# Cuando nada queda oculto Por El equipo de Arrenite | 2026-10-21 | 6 min de lectura Serie: La ecuación humana · Número 06 Página canónica: https://arrenite.com/es/cartas/cuando-nada-queda-oculto/ Escrita con ayuda de IA y editada por El equipo de Arrenite. Reflexión general, ofrecida tal cual, y no es asesoría profesional. Esta carta se tradujo del inglés con ayuda de IA y todavía no la ha revisado una persona nativa. Si notas un error, escríbenos a hello@arrenite.com. Las citas bíblicas son de la Reina-Valera 1909. Durante treinta años, una llave de repuesto de la puerta trasera de una casa de campo estuvo bajo la tercera maceta desde la izquierda. Toda la familia lo sabía. Nadie lo veía como un riesgo, porque la casa estaba al final de un camino largo y nadie bajaba nunca por él. Entonces el camino cambió. Imagina una patrulla que nunca se cansa, nunca duerme y casi no cuesta nada, recorriendo todos los caminos del país y probando cada maceta. La llave siempre estuvo ahí. Lo que cambió es que ahora alguien está mirando. Esa pequeña imagen describe bastante bien los últimos días en internet. ## Lo que pasó esta semana Hay que ser cuidadosos, porque todo se mueve rápido. Esto es lo que decía el registro público al 21 de octubre de 2026. El 17 de octubre, un miembro de la comunidad avisó a Mozilla de que las claves privadas de ocho certificados emitidos por una autoridad certificadora india, eMudhra, podían deducirse a partir de información pública. Una autoridad certificadora es una de las organizaciones en las que tu navegador confía para garantizar que un sitio web es quien dice ser. Un investigador informó que recuperó una clave en menos de un segundo con una computadora portátil. Una de las claves era, en la práctica, el número 4. El 21 de octubre, el proyecto PHP publicó correcciones de emergencia para dos fallos críticos. PHP funciona en una gran parte de los sitios web del mundo. Los fallos tienen que ver con lo que ocurre cuando una solicitud agota la memoria del servidor. Las empresas de seguridad Calif y Wiz los reportaron, y ambas dicen que modelos de IA ayudaron a encontrarlos, entre ellos GPT-5.6 Sol de OpenAI. Esos créditos son declaraciones de las propias empresas. Los gobiernos pidieron a los operadores que actualizaran o dejaran los sitios fuera de línea. Las estimaciones de cuántos sitios están expuestos van desde cerca de un millón hasta más de veinte millones, y un análisis sugiere que aproximadamente la mitad del PHP conectado a internet es demasiado antiguo para recibir la corrección. Un informe dice que la debilidad de fondo se señaló por primera vez en una auditoría de 2024 y luego pasó unos dos años sin resolverse. Los atacantes ya lo comentaban en foros criminales. Ninguna de las dos historias trata solo de tecnología. En ambas, un atajo o un descuido humano ordinario estuvo quieto mucho tiempo. La diferencia ahora es la rapidez con que alguien, o algo, lo nota. ## La oscuridad se cierra Durante décadas, muchísimos errores sobrevivieron por aburridos. Una clave débil, un servidor sin actualizar o una biblioteca vieja eran difíciles de encontrar a menos que alguien tuviera el tiempo y la destreza para buscarlos. La mayoría no los tenía, así que la mayoría de los errores vivieron su vida sin ser vistos. La IA cambia la economía de buscar. Un modelo puede leer todo un código fuente por el precio de un almuerzo. Quienes estudian los ataques informan que el tiempo entre que un fallo se hace público y se usa contra alguien se ha ido acortando, mientras que el tiempo que las organizaciones tardan en corregir los problemas críticos se ha mantenido más o menos igual. Las cifras difieren según la fuente, así que no imprimiremos un solo número. La dirección no está en disputa. Hay un segundo punto que es fácil pasar por alto. La misma capacidad que ayuda al defensor a encontrar el fallo ayuda al atacante a convertir la corrección en un arma. Una buena herramienta no está del lado de nadie. Es la diferencia entre capacidad y competencia que describimos en «El precio del entendimiento»: la facultad de encontrar un fallo es barata y cada vez más barata. El juicio sobre a quién avisar primero, cómo y cuándo no es barato, y ningún modelo nos lo da hecho. ## Alguien debía estar vigilando Detrás de cada sistema viejo y sin actualizar hay una persona que lo construyó una vez y siguió adelante. Muchos de los sitios que seguirán expuestos no son obra de gente descuidada. Son los bordes silenciosos del trabajo de alguien que nadie se acordó de cuidar. Es el otro lado de la idea de «Deja los bordes del campo»: los bordes de un campo hay que cuidarlos además de dejarlos. También es una cuestión de responsabilidad, el tema de «¿Quién responde cuando un agente