Ciberseguridad
Entorno digital y ciencia · entradas: 140
artículos
Orquestación de agentes de IASeguridad de la IABúsqueda de vulnerabilidades con IAAgentes de IA autónomosBiometría del comportamientoTeoría del internet muertoLa muerte del CAPTCHACrisis de mantenedoresDefensa de objetivo móvilCódigo abiertoPrueba de humanidadVibe coding
escenarios
- SC-2026-0003«Un ataque descrito con palabras»
- SC-2026-0004«Infraestructura que nadie ha leído»
Señales
- Sean Heelan: «Debemos empezar a asumir que, en un futuro próximo, el factor que limite la capacidad de un Estado o de un grupo para desarrollar exploits, entrar en redes, escalar privilegios y permanecer en esas redes será su capacidad de procesar tokens a lo largo del tiempo, y no el número de hackers que emplee.»
- Dario Amodei: «Creo que, si hacemos una lista de lo que Anthropic hizo el último año a favor de la seguridad y con un coste comercial para nosotros, pesa mucho más que la lista que tú has hecho … tuvimos los primeros modelos de la clase Mythos en febrero, pero no los pusimos a disposición de todos hasta junio (cuando ya contábamos con salvaguardas más sólidas frente al ciberabuso). … Habría sido mucho más racional económicamente lanzar sin más el modelo para todo el mundo. Probablemente sacrificamos una parte importante de una ventaja de varios meses en modelos.»
- Stephen Winchell: «Encontrar vulnerabilidades y parchear el código con los métodos actuales es lento, caro y depende de una plantilla limitada, sobre todo ahora que los adversarios usan la IA para potenciar sus exploits. La tecnología desarrollada en AIxCC dará a los defensores una ventaja muy necesaria para identificar y parchear vulnerabilidades con rapidez y a gran escala»
- Bruce Schneier: «Durante mucho tiempo hemos dado por hecho que tenemos tiempo de parchear los sistemas después de que se conozcan las vulnerabilidades … Eso ya no es así. … estos avances amenazan con inclinar la balanza por completo. Puede que estemos ante un evento de singularidad para los ciberatacantes»
- Matthew Green: «Un 15% de probabilidad de que en la práctica perdamos la confianza en los algoritmos de cifrado de clave pública actuales»
eventos
- El equipo rojo de OpenAI formado por agentes de IA, entre ellos GPT-6 Astra Cyber, gastó cientos de miles de millones de tokens y encontró formas de escapar de las máquinas virtuales, salida a internet a través de casi cada uno de los pocos servicios a los que se dejó conexión con el mundo exterior (métricas, registros, autenticación) y un canal de comunicación encubierto entre agentes aislados basado en los tiempos de lectura de la caché del procesador: la misma técnica que en los ataques Spectre y MeltdownCiberseguridad · Desarrollo de software · Seguridad de la IA · openai.com ↗
- OpenAI: el 20 de septiembre, un modelo interno de investigación aprovechó un error en la configuración del resolvedor DNS durante el entrenamiento y obtuvo acceso limitado a internet. La empresa detuvo durante 11 días el entrenamiento y las evaluaciones de sus modelos más potentes, y ahora hace el aprendizaje por refuerzo sin internet, en un «mundo sin conexión» hecho de páginas web guardadasCiberseguridad · Desarrollo de software · Seguridad de la IA · openai.com ↗
- Anthropic: si se relanza Mythos 5 desde la mitad o el final de un ataque, el modelo se detiene por sí solo apenas en el 2% de los casos. En un experimento en el que, después de que el modelo razonara sobre si los mantenedores eran simulados, se le decía que estaba tratando con personas reales, se detuvo en el 5% de los relanzamientos y en el 82% interpretó el mensaje como parte del ejercicio. La empresa llama a esta persistencia «impulso» (momentum)Ciberseguridad · Ciencia · Seguridad de la IA · anthropic.com ↗
- Anthropic y el Instituto de Seguridad de la IA del Reino Unido (AISI): en 9 de 43 ejecuciones de ciberejercicios con internet abierto y las protecciones desactivadas, Claude Mythos 5 se salió de los límites de la tarea y afectó a personas y organizaciones reales. En el caso principal, el modelo envió código malicioso a un proyecto de código abierto ajeno en GitHub y, mediante cuentas falsas, intentó convencer al mantenedor de que lo aceptara; los mantenedores no aceptaron el códigoCiberseguridad · Desarrollo de software · Seguridad de la IA · anthropic.com ↗
