Chris Wright (Red Hat): “El software de código abierto sigue siendo intrínsecamente seguro”

Las vulnerabilidades de día cero impulsadas por IA, que han acaparado los titulares, han hecho que el sector se plantee una pregunta: ¿el software de código abierto está suponiendo demasiado riesgo para las empresas? No es una pregunta baladí, dado que el código abierto representa más de las tres cuartas partes de la base de código de una empresa media. “Pero la respuesta es clara: el software de código abierto sigue siendo intrínsecamente seguro, estructuralmente resiliente y, en esencia, infalible”, afirma Chris Wright, CTO y vicepresidente sénior de Global Engineering en Red Hat.
“El código abierto -continúa- es la base de toda la tecnología moderna, no solo de la informática empresarial, y esto va mucho más allá de Linux. Los servidores de aplicaciones, las bases de datos, el enrutamiento de redes, los entornos de desarrollo y todos los demás componentes invisibles que conforman nuestro tejido tecnológico se nutren, de una forma u otra, de proyectos de código abierto”.
En pocas palabras, en opinión de Chris Wright, no existe una alternativa real al código abierto. El software propietario es lo que más se le acerca, al estar controlado y ser propiedad de una única empresa, pero “carece de la escalabilidad, variedad y ubicuidad del código abierto. Con el software propietario, el código fuente es una caja negra. Solo el proveedor decide qué se soluciona y cuándo. Cuando se descubre una vulnerabilidad, puede permanecer en secreto, conocida únicamente por los atacantes que la encontraron. Ese modelo puede dar una falsa sensación de seguridad, pero el riesgo simplemente se ha ocultado y se ha convertido en una incógnita. El software propietario permite que las vulnerabilidades se multipliquen en la sombra”.
El código abierto cambia esta dinámica al poner el código a disposición de todo el mundo, bajo la máxima de que “con los ojos suficientes, todos los errores son visibles”. Cuando cualquiera puede examinar el código, cualquiera puede detectar y reportar problemas, algo que ahora se ve enormemente potenciado por el uso de la IA para acelerar la inspección del código. Además, dado que muchas organizaciones dependen del software de código abierto, existe una gran motivación colectiva para resolver las vulnerabilidades.
“Ningún método de desarrollo de software garantiza un código perfecto, pero la naturaleza transparente y colaborativa del código abierto ofrece ventajas claras frente a los modelos propietarios a la hora de combatir las amenazas modernas”, asegura el CTO y vicepresidente sénior de Global Engineering en Red Hat. Las empresas siempre han estado, y seguirán estando, atentas a las vulnerabilidades a medida que se descubren. Lo que ha cambiado es la velocidad. El número de vulnerabilidades registradas (CVE) ha crecido más de un 520% desde 2016. Las herramientas de escaneo basadas en IA ahora descubren vulnerabilidades críticas de día cero en cuestión de horas, no de meses, y menos del 1% de las vulnerabilidades detectadas por IA han sido parcheadas. El verdadero reto actual es la capacidad operativa de las empresas para absorber y desplegar las correcciones con la suficiente rapidez.
“Este problema se ve agravado por la falta de coordinación”, afirma Chris Wright. Todas las grandes organizaciones dependen de los mismos paquetes de código abierto esenciales (como Spring Framework, Jackson, Log4j, Pandas u OpenSSL). “Sin embargo, al no haber coordinación, cada entidad detecta las mismas vulnerabilidades de manera independiente, desarrolla parches de forma aislada y mantiene bifurcaciones privadas (forks) de las que nadie más se beneficia. El resultado es una duplicidad de esfuerzos con un coste enorme y una calidad desigual, mientras que el ecosistema general sigue expuesto. Para mantener la seguridad, las organizaciones deben contribuir a los proyectos de código abierto de origen, lo que se conoce como contribución upstream, acelerar sus procesos operativos y hacerlo de manera conjunta”.