Sony ha otorgado la máxima recompensa de su programa de detección de fallos, 50.000 dólares, a un hacker que descubrió una vulnerabilidad crítica en el hipervisor de PlayStation 5. Este hallazgo, facilitado por el uso de inteligencia artificial, ha provocado una fuerte polémica en la comunidad hacker, especialmente por la forma en que se reportó el fallo, frustrando los planes de otros investigadores que buscaban una divulgación diferente.
Sony ha desembolsado 50.000 dólares a un hacker, la cifra más alta de su programa de recompensas por descubrir fallos en PlayStation 5. Sin embargo, esta cantidad podría parecer insuficiente dada la magnitud de la vulnerabilidad encontrada, la cual comprometía la seguridad a bajo nivel de la consola. El hacker, además de obtener la recompensa, ha generado una considerable antipatía dentro de la comunidad de seguridad, en una historia que se describe como una traición entre hackers.
El hacker en cuestión, conocido como Jordy o 2tonejordy, reportó el fallo a través de la plataforma de Sony dedicada a la caza de bugs. El 14 de octubre, Jordy publicó en X (anteriormente Twitter) una captura de pantalla del pago, acompañada de un comentario jocoso sobre la compra de 'GTA VI'. Según Dexerto, solo otra persona había recibido una suma similar en los últimos años, lo que subraya la criticidad de la vulnerabilidad detectada: la explotación del hipervisor de PS5.
El hipervisor es una capa de software fundamental que aísla el sistema operativo de la consola del hardware, controlando qué código puede ejecutarse. Actúa como la última defensa para evitar que un programa no autorizado por Sony interactúe directamente con el procesador. Burlar el hipervisor abre la puerta a la modificación de la PS5, una actividad que ya se está llevando a cabo a una velocidad considerable, impulsada tanto por las recientes decisiones de Sony que algunos consideran anticonsumidor, como por la eficiencia que las herramientas de inteligencia artificial aportan al desarrollo de código y la ingeniería inversa.
Previamente, a principios de este año, Andy Nguyen, un experto en seguridad de Google, utilizó una vulnerabilidad similar para instalar Linux en una PS5. Nguyen demostró la ejecución de Linux en la consola, incluso corriendo 'GTA V' con trazado de rayos activo, y posteriormente compartió el proyecto en GitHub. Esta modificación era temporal, requiriendo su repetición en cada arranque y una consola con un firmware antiguo. La ventaja era poder tener una PS5 con Linux, manteniendo la funcionalidad de una PS5 normal cuando no se ejecutaba la modificación, ofreciendo lo mejor de un PC y una consola en un solo dispositivo.
Nguyen mantenía en reserva otro fallo del hipervisor que Sony no había corregido en las actualizaciones recientes. Su intención era ampliar la compatibilidad de Linux a firmwares más actuales y a modelos como la PS5 Pro, planeando liberar esta información después del lanzamiento de 'GTA VI'. El espíritu de este tipo de hacking es, en parte, demostrar habilidades de programación a uno mismo y a la comunidad. Nguyen quería esperar hasta 2027, tras el lanzamiento del juego de Rockstar, para que los usuarios pudieran adquirirlo legalmente. La idea era que los jugadores pudieran actualizar su consola para disfrutar de 'GTA VI' de forma legal, manteniendo al mismo tiempo la opción de transformar temporalmente la máquina en un sistema Linux, ya que Sony no habría parcheado el error.
La controversia surgió cuando Jordy informó a Sony sobre la vulnerabilidad, asegurando así la recompensa. Según Tom's Hardware, cuando Jordy anunció haber encontrado el fallo, Nguyen le propuso esperar unos días antes de enviar el reporte a Sony. Sin embargo, el informe llegó a la compañía en menos de 24 horas.
Jordy se defendió, según IGN, argumentando que otros investigadores también estaban utilizando IA para encontrar estos fallos y que, si él no alertaba, alguien más lo haría. Como consecuencia, Nguyen anunció su retiro de la escena de PS5 y del proyecto Linux, criticando a quienes usan IA sin comprender lo que hacen, a quienes denominó "slop kiddies" (una expresión que se traduce como "bebés de la mierda hecha con IA"), incluyendo a Jordy en esta categoría. El tuit de Jordy mostrando el pago recibió numerosas críticas. Nguyen comentó: "Esto trataba de un grupo de talentosos investigadores, pero ahora se trata de un montón de noobs que usan LLM y escriben hacks que ni siquiera entienden. Un 'slop kiddies' encontró el único error del hipervisor que quedaba, que también había encontrado yo hace un tiempo, y decidió contárselo a Sony".
Las críticas hacia Jordy se han centrado en la ruptura del acuerdo de espera, la ostentación del pago en redes sociales y el uso de IA para localizar el fallo. Para muchos hackers, parte de la gratificación reside en demostrar sus propias capacidades, por lo que ven la IA como un atajo y una herramienta que ha saturado programas de recompensas en los que han invertido mucho tiempo. Según Kotaku, algunos miembros de la comunidad habrían preferido una recompensa colectiva por el exploit y mantenerlo alejado de Sony. No obstante, la tendencia del "vibe coding", sumada al descontento general por las recientes decisiones de Sony y el estado actual de la industria del videojuego, ha puesto a la PS5 en el punto de mira. Se están desarrollando emuladores y ya se conocen métodos para vulnerar la seguridad del sistema. Esto no solo preocupa a Sony, sino también a Rockstar, ante la posibilidad de que 'GTA VI', posiblemente el juego más costoso de la historia, pueda ejecutarse en PC sin un lanzamiento oficial o en consolas mediante copias ilegales poco después de su lanzamiento el 19 de noviembre.