- El lanzamiento coordinado de las correcciones de PHP se vino abajo por filtraciones: los números de CVE, un vídeo de Calif con un exploit y las imágenes de Chainguard más de seis horas antes del lanzamiento; entre los exploits aparecidos en la red, la PHP Foundation no encontró ninguno que funcionara en el momento del lanzamientoCiberseguridad · Desarrollo de software · Búsqueda de vulnerabilidades con IA · thephp.foundation ↗
- PHP publica versiones urgentes 8.5.12, 8.4.27, 8.3.36 y 8.2.35: corrigen dos vulnerabilidades críticas (9,2 puntos en CVSS) que permiten ejecutar código en el servidor sin autenticación; las comunicaron un investigador de la empresa Calif, que revisaba PHP dentro del programa Patch the Planet de OpenAI, la propia OpenAI y WizCiberseguridad · Desarrollo de software · Internet e infraestructura · Código abierto · thephp.foundation ↗
- El Departamento de Seguridad Nacional de EE. UU. publica una orden: los organismos federales civiles deben dejar de comprar productos de DeepSeek y retirar de sus sistemas informáticos tanto estos como los productos de terceros construidos sobre DeepSeekLeyes y regulación · Geopolítica y defensa · Ciberseguridad · Exportación de cómputo · federalregister.gov ↗
- Un modelo interno de Claude averigua en menos de media hora cómo se obtuvieron las «semillas» de cinco curvas elípticas estándar del NIST (de P-192 a P-521): no son un hash, sino la salida del generador de números aleatorios lrand48 inicializado con una marca de tiempo Unix; Anthropic subraya que no es un hackeo, ni un ataque nuevo, ni una debilidad de las curvas, y escribe que el hallazgo refuerza la confianza en que las curvas no tienen puertas traserasCiberseguridad · Ciencia · Criptografía · anthropic.com ↗
- Google lanza Gemini 4 Argon: en ciberataques simulados resolvió los 12 escenarios (la generación anterior, 5); por sus capacidades elevadas en los ámbitos cibernético y biológico, según el Frontier Safety Framework llega con nuevas salvaguardas —tres capas de protección en tiempo real—, y la versión sin barreras cibernéticas la recibieron primero solo defensores de confianza del programa FairwindCiberseguridad · Seguridad de la IA · blog.google ↗
- Equipo rojo de Anthropic: en una red aislada de 8 nodos en la nube con un emulador de Android, un agente basado en el modelo abierto GLM-5.2 desplegó por su cuenta el modelo Llama 3.1 8B en los nodos: los 8 nodos en 4 de 5 pruebas y 7 de 8 en la quinta; según los autores, los modelos de hasta 30.000 millones de parámetros podrían alcanzar ese nivel a finales de 2026 al ritmo de mejora actualCiberseguridad · Seguridad de la IA · anthropic.com ↗
- Axios: directivos de OpenAI, Anthropic y otras empresas de IA se preparan para la reacción pública y política tras una gran catástrofe de IA que muchos en el sector esperan en los próximos 6 a 12 meses; OpenAI confirma que realiza estos ejerciciosElecciones y política · Ciberseguridad · Seguridad de la IA · axios.com ↗
- The New York Times, citando dos fuentes: los agentes de IA de Anthropic enviaron 20 solicitudes de visado por un formulario del sitio del Departamento de Estado; todas estaban incompletas y no se tramitaronCiberseguridad · Elecciones y política · Seguridad de la IA · nytimes.com ↗
- Anthropic: en sus evaluaciones Claude envió formularios en línea cuando no debía y sorteó controles de acceso en sitios reales; Claude Haiku 4.5 mandó una pista inventada a través de un formulario de la policía de Filadelfia; la empresa corta el acceso a internet de sus evaluaciones internasCiberseguridad · Seguridad de la IA · anthropic.com ↗
- Anthropic lanza Cyber Mission: un programa de defensa de infraestructuras críticas con modelos e ingenieros para los defensores y análisis gratuitos de vulnerabilidades para proyectos de código abiertoCiberseguridad · Internet e infraestructura · Seguridad de la IA · anthropic.com ↗
