¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
Las bibliotecas de IA de Meta acumulan 47 fallos zero-day publicados el 11 de noviembre por Zero Day Initiative, el programa de recompensas de TrendAI, y ninguno trae parche. Cada aviso marca 7,8 en la escala CVSS (Common Vulnerability Scoring System, el sistema común de puntuación de vulnerabilidades) y describe el mismo riesgo: ejecutar código ajeno en la máquina que abre un archivo preparado.
El reparto toca cuatro piezas de investigación muy descargadas: fairseq carga 31 avisos, FAIRChem suma 9, Detectron2 reúne 6 y fairseq2 cierra con 1. Son herramientas de código abierto que laboratorios y empresas usan para entrenar modelos, clasificar imágenes y trabajar con química computacional, y entre las cuatro juntan 70.701 estrellas en GitHub, el contador de favoritos de esa plataforma.
Cada nombre arrastra una comunidad propia. fairseq nació para traducción automática y modelos de secuencias, Detectron2 sostiene proyectos de visión artificial que detectan objetos en fotos y video, FAIRChem apunta a catálisis y materiales, y fairseq2 llegó como relevo de la primera. Son piezas de investigación, sí, pero miles de equipos las copiaron tal cual dentro de productos y servicios que hoy siguen corriendo.
Un archivo de modelo basta para entrar
El fallo vive en la carga de archivos de puntos de control, los paquetes que guardan los pesos de un modelo entrenado. Varios avisos culpan a la deserialización de datos no confiables: el programa abre el archivo con el formato pickle de Python y reconstruye objetos sin validar su origen, así que un archivo alterado puede esconder instrucciones que se ejecutan con los permisos del proceso abierto.
Zero Day Initiative lo resume con una condición clara: hace falta interacción de la víctima, que debe visitar una página maliciosa o abrir un archivo malicioso. El aviso ZDI-26-953, dedicado a FAIRChem y firmado por Mat Powell, detalla un vector local, sin privilegios previos y con daño alto en confidencialidad, integridad y disponibilidad. No es un ataque que entre solo por la red; entra disfrazado de material de trabajo.
Ese disfraz es el problema diario en los equipos de IA. Los puntos de control circulan por repositorios públicos, discos compartidos y mensajes de trabajo, y mucha gente los abre con la confianza de un documento. Un punto de control pesa a veces varios gigabytes y nadie lo revisa: se descarga, se carga y el modelo arranca. Si trae la trampa, el código corre antes del primer resultado.
El riesgo de pickle tampoco es nuevo. La documentación de Python advierte desde hace años que ese formato no sirve para datos de origen dudoso, y la comunidad empuja formatos de carga segura, como safetensors, que guardan solo los números del modelo. Que 47 avisos caigan sobre la misma raíz dice menos de un error puntual y más de una costumbre vieja en las bibliotecas de IA de Meta.
Marzo avisó, noviembre publicó
La cronología deja a Meta en mal lugar. De los 47 reportes, 43 llegaron el 26 de marzo de 2026 y 4 el 4 de marzo. La publicación salió 230 días después para el grupo grande y 252 días después para el pequeño. Zero Day Initiative pidió avances el 27 de julio y el 23 de octubre avisó a la empresa de su intención de publicar cada caso.
La respuesta registrada cambia por librería. En 32 avisos de fairseq y fairseq2, Meta contestó que el repositorio de fairseq ya no recibe mantenimiento y quedó archivado; GitHub muestra ese archivo el 20 de marzo de 2026. Un caso de Detectron2 quedó marcado como duplicado de otro, y en uno de FAIRChem la empresa comunicó el 13 de octubre que el problema no tenía impacto de seguridad ni de privacidad.
El contraste duele porque la misma casa sí corrigió rápido otro lote. Otros 17 fallos de FAIRChem, reportados el mismo 26 de marzo, quedaron cerrados en cinco días con una corrección fusionada el 31 de marzo. Esos 17 avisos salieron el 26 de octubre ya con arreglo; los 47 de noviembre salieron con la etiqueta 0Day, la marca de fallo publicado sin corrección disponible.
Publicar sin parche cierra el proceso de divulgación y abre otro riesgo: los detalles técnicos ya son públicos, en avisos que cualquier equipo puede leer, incluidos los que buscan explotar el fallo. Para las tres librerías que siguen activas, Detectron2, FAIRChem y fairseq2, los avisos no anuncian fecha de corrección, y el silencio deja a cada equipo defenderse con lo que tenga a mano.
Para quien trabaja con estas librerías, la lectura práctica es directa: un archivo de modelo se trata como un programa, no como un dato inofensivo. La mitigación que repiten los 47 avisos es seca: restringir la interacción con el producto. En palabras llanas, nada de cargar puntos de control dudosos, usar modelos ajenos en entornos aislados y planear la salida de fairseq, un repositorio archivado que no recibirá parche.
Los avisos no registran explotación activa contra estas librerías. El dato que queda es otro: fairseq, la más castigada con 31 avisos, suma 32.207 estrellas y 6.664 bifurcaciones sobre un código que su dueño ya archivó, y Detectron2 reúne 34.984 estrellas con 7.938 bifurcaciones y sigue activo. Cada copia que continúe cargando archivos ajenos sin revisión queda a merced del próximo punto de control que alguien le pase.
Fuente: Zero Day Initiative
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
