Red Hat descarta vulnerabilidades en Linux detectadas mediante IA

• Un investigador utilizó herramientas de inteligencia artificial para localizar posibles errores de seguridad en el núcleo de Linux. Sin embargo, tras analizar los hallazgos, Red Hat ha decidido detener la investigación al considerar que estos fallos no constituyen una vulnerabilidad real ni califican para obtener un código CVE.

La inteligencia artificial ya se está usando para buscar fallos de seguridad y ahora acaba de salir a la luz un ejemplo curioso con Linux. Jeremy Erazo, investigador, presentó a los responsables de seguridad de Red Hat una investigación en la que aseguraba haber encontrado una cadena de problemas en shim y GRUB2 que podía afectar a algunas de las protecciones de Secure Boot.

Con esto como base, la situación parece bastante seria. Hablaba de cuatro problemas diferentes que, juntos, podían permitir saltarse algunas comprobaciones de seguridad durante el arranque del ordenador.

El investigador incluso calificó de gravedad alta algunas situaciones que se podrían dar. Pero cuando los responsables de Red Hat revisaron el trabajo, empezaron a encontrar agujeros en la propia explicación. Uno de los desarrolladores respondió: "No creo que esto sea un CVE". Todo tiene un porqué.

Erazo cuenta que había utilizado Claude, la inteligencia artificial de Anthropic, como asistente durante la investigación. La utilizó para redactar partes del informe, plantear posibles cambios en el código y ordenar la documentación de lo encontrado. Eso sí, dejó claro que las comprobaciones importantes las hizo él mismo: revisó el código fuente, comprobó todo y ejecutó pruebas en su propio ordenador.

¿Qué fallos encontró el investigador en Linux y por qué Red Hat no los ve como un CVE?

El problema para Red Hat es que, para llegar al punto en cuestión de vulnerabilidad que le preocupa al investigador, el supuesto atacante ya tiene que tener mucho control sobre el equipo.

En uno de los escenarios que se plantean, necesita poder escribir en la partición EFI. En otro, necesita tener permisos de administrador. Y si alguien ya tiene ese nivel de acceso, es más difícil decir que está consiguiendo entrar en el sistema gracias al fallo que se está investigando.

Dicho de otra forma, si ya tienes las llaves de la casa, no necesitas buscar una ventana abierta. Eso es lo que intentaban explicar los desarrolladores. Si una persona puede escribir en las zonas necesarias del sistema o ya tiene permisos suficientes para cargar su propio código, algunas de las protecciones que el informe considera vulnerables ya no son realmente una barrera.

La IA puede encontrar fallos, pero para muchos es una pérdida de tiempo

Como ves, actualmente, los desarrolladores están usando herramientas de inteligencia artificial para crear y mejorar código, corregir errores y generar funciones a una velocidad que antes era imposible. Lo que hace unos años llevaba meses de trabajo y escritura manual, ahora se procesa en semanas.

El problema es que no todos esos resultados son útiles. Las herramientas de IA no siempre entienden el contexto completo del sistema, y muchas veces señalan posibles errores que en realidad no afectan a nadie o que ni siquiera son verdaderos problemas. Aun así, esos avisos llegan a los desarrolladores como si fueran importantes. Y aquí es donde empieza el problema de verdad.

Por otro lado, cada vez hay más personas sin tanta experiencia que directamente usan herramientas de inteligencia artificial o programas automáticos para analizar el código y buscar fallos. Sobre el papel, esto debería ser positivo, pero lo cierto es que la realidad dista bastante de esto.

La parte negativa de todo esto es que, cuando alguien envía un posible fallo al equipo del kernel, no se puede pasar por alto. Aunque venga de una IA, aunque sea poco probable que sea un problema real, alguien tiene que comprobarlo. Eso implica leer el código, analizarlo y decidir si merece la pena corregirlo o no.

De ahí que Linus Torvalds haya sido bastante claro con el uso de la IA en Linux. Si bien supone un gran avance, los fallos (y los reportes de errores erróneos) crecen. Con esto como base, a partir de ahora, el código generado con ayuda de IA no puede llevar la firma de los desarrolladores.

El creador de Linux ha explicado que no quiere desanimar a la gente a usar la IA como apoyo, pero exige que se haga con cabeza. Si un robot encuentra una línea de código sospechosa, lo verdaderamente útil no es enviar un informe rápido y apuntarse el tanto; lo que aporta valor real es analizar el problema como lo haría un humano.