WordPress ha lanzado una nueva iniciativa de seguridad que utiliza inteligencia artificial para identificar vulnerabilidades en su software principal antes de que los atacantes puedan aprovecharlas. Esta medida responde al incremento de reportes de seguridad, impulsado en parte por las rápidas mejoras en las herramientas de IA para el análisis de código y la investigación de fallos.

WordPress ha lanzado un nuevo esfuerzo de seguridad que utiliza inteligencia artificial para identificar vulnerabilidades en su software principal antes de que los atacantes puedan aprovecharlas.

La iniciativa surge mientras el proyecto recibe un número creciente de informes de seguridad, impulsados en parte por las rápidas mejoras en las herramientas de IA para el análisis de código y la investigación de vulnerabilidades. Durante el último año, WordPress afirmó que los informes de vulnerabilidades recibidos han aumentado sustancialmente en todo su ecosistema.

Los modelos de IA están facilitando que los investigadores de seguridad inspeccionen bases de código extensas, rastreen flujos de datos potencialmente inseguros y señalen patrones de programación riesgosos que, de otro modo, podrían pasarse por alto durante las revisiones manuales.

El aumento de los informes es positivo para la seguridad de WordPress, pero también crea un desafío operativo importante. Cada envío debe ser revisado, reproducido, validado, priorizado, corregido, probado y publicado.

WordPress utiliza IA para encontrar fallos de seguridad

Un informe puede identificar una vulnerabilidad real, un problema específico de configuración, un hallazgo duplicado o un falso positivo. El equipo de seguridad de WordPress debe separar los fallos urgentes de los problemas de menor riesgo, asegurando al mismo tiempo que los parches de seguridad no rompan millones de sitios web.

El proyecto discutió este problema durante su reunión del equipo de seguridad en el WordCamp US y ahora ha presentado la Iniciativa de Seguridad del Núcleo (Core Security Initiative).

El programa se basa en tres prioridades: mejorar el proceso de lanzamiento de seguridad, reducir la acumulación de informes abiertos y utilizar herramientas asistidas por IA para descubrir vulnerabilidades más temprano.

La primera área se centra en hacer que los lanzamientos de seguridad sean más predecibles. WordPress planea fortalecer la automatización y las pruebas de extremo a extremo en torno a las actualizaciones de seguridad para que las correcciones puedan entregarse de manera confiable.

Un mejor testeo es especialmente importante para una plataforma con un ecosistema tan amplio de temas, complementos, entornos de hosting y despliegues personalizados. Un parche debe cerrar la vulnerabilidad sin causar fallos inesperados para los propietarios de los sitios.

La segunda prioridad es reducir la cola de informes no resueltos y problemas conocidos. WordPress está añadiendo miembros al equipo y voluntarios para ayudar a revisar los hallazgos, confirmar el impacto y hacer avanzar los problemas válidos a través del proceso de remediación. El objetivo declarado es reducir el número de hallazgos de seguridad abiertos a cero.

El tercer pilar, descrito como “Aplastar vulnerabilidades con IA”, es la parte más notable del esfuerzo. WordPress tiene la intención de utilizar herramientas de escaneo y análisis asistidas por IA para identificar proactivamente debilidades de seguridad en lugar de esperar a que un investigador externo o un atacante las descubra primero.

Estas herramientas pueden ayudar a los revisores a buscar patrones vinculados a cross-site scripting, escalada de privilegios, manejo inseguro de archivos, falsificación de solicitudes del lado del servidor (SSRF) y otros riesgos comunes de aplicaciones web. Sin embargo, la IA no reemplazará a los investigadores de seguridad humanos.

Las herramientas automatizadas pueden identificar código sospechoso, pero aún se necesitan revisores expertos para verificar si un fallo es explotable, determinar su gravedad, crear un parche seguro y probar la corrección.

WordPress dijo que su trabajo con IA complementará, no reemplazará, los informes de divulgación responsable de la comunidad de seguridad. Los lanzamientos recientes de WordPress muestran por qué es importante un descubrimiento más rápido.

La versión 7.0.3 abordó múltiples problemas de seguridad, incluyendo cross-site scripting, escalada de privilegios, falsificación de solicitudes del lado del servidor, divulgación de información y fallos de inyección de CSS.

La versión 7.0.4 corrigió posteriormente un problema de ejecución remota de código autenticado que involucraba la carga de archivos maliciosos en sitios que utilizan Imagick y Ghostscript.

Se anima a los investigadores de vulnerabilidades del núcleo de WordPress a seguir reportando sus hallazgos a través del programa HackerOne del proyecto y a seguir sus pautas de reporte.

Para ti, que eres administrador de sitios web, el mensaje sigue siendo sencillo: aplica las actualizaciones de seguridad de WordPress rápidamente, mantén copias de seguridad probadas y mantén tus complementos y temas actualizados.