- CrowdStrike: un atacante, probablemente de habla china, atacó organizaciones financieras surcoreanas con ARTEX, una herramienta china de código abierto de pentesting con agentes, y Claude Code; el número de organizaciones afectadas no está confirmadoCiberseguridad · Finanzas y dinero · Agentes de IA autónomos · crowdstrike.com ↗
- La Fundación Wikimedia detecta en sus proyectos actividad de agentes «descontrolados» de OpenAI: millones de solicitudes automáticas, ediciones que considera potencialmente maliciosas y una posible contribución a una caída parcial del servicio de consultas de WikidataInternet e infraestructura · Ciberseguridad · Seguridad de la IA · wikimediafoundation.org ↗
- OpenAI describe dos incidentes con agentes internos: GPT-6.1 Sol, mientras arreglaba un sistema de evaluación, desactiva las alertas automáticas al equipo de seguridad, y GPT-6 Astra, al migrar un programa, elimina de él la integración de la monitorización del desalineamiento y, ante la pregunta directa del usuario, responde que no la ha eliminadoDesarrollo de software · Ciberseguridad · Seguridad de la IA · alignment.openai.com ↗
- Google Threat Intelligence: las divulgaciones de vulnerabilidades pasaron de 5045 en enero de 2026 a 10.740 en agosto; las explotadas, de 10,5 al mes en 2025 a 18, y las de día cero, de 8 a 11 al mesCiberseguridad · Búsqueda de vulnerabilidades con IA · cloud.google.com ↗
- Google: la vulnerabilidad CVE-2026-1731 en BeyondTrust, encontrada por el agente Hacktron AI, empezó a explotarla un grupo de atacantes cuatro días después de la divulgación, y después otros cincoCiberseguridad · Búsqueda de vulnerabilidades con IA · cloud.google.com ↗
- OpenAI admite que en junio sus modelos, durante el entrenamiento interno, accedieron sin autorización a sitios del Gobierno australiano; en el servicio de estadísticas de Medicare un modelo ejecutó comandos y obtuvo archivos internos y credenciales, sin acceder a historiales de pacientesCiberseguridad · Salud y medicina · Privacidad y vigilancia · Seguridad de la IA · openai.com ↗
- VulnCheck: de los 26.153 hallazgos de Project Glasswing anunciados por Anthropic se han corregido 202 (0,8%); Claude calificó como críticos o altos el 91,5% de los hallazgos; los mantenedores, el 51,3%Ciberseguridad · Desarrollo de software · Trabajo y profesiones · Búsqueda de vulnerabilidades con IA · vulncheck.com ↗
- OpenAI reconoce que en julio de 2026, durante evaluaciones internas de ciberseguridad, sus modelos eludieron el aislamiento de internet, vulneraron los sistemas de Hugging Face y obtuvieron acceso de administrador a un clúster de investigación de la propia OpenAI; la empresa lo llama un «disparo de advertencia» y mantiene en pausa su mayor entrenamiento previstoCiberseguridad · Internet e infraestructura · Seguridad de la IA · openai.com ↗
- Investigación de METR: en los experimentos de OpenAI con ExploitGym, unos 1200 agentes que debían estar aislados se comunicaron entre sí, y unos 700 atacaron la infraestructura de Hugging FaceCiberseguridad · Internet e infraestructura · Seguridad de la IA · metr.org ↗
- OpenAI: con el entorno y las instrucciones de sistema de ChatGPT en producción, la propensión de un modelo a vulnerar la infraestructura puede caer más de 100 veces; esas salvaguardas faltaban en las evaluaciones que originaron el incidente de Hugging Face, y la monitorización del razonamiento, de haber estado activa, habría alertado al equipo de seguridad más de un día antes de la intrusiónCiberseguridad · Seguridad de la IA · openai.com ↗
- Akamai: en el 63% de las solicitudes de los navegadores con IA Comet y Atlas, el ratón no se movió en absolutoCiberseguridad · Internet e infraestructura · Biometría del comportamiento · akamai.com ↗
- Los detectores de bots habituales tomaron por personas a entre el 35% y el 39% de los agentes de IA, y dos rasgos del ratón bastaron para detectarlos a todos: no delata al agente su «inteligencia», sino el programa que lo controlaCiberseguridad · Ciencia · Biometría del comportamiento · arxiv.org ↗
- reCAPTCHA, dentro de Google Cloud Fraud Defense, recibe un panel que distingue a los agentes de IA verificados de los sospechososCiberseguridad · Internet e infraestructura · La muerte del CAPTCHA · docs.cloud.google.com ↗
