Copy Fail: la IA que encontró 732 bytes para hacerse root
TL;DR
Copy Fail (CVE-2026-31431) es una escalada de privilegios local en el kernel Linux que, según los divulgadores, fue detectada por una herramienta asistida por IA (Xint Code) tras ~1 hora de escaneo. Un PoC muy pequeño (732 bytes) demuestra cómo un usuario no privilegiado puede obtener root en distribuciones con kernels desde 2017 hasta el parche. Suena a sci‑fi, pero es real y obliga a parchear ya.
¿Por qué todo el mundo habla de esto?
Porque reúne 3 ingredientes virales:
- Fue, según el informe público, “encontrado por una IA” — eso vende titulares y asusta (con razón).
- El exploit es pequeño, fiable y funciona en muchas distros sin ajustes.
- Afecta a entornos multi‑tenant y clusters de contenedores: en la práctica, si compartes kernel, estás en riesgo.
Lo fácil de entender (sin tecnicismos)
Un componente criptográfico del kernel que la gente puede usar desde userspace (AF_ALG) puede, en determinadas condiciones, permitir que un proceso sin privilegios manipule memoria en la cache de páginas y convierta eso en un root shell. No es un bug exótico de timing: es una falla lógica que, según los investigadores, no necesita trucos raros para funcionar.
¿A quién debería preocuparle esto ahora mismo?
Prioridad alta para:
- Hosts multi‑tenant, jump hosts, build servers y máquinas compartidas.
- Kubernetes y nodos de contenedor (un pod malicioso puede comprometer el nodo).
- Runners de CI/CD y entornos donde se ejecute código no confiable (GitHub Actions self‑hosted, GitLab runners, etc.).
También afecta a servidores cloud que ejecuten código de terceros (notebooks, sandboxes, serverless). Menor riesgo en laptops personales, salvo que ya tengas ejecución local de código malicioso.
¿Es cierto que lo encontró una IA?
Según Xint Code, sí: el fallo fue surfacido por un escaneo operado mediante un prompt de IA y priorizado automáticamente. La divulgación pública lo deja claro: la IA ayudó a encontrar el root cause y a generar el reporte. Eso no significa que la IA explotara el sistema por sí sola, pero sí que aceleró y priorizó el hallazgo.
¿Qué hacer ya, en lenguaje humano?
- Parchar lo antes posible. Los vendors y distros ya están distribuyendo correcciones que solucionan el problema en el kernel.
- Si no puedes parchar enseguida, deshabilita el módulo vulnerable (mitigación temporal):
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead
- Para cargas no confiables (contenedores, CI, sandboxes): bloquear la creación de sockets AF_ALG vía seccomp hasta que todas las máquinas estén parcheadas.
- Revisar si tu stack usa AF_ALG desde userspace (p. ej. OpenSSL con afalgengine) y deshabilitar ese uso temporalmente si procede.
- Monitorizar y auditar actividad sospechosa en runners y hosts compartidos.
Nota importante: existe un PoC público, pero solo debe usarse en sistemas que poseas o con autorización expresa para pruebas. No publicar ni ejecutar exploits en producción.
Frases para compartir en redes
- “Una IA encontró un exploit que convierte 732 bytes en root. Sí, en serio.”
- “Copy Fail: parchea tu kernel o asegúrate de que nadie ejecute código no confiable en tus runners.”
- “El futuro llegó: IA + fuzzing = bugs que nadie vio durante años.”
Conclusión
Copy Fail no es solo otro CVE para el changelog: es un recordatorio de que la automatización y las IAs ya están cambiando cómo se descubren fallos. Si gestionas infra compartida, parchea y mitiga ya. Si no, comparte esto con tu SRE o con quien controle los runners y los nodos del clúster — podría ahorrarte un dolor de cabeza serio.