actúa?». Cuando un modelo encuentra el fallo que se nos escapó, el hallazgo no es un defecto del carácter del modelo ni del nuestro. Simplemente repite la pregunta de siempre: ¿de quién era el trabajo de cuidar esto? Una organización honesta, o una familia honesta, puede responder con un nombre. Si nadie puede, eso es lo primero que hay que reparar. Eso es mayordomía en su forma más simple. No tiene brillo, rara vez se agradece, y sostiene todo lo demás. ## La calma es una disciplina, no un estado de ánimo Nada de esto exige angustia. Un mundo de alertas constantes puede hacer que la gente sienta que debe estar perfectamente a salvo o perfectamente asustada. La respuesta cristiana no es ninguna de las dos. No se nos pide ser impecables, y no se nos pide estar ansiosos. Se nos pide ser fieles en lo pequeño, reconocer pronto los errores y descansar. Jesús habla justo de este tipo de miedo: «¿No se venden cinco pajarillos por dos blancas? pues ni uno de ellos está olvidado delante de Dios. Y aun los cabellos de vuestra cabeza están todos contados. No temáis pues: de más estima sois que muchos pajarillos» (Lucas 12:6-7, RV 1909). Ya somos plenamente conocidos y no estamos olvidados, así que ser descubiertos es algo menor de lo que parece. El descanso es lo que olvidamos. La vigilancia constante no es lo mismo que estar atentos, y el sábado sigue en pie: un día de cada siete en que dejamos el teléfono y confiamos en que el mundo no depende de nuestra atención. Las personas cuidadosas siguen siéndolo por más tiempo cuando descansan. > **Tres pequeños hábitos para un mundo de puertas abiertas** > > 1. Lleva una lista corta de aquello de lo que eres responsable: los sitios, cuentas, dispositivos y personas que cuidas. No puedes cuidar lo que no puedes nombrar. > 2. Activa las actualizaciones automáticas donde se ofrezcan, y retira lo que ya no se pueda actualizar. Las cosas viejas que ya no cuidas suelen ser la puerta de entrada. > 3. Cuando encuentres un error, tuyo o ajeno, dilo pronto y con claridad. Confesar a tiempo es barato. Descubrirlo tarde no lo es. ## Dónde nos deja esto La llave de la casa de campo se movió, al final, y la familia no hizo ningún drama. Tampoco dejaron de dormir por las noches. Alguien simplemente escribió una lista: quién tiene llaves, dónde están, quién revisa. Llevó una tarde. Veremos más de esto, no menos. Se encontrarán más fallos, por personas y por máquinas, y algunos serán nuestros. La respuesta fiel no es esconderse mejor, sino ser de las personas que se alegran de ser encontradas a tiempo, y recordar que fuimos vistos y guardados antes de que empezara la primera búsqueda. --- *La ecuación humana* examina la inteligencia artificial, el progreso tecnológico, la economía y el sentido humano, e intenta separar lo que podemos observar, lo que razonablemente podemos esperar y lo que sigue estando en nuestras manos decidir. Esta carta es información general y no es asesoría de seguridad. ## Fuentes y lecturas adicionales - The Register, «Indian certification authority eMudhra's private keys compromised» (20 de octubre de 2026); Google Security Blog sobre los certificados intermedios de eMudhra comprometidos; avisos de Mozilla, Google y Apple. Los detalles difieren entre fuentes. - Cybersecurity Dive y CyberScoop sobre las correcciones de emergencia de PHP, CVE-2026-109618 y CVE-2026-109619 (21 de octubre de 2026); blog de investigación de Wiz sobre los mismos fallos. Los créditos a los modelos son declaraciones de las propias empresas. - VulnCheck, informe de explotación del primer semestre de 2026, resumido por CSO Online; ProjectDiscovery, «The Vulnerability Curve Bent With the AI Curve». Los métodos difieren, así que las cifras no son directamente comparables. - Lucas 12:6-7, Reina-Valera 1909. Los hechos sobre estos incidentes se describen a 21 de octubre de 2026 y pueden haber cambiado. Consulta los originales. *El equipo de Arrenite* ## Términos de esta carta - **capacidad**: Lo que una persona u organización es capaz de hacer, con las herramientas que tenga a mano. - **competencia**: La destreza y la comprensión para hacer algo bien tú mismo y para juzgar si alguien, incluso una máquina, lo ha hecho bien. - **rendición de cuentas**: Ser responsable de lo que has hecho: poder ser preguntado por qué, dar una explicación honesta y reparar el daño. Es distinta de la responsabilidad legal, que solo trata de quién paga. - **mayordomía**: Cuidar con responsabilidad algo que se te ha confiado, como el tiempo, el dinero, la creación o un don, en lugar de poseerlo por completo. - **Sabbat**: Un día regular de descanso y adoración. Tiene sus raíces en Génesis 2 y en los Diez Mandamientos, y los cristianos lo guardan de maneras y en días distintos.