La comunidad de investigadores que trabaja con la IA de OpenAI a través de Daybreak ha encontrado 1,995 vulnerabilidades en la iniciativa Patch the Planet. De ellas, 1,316 seguían pendientes de parche, según un reportaje de Forbes publicado el 23 de octubre de 2026. El balance permite medir la distancia entre localizar un fallo y conseguir que su corrección proteja a quienes usan el software.
Casi dos tercios de los hallazgos seguían sin parche en ese recuento. Daybreak facilita acceso a modelos para trabajos de ciberseguridad autorizados; Patch the Planet es la iniciativa que OpenAI fundó con Trail of Bits para ayudar a los responsables de proyectos de código abierto a investigar problemas, probar correcciones y coordinar su publicación.
Dos niveles de acceso para investigar sistemas autorizados
Daybreak Blue reduce los rechazos de los modelos generales compatibles ante tareas defensivas verificadas, como revisar código, analizar alertas o validar un parche. Daybreak Red añade acceso a modelos especializados en ciberseguridad y exige una aprobación independiente, con verificaciones y controles más estrictos.
La documentación vigente de OpenAI mantiene las políticas de uso y otras salvaguardas en ambos niveles. El trabajo debe limitarse a sistemas propios, administrados por el participante o para los que exista autorización expresa. La distinción importa porque el programa adapta los controles a investigaciones legítimas, conservando restricciones contra el abuso.
Block, la empresa de Cash App, está entre los primeros clientes de Daybreak Red, según Forbes. Su responsable de seguridad, James Nettesheim, explicó al medio que algunas tareas que antes ocupaban días o semanas a su equipo ahora pueden resolverse en unas pocas horas.
PHP2Shell muestra cuánto trabajo hay después del hallazgo
OpenAI informó el 21 de octubre que Calif identificó un fallo crítico de PHP con GPT-5.6 Sol dentro de Patch the Planet. Wiz descubrió y reportó ambas vulnerabilidades de forma independiente. Los responsables de PHP dirigieron las correcciones y su publicación, con apoyo de los investigadores y proveedores de infraestructura.
Conocidas como PHP2Shell, las dos vulnerabilidades podían permitir que un atacante ejecutara código a distancia en servidores afectados, bajo determinadas condiciones. La PHP Foundation confirmó que las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12, publicadas el 21 de octubre, incorporaban las correcciones.
La fundación también explicó que los primeros indicios de uno de los problemas se habían encontrado en 2024. Resolverlo implicaba elegir entre cambios que podían romper compatibilidad, afectar el rendimiento o exigir adaptaciones de extensiones. La falta de recursos y las dificultades para decidir retrasaron el arreglo. Cuando Calif demostró la ejecución remota de código en agosto de 2026, corregirlo pasó a ser la prioridad del equipo de seguridad financiado por la fundación.
La coordinación tuvo, además, un límite temporal. Amazon identificó en sus sistemas de señuelo MadPot un intento de explotación del 17 de octubre, cuatro días antes de la divulgación de los detalles. La compañía dijo que desconocía cómo había obtenido esa información el actor y que seguía investigando si los intentos habrían funcionado contra sistemas reales.
Los parches también necesitan pasar pruebas
Trail of Bits publicó el 21 de octubre una revisión de más de 130 cambios que sus ingenieros habían elaborado con ayuda de agentes y que los proyectos habían incorporado. Confirmó 21 regresiones, es decir, defectos nuevos introducidos al modificar un comportamiento que funcionaba: 16 funcionales, una de rendimiento y cuatro de compilación o pruebas. Ninguna rompió una protección de seguridad.
La comprobación también generó trabajo adicional. En una ejecución, los agentes señalaron 58 posibles regresiones; 21 quedaron confirmadas tras la revisión. La firma respondió con herramientas para estandarizar la elaboración de parches y exigir pruebas reproducibles antes de dar un problema por demostrado.
Estos datos describen dos dificultades distintas. El recuento de Patch the Planet mide los hallazgos que aún necesitan una corrección; la auditoría de Trail of Bits examina la calidad de cambios ya incorporados. Juntos muestran por qué acelerar la detección obliga a dedicar capacidad a comprobar los arreglos y distribuirlos.
La Electronic Frontier Foundation pide que las empresas aporten dinero y personal al mantenimiento del código abierto del que dependen. En PHP, la fundación señala que la IA ayuda a revisar y agrupar reportes, mientras que el equipo humano conserva las decisiones y trabaja en cada parche.
