no está exento de dificultades. "¿Salió todo perfecto? No," admitió. "Estamos aprendiendo a medida que avanzamos con esto a lo largo del tiempo."

La situación presentada por Aiello resalta un desafío crítico en la intersección de la inteligencia artificial y la ciberseguridad. La generación automática de informes de vulnerabilidades puede, en teoría, mejorar la rapidez y la eficacia en la identificación de problemas de seguridad. Sin embargo, si no se aborda adecuadamente, puede generar una sobrecarga que impida que los mantenedores de software de código abierto realicen su trabajo de manera efectiva.

Como consecuencia de estos desafíos, es esencial que tanto las empresas como los investigadores de seguridad consideren enfoques más colaborativos y estructurados para la divulgación de vulnerabilidades. La calidad de los informes es crucial, así como la disposición para trabajar juntos en la resolución de problemas. En última instancia, el futuro de la ciberseguridad dependerá de la capacidad de la comunidad tecnológica para adaptarse a las nuevas realidades que presenta la IA, optimizando la colaboración y mejorando la seguridad en el ecosistema del software de código abierto.

◢ VULNERABILIDADES ◣

Before you file that AI bug report, OpenAI has some advice

⟫ 27/10/2026 ⟫ Greg Otto

Source: CyberScoop

Even OpenAI is admitting there is a lot of AI slop in the security space. An executive for the frontier AI company said Tuesday thatAI-generated vulnerability reports are overwhelming open-source maintainers, leading some to stop accepting submissions as the workload exceeds their capacity to review them.Michael Aiello, OpenAI’s cyber executive in residence, described the problem during a question-and-answer session Tuesday at theDataTribe Challengein Washington, D.C., when he was asked how he viewedOpenAI’s Patch the Planet program versus open-source maintainers banning AI-based submissions because of concerns about quality and clarity. “It’s an ecosystem problem where that [maintainer] is just not going to respond to hundreds and hundreds of AI-submitted vulnerabilities,” Aiello said. He contrasted the volume against his company’s own program, which partners with security research organizations to identify vulnerabilities, develop fixes and help bring them into the affected projects.According to the company’s website, 661 patches have been developed and tested, with 458 of them accepted by maintainers for inclusion in the projects they oversee. However, Aiello said those involved with Daybreak often coordinate with maintainers, as opposed to just sending a message into GitHub and hoping for the best. He further described the broader burden on maintainers, who are often tasked with running through hundreds of AI-generated reports to determine validity, the security implications and evaluate the proposed fix.“In most cases, they’re likely real bugs of some degree,” he said. “It’s, ‘Are they critical bugs?’ And are they bugs worth the time of the maintainers?…The result is they’ve just stopped taking” submissions. Aiello further laid out advice for those that do create vulnerability disclosures for open-source maintainers, including more work in establishing the quality of the finding, writing an understandable report and allocating resources to coordinate disclosure once a report is filed.“Make sure they’re really high quality, make sure it’s consumable and readable by a single person, and then spend your own resources coordinating vulnerability disclosure,” he said. “You need to now coordinate the vulnerability disclosure across the whole ecosystem, which is itself another project.”Aiello used OpenAI’s workon the recent PHP vulnerabilitiesas an example of that coordination. He said a partner research organization discovered the flaw,and OpenAI worked withthe PHP Foundation to validate it, develop a fix and coordinate its release. “You have to work with response partners, and you have to work with the operators to actually issue the patch,” he said. The process involved coordinating with a broad group of organizations, extending the work from technical review through patch release. Aiello acknowledged difficulties in carrying out the entire process. “Now, did it go perfectly? No,” he said. “We’re learning as we do this over time.” The postBefore you file that AI bug report, OpenAI has some adviceappeared first onCyberScoop.

← VOLVER A CIBERSEGURIDAD