El subdirector de ciberseguridad de Anthropic anticipa 18 meses críticos tras la crisis de PHP2Shell

La advertencia y su contexto: una crisis reciente

El mensaje de Clinton, publicado el 22 de octubre en su cuenta personal de X, no menciona expresamente ningún incidente concreto, pero llega en un momento de máxima tensión en el sector. Días antes, el 20 de octubre, comenzaron a circular los identificadores de dos vulnerabilidades críticas de PHP antes de que se publicaran sus detalles técnicos. Los fallos, conocidos conjuntamente como PHP2Shell y calificados con una gravedad de 9,2 sobre 10, podrían permitir a un atacante ejecutar código en servidores vulnerables sin autenticarse.

La urgencia fue en aumento después de la publicación de las correcciones. Amazon asegura que ya había detectado un intento de explotación el 17 de octubre, cuatro días antes de la divulgación oficial, mientras que Cloudflare, según su consejero delegado, llegó a registrar millones de intentos tras conocerse los fallos. Ante esa presión, ENISA y otros organismos europeos recomendaron aislar de las redes públicas las aplicaciones expuestas que no pudieran actualizarse inmediatamente. La urgencia también tuvo consecuencias visibles: según Reuters, administraciones europeas suspendieron temporalmente servicios digitales como medida preventiva.

La IA como acelerador del descubrimiento de fallos

Este episodio ilustra una de las grandes preocupaciones que está generando la inteligencia artificial en el ámbito de la ciberseguridad. Los modelos más avanzados pueden ayudar a encontrar fallos, analizar sus causas y desarrollar métodos para explotarlos, reduciendo el esfuerzo que requieren determinadas tareas. La PHP Foundation reconoce que los primeros indicios de uno de estos problemas se remontaban a 2024, pero las dificultades técnicas y la falta de recursos habían retrasado su corrección.

Descubrir una vulnerabilidad no significa que su solución sea inmediata: desarrollar, comprobar y desplegar parches sigue exigiendo tiempo. Anthropic ya advertía de esta situación en un documento publicado en abril de 2026 y firmado, entre otros, por el propio Clinton. Su preocupación venía de antes: en agosto había reaccionado en X a una publicación de la Agencia de Seguridad Nacional estadounidense (NSA) sobre amenazas contra controladores industriales, utilizados en infraestructuras críticas. El organismo alertaba de actividades maliciosas que recurrían a scripts generados con IA contra determinados sistemas industriales, pero fue Clinton quien dio un paso más: aseguró que se acercaba un "tsunami de vulnerabilidades" y que podría no haber tiempo suficiente para aplicar parches. Por eso reclamó aislar determinadas redes y utilizar diodos de datos, dispositivos que permiten transmitir información en una sola dirección.

La petición a los consejos de administración y el horizonte de 18 meses

La recomendación más reciente de Clinton también tiene una lectura empresarial. Cuando pide a los responsables de seguridad que acudan a sus consejos de administración, está señalando a los órganos encargados de supervisar las grandes decisiones estratégicas de una compañía. No significa que sus miembros tengan que aprobar cada gasto tecnológico, pero sí que pueden respaldar inversiones, exigir cambios y situar determinados riesgos entre las prioridades de la organización.

Otra de las claves de su advertencia está en aquello para lo que no reclama recursos: nuevas herramientas de inteligencia artificial. Su petición es reforzar las medidas de seguridad fundamentales. Hablamos, por ejemplo, de controlar quién puede acceder a los sistemas, exigir autenticación multifactor, mantener copias de seguridad recuperables y disponer de procedimientos claros para responder ante un incidente. Son medidas conocidas, pero cuya aplicación exige tiempo, personal y presupuesto.

¿Y qué tendría que suceder dentro de esos 18 meses para que las cosas empezaran a mejorar? Clinton lo explicó después en otra publicación de X con un concepto que llamó "vulnzero". Confía en que las capacidades de ciberseguridad hoy asociadas a los modelos de IA más avanzados terminen llegando a versiones mucho más pequeñas y económicas, hasta integrarse de forma generalizada en el desarrollo de software y, según su previsión, evitar que sigan llegando errores de seguridad a los productos publicados. Entretanto, las organizaciones deben tomar decisiones con los recursos disponibles y los riesgos que ya conocen, sin confiar su protección a una mejora que todavía no se ha producido.