Encontrar una vulnerabilidad y corregirla son trabajos distintos. La IA puede ayudar a investigadores a recorrer código y comprobar hipótesis con más rapidez, pero el informe que llega al mantenedor todavía necesita validación, una solución compatible y una forma de hacerla llegar a quienes usan el software.
El caso de PHP2Shell ilustra esa tensión. La PHP Foundation describe un problema conocido desde 2024 cuya solución quedó bloqueada por decisiones difíciles y falta de recursos. En 2026, investigadores demostraron vías concretas de ejecución remota de código con ayuda de herramientas de IA. El riesgo ya no era solo una sospecha, pero el trabajo de elegir y distribuir una corrección seguía ahí.
Un fallo difícil de cerrar
La vulnerabilidad relacionada con el límite de memoria de PHP podía dejar estructuras internas en un estado inconsistente. La fundación explica que sus responsables habían considerado varias soluciones, pero cada una tenía costes: romper compatibilidad, introducir posibles denegaciones de servicio o exigir cambios en numerosas extensiones.
Según la fundación, la falta de una vía concreta de ejecución remota conocida y el pequeño número de personas con conocimiento profundo del motor contribuyeron a que la corrección se detuviera y retomara durante meses. Una vez demostrado el impacto, el equipo priorizó la solución y publicó actualizaciones el 21 de octubre de 2026. Los detalles de los fallos y los pasos para revisar instalaciones están en el artículo sobre PHP2Shell.
La lección no es que todo código antiguo sea vulnerable ni que la IA haya creado el fallo. Es que una vulnerabilidad puede permanecer abierta cuando corregirla implica tomar decisiones que afectan a un ecosistema entero.
Más informes que revisar
La automatización también cambia el volumen de trabajo de entrada. La PHP Foundation afirma que, desde el 1 de julio de 2026, había publicado 15 CVE y revisado más de 100 informes inválidos, duplicados o que no pudo reproducir. Es una fotografía del trabajo comunicado por ese proyecto, no una tasa universal de falsos positivos de la IA.
Un aviso requiere averiguar si el problema existe, si afecta a una versión mantenida, qué condiciones permiten explotarlo y si comparte causa con otro informe. La fundación indica que usa IA para ayudar a validar y agrupar reportes, pero que una persona toma cada decisión y trabaja en cada parche. Encontrar más candidatos puede ser útil; también exige capacidad para clasificarlos sin que los informes erróneos desplacen a los urgentes.
Una prueba más fuerte
Hay trabajo para ayudar también en la corrección. Anthropic y Theorem describen un experimento en el que Claude generó demostraciones formales para propiedades concretas de código abierto. En vez de ejecutar solo un conjunto finito de entradas, la verificación formal comprueba matemáticamente una propiedad definida bajo unas hipótesis explícitas; un verificador independiente comprueba la demostración.
Los autores informan de pruebas para 239 puntos de entrada de pruebas en 123 bibliotecas. En ese experimento se analizaron binarios estáticos RISC-V de un solo hilo en Linux, con un presupuesto de memoria fijado y entradas inferiores a 64 MB. En algunos casos, Claude también propuso parches antes de generar la demostración.
Una propiedad demostrada no equivale a software libre de errores. La prueba solo cubre lo que expresa su especificación y depende de que los modelos del procesador y del sistema, así como el verificador, sean correctos. Los propios autores reconocen que no cubrieron todas las entradas de cada biblioteca y que la mayoría de despliegues reales usan otros entornos. Además, generar las pruebas puede consumir cientos de millones de tokens. Es una línea de investigación útil, no un sustituto inmediato de las pruebas y revisiones habituales.
Qué puede hacer un equipo
Para un proyecto pequeño o un homelab, la prioridad es poder actuar cuando llega un aviso relevante:
- Inventaria las dependencias y servicios expuestos. Incluye versiones reales de ejecución, imágenes de contenedor y quién mantiene cada componente.
- Define una vía de actualización. Saber reconstruir una imagen, aplicar parches del proveedor y volver atrás reduce el trabajo improvisado durante un incidente.
- Separa el informe de su confirmación. Pide versión afectada, condiciones reproducibles e impacto; agrupa duplicados sin descartar prematuramente variantes distintas.
- Reserva tiempo para revisar y probar. Una corrección debe cerrar el fallo sin romper funciones esenciales. Comprueba el servicio actualizado y conserva una vía de recuperación.
La IA puede ayudar en cada fase, pero alguien tiene que decidir qué aceptar y mantener la infraestructura necesaria para distribuir el cambio. Para proyectos de los que dependen muchas organizaciones, financiar a sus mantenedores también forma parte de esa capacidad de respuesta.