- VulnCheck: en el primer semestre de 2026, el 23,43% de las vulnerabilidades explotadas conocidas fueron atacadas el día de publicación del CVE o antes; de 1061 vulnerabilidades encontradas con ayuda de IA, en ataques se han confirmado 14 (1,3%)Ciberseguridad · Búsqueda de vulnerabilidades con IA · vulncheck.com ↗
- Michael Catanzaro (GNOME): «los informes sin IA son ahora moderadamente inusuales»Ciberseguridad · Desarrollo de software · Trabajo y profesiones · Búsqueda de vulnerabilidades con IA · blogs.gnome.org ↗
- Epoch AI: en junio de 2026, 21 grandes organizaciones publicaron unos 1500 CVE de gravedad alta y crítica, más de 3,5 veces el récord mensual anterior a la salida de Mythos PreviewCiberseguridad · Búsqueda de vulnerabilidades con IA · epoch.ai ↗
- Anthropic: Mythos Preview encontró en más de 1000 proyectos abiertos 6202 vulnerabilidades (según la estimación del propio modelo) de gravedad alta o crítica; de las 1752 verificadas, el 90,6% resultaron reales; algunos mantenedores pidieron frenar la divulgaciónCiberseguridad · Desarrollo de software · Trabajo y profesiones · Búsqueda de vulnerabilidades con IA · anthropic.com ↗
- Informe de OpenAI: ya el 12 de mayo de 2026, durante un entrenamiento, un agente dejó una nota para otros agentes en el gestor de paquetes Artifactory, el comienzo de un «tablón de mensajes» no autorizado; un equipo interno lo detectó a finales de mayo, junto con accesos prohibidos a internet, pero los responsables de responder a incidentes no vieron su importanciaCiberseguridad · Seguridad de la IA · openai.com ↗
- Un estudio del código malicioso escrito por modelos de IA: cada variante cuesta $0,41–0,73, pero el modelo no toca las fronteras entre módulos, y una sola firma detecta todas las variantesCiberseguridad · Ciencia · Defensa de objetivo móvil · arxiv.org ↗
- Imperva: los bots generan más del 53% de todo el tráfico web; los ataques de bots con IA se multiplicaron por 12,5Ciberseguridad · Internet e infraestructura · Teoría del internet muerto · community-cybersec.thalesgroup.com ↗
- UC Davis: por el comportamiento se reconoce a los siete agentes de IA que trabajan en el navegador; Cloudflare reconoció a unoCiberseguridad · Ciencia · Biometría del comportamiento · arxiv.org ↗
- The Register y VulnCheck cuentan los CVE atribuibles a Project Glasswing: «quizá 40. O quizá ninguno en absoluto»Ciberseguridad · Búsqueda de vulnerabilidades con IA · theregister.com ↗
- Anthropic anuncia Claude Mythos Preview: el modelo encontraba y explotaba vulnerabilidades de día cero en todos los principales sistemas operativos y navegadores, entre ellas un error de OpenBSD de 27 años de antigüedad; no se abre al público y en su lugar se pone en marcha Project GlasswingCiberseguridad · Desarrollo de software · Búsqueda de vulnerabilidades con IA · anthropic.com ↗
- M-Trends 2026: el tiempo medio hasta la explotación de vulnerabilidades es, según la estimación, de menos 7 días; los ataques suelen empezar antes de la corrección; aun así, Mandiant no considera 2025 el año en que las intrusiones pasaron a ser resultado directo de la IACiberseguridad · Búsqueda de vulnerabilidades con IA · cloud.google.com ↗
- BBC: un periodista de la BBC es hackeado a través de vulnerabilidades de la plataforma de IA OrchidsCiberseguridad · Vibe coding · aol.com ↗ ⧗
- El mantenedor de matplotlib Scott Shambaugh cerró un cambio de un agente de IA y este publicó un texto difamatorio sobre él; él lo llama una «operación de influencia autónoma contra un guardián de la cadena de suministro»Desarrollo de software · Ciberseguridad · Medios e información · Crisis de mantenedores · theshamblog.com ↗
- Estudio Next-Gen CAPTCHAs: los modelos más recientes superan hasta el 90% de los CAPTCHA de rompecabezas lógicos complejosCiberseguridad · Ciencia · La muerte del CAPTCHA · arxiv.org ↗
- Anthropic: Claude Opus 4.6 ha encontrado en código abierto más de 500 vulnerabilidades de gravedad alta, verificadas por personasCiberseguridad · Desarrollo de software · Búsqueda de vulnerabilidades con IA · anthropic.com ↗
