Durante los dos últimos años, el proyecto curl, un programa libre utilizado por millones de sistemas para transferir datos a través de internet, se ha visto inundado de informes falsos generados por modelos de inteligencia artificial. Los técnicos que mantienen el proyecto, entre ellos su creador Daniel Stenberg, se vieron obligados incluso a publicar advertencias pidiendo a los cazadores de recompensas digitales que dejaran de enviar errores inexistentes.
Sin embargo, la historia ha dado un giro inesperado. En septiembre, el investigador de seguridad Joshua Rogers, desde Polonia, decidió probar una serie de herramientas de análisis basadas en IA. Su objetivo: encontrar vulnerabilidades reales en proyectos de código abierto. Contra todo pronóstico, sus resultados fueron tan buenos que sorprendieron incluso a los propios desarrolladores de curl.
“En realidad, hallazgos verdaderamente impresionantes”, escribió Stenberg en su cuenta de Mastodon al recibir los informes.
De los informes basura al código mejorado
Stenberg explicó después, en una actualización de la lista de correo del proyecto, que la mayoría de los hallazgos eran pequeños errores detectados al estilo de los analizadores de código estático. Pero también admitió que algunos de ellos fueron descubrimientos “bastante impresionantes”. Entre los fallos corregidos estaba una lectura fuera de los límites de memoria en la función Kerberos5 FTP, que aunque no representaba una vulnerabilidad grave, sí fue solucionada.
Según el propio Stenberg, unas 50 correcciones de errores se integraron en el proyecto gracias a los informes de Rogers. “Esto demuestra que la inteligencia artificial puede usarse para bien. Las herramientas poderosas en manos de una persona inteligente siempre son una buena combinación”, afirmó en un correo al medio británico The Register.
El desarrollador añadió que su opinión sobre la IA no ha cambiado mucho, salvo por el reconocimiento de que “existen herramientas de análisis con inteligencia artificial realmente buenas”. Pero también recalcó que esta experiencia sirve para resaltar “lo absurdos que son los informes que seguimos recibiendo de los usuarios más ingenuos”.
Cuando la IA se usa con cabeza
El caso de Rogers muestra una lección fundamental: la tecnología no es el problema, sino su uso. Rogers empleó cinco herramientas impulsadas por IA (Almanax, Corgea, ZeroPath, Gecko y Amplify) para analizar proyectos de código abierto. En su evaluación, reconoció que todas fueron capaces de encontrar vulnerabilidades reales, algo que no se veía desde la popularización del método fuzzing en 2013.
El investigador destacó especialmente a ZeroPath, que calificó de “intimidantemente buena”. En sus propias palabras: “En el análisis de software libre, encontró cientos de vulnerabilidades reales en programas críticos como sudo, libwebm, Next.js, Avahi, hostap, curl y Squid. Sí, ¡finalmente la IA encontró errores reales en curl!”.
Incluso grandes actores del sector, como el proyecto OSS-Fuzz de Google, habían reconocido que la búsqueda de fallos asistida por IA era eficaz, pero esta vez la confirmación vino desde un investigador independiente y no desde una gran corporación tecnológica.
Los límites siguen estando en las personas
No obstante, Rogers también advirtió que las herramientas tienen limitaciones. Ninguna de las cinco fue capaz de detectar un fallo de bucle infinito ya conocido en el paquete image-size de npm, un error que seguía sin corregirse meses después de haberse reportado. Según el investigador, este caso demuestra que los problemas no son tecnológicos, sino humanos: alguien debe aplicar el parche y verificarlo.
El mensaje de fondo es claro: la inteligencia artificial puede ser una aliada formidable si se usa con conocimiento y responsabilidad humana. En cambio, cuando se utiliza sin criterio o para inflar recompensas, se convierte en un estorbo.
El propio Stenberg resume la moraleja de esta historia en una frase sencilla: “Las herramientas potentes en manos de personas inteligentes siempre han sido una buena combinación.”
Un nuevo horizonte para el código abierto
El episodio de curl podría marcar un antes y un después para la comunidad de código abierto. Hasta ahora, muchos desarrolladores veían las herramientas de IA con desconfianza por la cantidad de información falsa que generaban. Sin embargo, los hallazgos de Rogers demuestran que, con supervisión humana, estas tecnologías pueden acelerar la detección de fallos, mejorar la calidad del software y reforzar la seguridad digital.
En un contexto donde la inteligencia artificial se integra cada vez más en los procesos creativos, industriales y científicos, el caso de curl recuerda una verdad esencial: la IA no sustituye la inteligencia humana, la amplifica.
