Què acaba de passar: una IA caçant errors a Chrome
L’empresa OpenAI ha presentat un model d’IA especialitzat en seguretat informàtica, anomenat GPT-5.6-Cyber, pensat perquè els equips defensors trobin errors abans que els atacants. Com a demostració, el van llançar contra V8, el motor que executa el codi JavaScript dins de Google Chrome.
El resultat: la IA va trobar dues vulnerabilitats desconegudes que, combinades, permetien corrompre la memòria i escapar de la "caixa de sorra" (l’aïllament de seguretat) del navegador. Els errors es van comunicar a Google de manera responsable i la companyia ja va publicar el pedaç, registrat com a CVE-2026-15903. Pots llegir-ne el detall a SecurityWeek.
La notícia importa pel que anticipa: la IA està accelerant tant la defensa com l’atac. I això converteix la ciberseguretat en una de les àrees tècniques amb més demanda de la propera dècada.
Què és un error "zero-day" (i per què fa tanta por)
Un error zero-day és una vulnerabilitat que els mateixos creadors del programa encara no coneixen. El nom ve del fet que en porten "zero dies" assabentats: no hi ha pedaç, així que si algú el descobreix i l’explota, no hi ha defensa preparada.
Per entendre-ho, imagina que el navegador és un edifici amb guàrdies que revisen cada entrada. Un zero-day és una porta del darrere que ni els guàrdies sabien que existia. El cas de Chrome és un exemple perfecte de com un descuit diminut obre aquesta porta:
- El compilador que optimitza el codi es va saltar una comprovació de seguretat en convertir un valor en un nombre enter.
- Un valor "indefinit" es va transformar així en un nombre enorme i inesperat.
- Aquest nombre es va utilitzar com a índex d’una llista (una posició dins d’una taula de dades).
- Com que el programa va creure que la posició era vàlida, no va revisar els límits i va permetre llegir o escriure en memòria que no li pertocava.
Aquest "no va revisar els límits" (en anglès, saltar-se el bounds check) és el cor de moltíssims errors greus. Un sol detall mal validat i, de sobte, un atacant pot executar el seu propi codi dins del teu navegador.
Com es cacen aquests errors: la ciberseguretat per dins
Caçar vulnerabilitats no és màgia ni intuïció: és mètode. Els professionals treballen des de dos fronts que convé distingir bé, perquè són dues maneres d’estudiar la mateixa matèria.
| Enfocament | Què fa | Exemple de tècnica |
|---|---|---|
| Equip vermell (atac ètic) | Buscar errors com ho faria un atacant, amb permís | Fuzzing: llançar milions d’entrades estranyes a veure què trenca |
| Equip blau (defensa) | Detectar, apedaçar i monitorar el sistema | Revisió de codi i anàlisi de registres d’activitat |
| Divulgació responsable | Avisar el fabricant abans de fer-ho públic | Reportar l’error i esperar el pedaç (com a Chrome) |
La tècnica estrella del cas de Chrome s’anomena fuzzing: bombardejar un programa amb entrades absurdes i automàtiques fins que un d’aquests trets revela un comportament anòmal. Abans ho feien només humans i ordinadors "a cegues"; ara la IA proposa on apuntar, i per això troba en hores el que abans trigava setmanes.
Que una IA trobi errors no deixa ningú sense feina: algú ha d’entendre l’error, confirmar que és real, valorar-ne la gravetat i coordinar el pedaç. Aquesta persona necessita bases sòlides de programació, xarxes i sistemes operatius. Just el que s’estudia a la matèria.
Com s’estudia ciberseguretat i per on començar
Amb el setembre a tocar, molta gent es planteja què estudiar. La ciberseguretat té un avantatge poc habitual: hi pots entrar per diversos camins i tots demanen el mateix de base. Un pla realista per arrencar el curs:
- Programació primer. Aprèn a llegir i escriure codi (Python és una gran porta d’entrada). Sense això, un zero-day és un jeroglífic.
- Xarxes i sistemes. Entendre com viatgen les dades i com funciona un sistema operatiu per dins. Dedica-hi almenys 3 setmanes seguides abans de tocar "hacking".
- Fonaments de seguretat. Tipus de vulnerabilitat, criptografia bàsica i bones pràctiques.
- Pràctica guiada. Reptes tipus capture the flag i laboratoris legals on trencar coses està permès; amb 4 hores a la setmana notaràs el salt.
A Espanya pots formar-te en un cicle d’FP de grau superior de Ciberseguretat, en un grau universitari d’Enginyeria Informàtica o mitjançant certificacions especialitzades. L’errada més comuna de qui comença és saltar directe a "hackejar" sense dominar la programació: s’encalla la primera setmana. La base avorrida és just la que separa qui entén un error de qui només repeteix ordres que no comprèn.
Quan val la pena un professor particular
La ciberseguretat castiga les llacunes: si no vas entendre bé els punters, la memòria o com funciona una llista per dins, els conceptes avançats se’t desmunten a sobre. Aquí és on un professor particular marca la diferència, perquè detecta exactament quina base et falta i te la reforça en hores en lloc de mesos de frustració.
A Eurekademy pots començar amb una primera classe amb 50% de descompte i sense compromís, amb professors que treballen al sector. Si t’encalla la programació, les xarxes o vols preparar l’accés a un cicle, fes un cop d’ull a les nostres classes de ciberseguretat i valorem junts per on començar. Els nostres alumnes ens valoren amb 4,8★ a Google, i aquesta base ben posada és el que converteix la curiositat d’avui en una sortida professional real demà.