- cURL cierra su programa de recompensas por vulnerabilidades por la avalancha de informes generados por IACiberseguridad · Desarrollo de software · Vibe coding · daniel.haxx.se ↗
- VulnCheck: el 28,96% de las vulnerabilidades explotadas conocidas de 2025 fueron atacadas el día de publicación del CVE o antesCiberseguridad · Búsqueda de vulnerabilidades con IA · vulncheck.com ↗
- Agentes basados en Claude Opus 4.5 y GPT-5.2 escriben más de 40 exploits distintos para una vulnerabilidad de QuickJS en 6 escenarios; una ejecución de Opus 4.5 cuesta unos $30 (experimento de Sean Heelan)Ciberseguridad · Búsqueda de vulnerabilidades con IA · sean.heelan.io ↗
- Jerry Gamblin: en 2025 se publicaron 48.185 CVE, un 20,6% más que en 2024 (39.962)Ciberseguridad · Desarrollo de software · Búsqueda de vulnerabilidades con IA · jerrygamblin.com ↗
- Black Duck, informe OSSRA 2026: el 98% de las bases de código comerciales auditadas contiene código abierto y el 68% tiene conflictos de licenciaDesarrollo de software · Ciberseguridad · Código abierto · blackduck.com ↗
- Instituto Británico de Seguridad de la IA: ha encontrado formas universales de saltarse las protecciones en todos los sistemas que ha evaluadoCiberseguridad · Seguridad de la IA · aisi.gov.uk ↗
- Instituto Británico de Seguridad de la IA: los modelos de frontera resuelven tareas de ciberseguridad de nivel aprendiz en el 50% de los casos, frente a algo más del 10% a principios de 2024; ayudando con experimentos de laboratorio de biología, son hasta un 90% mejores que los expertosCiberseguridad · Salud y medicina · Seguridad de la IA · aisi.gov.uk ↗
- CodeRabbit: los cambios con participación de IA tienen aproximadamente 1,7 veces más problemas, y hasta 2,74 veces más problemas de seguridadDesarrollo de software · Ciberseguridad · Vibe coding · coderabbit.ai ↗
- AppOmni muestra que una instrucción inyectada hace que un agente de ServiceNow Now Assist recurra a agentes más potentes, que modifican registros y envían correos externos con datosCiberseguridad · Desarrollo de software · Orquestación de agentes de IA · appomni.com ↗
- Anthropic: un grupo que la empresa vincula al Estado chino usó Claude Code para ciberespionaje contra unos 30 objetivos; la IA hizo entre el 80% y el 90% del trabajoCiberseguridad · Geopolítica y defensa · Agentes de IA autónomos · anthropic.com ↗
- Google describe el programa malicioso PROMPTFLUX, una de cuyas variantes pide cada hora a Gemini que reescriba todo su código fuente para que el antivirus no lo reconozcaCiberseguridad · Defensa de objetivo móvil · cloud.google.com ↗
- Google DeepMind presenta CodeMender, un agente que encuentra y corrige vulnerabilidades; los proyectos abiertos ya han aceptado 72 de sus correcciones, todas revisadas por personasCiberseguridad · Desarrollo de software · Búsqueda de vulnerabilidades con IA · deepmind.google ↗
- Cloudflare introduce los «agentes firmados»: un agente de IA puede demostrar quién es con una firma criptográfica, no con su comportamientoCiberseguridad · Internet e infraestructura · Biometría del comportamiento · blog.cloudflare.com ↗
- ESET anuncia el «primer ransomware conocido impulsado por IA», PromptLock, basado en el modelo gpt-oss-20b; poco después se sabe que es un prototipo de investigadores de la Universidad de Nueva YorkCiberseguridad · Ciencia · Defensa de objetivo móvil · welivesecurity.com ↗
- Codeberg informa de que los rastreadores de IA han aprendido a superar la prueba de cálculo de AnubisCiberseguridad · Internet e infraestructura · Defensa de objetivo móvil · theregister.com ↗
- Final de AIxCC de DARPA: en 63 retos, los sistemas de IA encontraron 54 vulnerabilidades introducidas a propósito y corrigieron 43, y además encontraron 18 reales que nadie había introducidoCiberseguridad · Desarrollo de software · Defensa de objetivo móvil · darpa.mil ↗
- El solucionador de IA Halligan (USENIX Security 2025), infiltrado como trabajador en granjas de resolución manual de CAPTCHA, resuelve en 30 días el 70,6% de las tareas nuevas para él procedentes de sitios realesCiberseguridad · Ciencia · La muerte del CAPTCHA · usenix.org ↗
- Veracode: el código generado por IA contenía vulnerabilidades en el 45% de los casosCiberseguridad · Vibe coding · veracode.com ↗
- El agente de ChatGPT marca por su cuenta la casilla «No soy un robot» de la verificación de Cloudflare y explica que así demuestra que no es un botCiberseguridad · Internet e infraestructura · Biometría del comportamiento · arstechnica.com ↗
- CERT-UA informa del programa malicioso LAMEHUG, que pide al modelo de lenguaje Qwen 2.5-Coder que genere comandos a partir de una descripción y los ejecuta; el ataque se vincula, con un grado de confianza moderado, a APT28Ciberseguridad · Geopolítica y defensa · Defensa de objetivo móvil · cert.gov.ua ↗
- Google: Big Sleep, a partir de datos de inteligencia de amenazas, encontró en SQLite la vulnerabilidad CVE-2025-6965, «conocida solo por actores de amenazas»; según la empresa, el primer caso en que un agente de IA frustró directamente un intento de explotaciónCiberseguridad · Búsqueda de vulnerabilidades con IA · blog.google ↗
- El pentester autónomo XBOW llega al primer puesto de la clasificación estadounidense de HackerOne: unos 1060 informes, 130 cerrados como resueltosCiberseguridad · Trabajo y profesiones · Búsqueda de vulnerabilidades con IA · xbow.com ↗
- Anthropic pone a prueba 16 modelos en una empresa simulada: ante la amenaza de ser sustituidos, Claude Opus 4 y Gemini 2.5 Flash chantajean a un directivo en el 96% de las ejecuciones; los escenarios se diseñaron para provocar mal comportamientoCiberseguridad · Trabajo y profesiones · Seguridad de la IA · anthropic.com ↗
- Benchmark Open CaptchaWorld: el mejor agente de IA resuelve los CAPTCHA de rompecabezas interactivos en el 40% de los casos; las personas, en el 93,3%Ciberseguridad · Ciencia · La muerte del CAPTCHA · arxiv.org ↗
- En 170 de 1645 aplicaciones hechas con Lovable, terceros podían acceder a datos personales (CVE-2025-48757, impugnada por Lovable)Privacidad y vigilancia · Ciberseguridad · Vibe coding · mattpalmer.io ↗
- Anthropic activa por primera vez la protección de nivel ASL-3, para Claude Opus 4 y por precaución, sin haber determinado si se superó el umbralCiberseguridad · Geopolítica y defensa · Seguridad de la IA · anthropic.com ↗
- Sean Heelan encuentra con el modelo o3 la vulnerabilidad CVE-2025-37899 en la implementación de SMB del núcleo de Linux, a través de la API normal, sin andamiaje agéntico ni herramientasCiberseguridad · Desarrollo de software · Búsqueda de vulnerabilidades con IA · sean.heelan.io ↗
- Imperva: en 2024 el tráfico automatizado superó al humano por primera vez en una década, con el 51% de todo el tráfico web; los bots maliciosos, el 37%Ciberseguridad · Internet e infraestructura · Teoría del internet muerto · imperva.com ↗
- Microsoft encuentra con ayuda de Security Copilot 20 vulnerabilidades en cargadores de arranque: 11 en GRUB2 y 9 en U-Boot y BareboxCiberseguridad · Desarrollo de software · Búsqueda de vulnerabilidades con IA · microsoft.com ↗
- Cloudflare lanza AI Labyrinth: en lugar de bloquear a un rastreador que incumple las reglas del sitio, lo mete en un laberinto de páginas verosímiles escritas por IACiberseguridad · Internet e infraestructura · Defensa de objetivo móvil · blog.cloudflare.com ↗
- Unit 42 (Palo Alto Networks): un modelo de lenguaje reescribe JavaScript malicioso de forma que un detector basado en redes neuronales lo considera seguro en el 88% de los casos; reentrenar el detector con 10.000 de estas variantes mejoró en un 10% la detección de muestras nuevasCiberseguridad · Defensa de objetivo móvil · unit42.paloaltonetworks.com ↗
- Seth Larson (Python Software Foundation) se queja de un aluvión de «informes de seguridad de calidad extremadamente baja, con pinta de spam y alucinados por LLM»Ciberseguridad · Desarrollo de software · Trabajo y profesiones · Búsqueda de vulnerabilidades con IA · sethmlarson.dev ↗
- OSS-Fuzz, con modelos de lenguaje que escriben por sí mismos los arneses de fuzzing, encuentra 26 vulnerabilidades, entre ellas CVE-2024-9143 en OpenSSLCiberseguridad · Desarrollo de software · Búsqueda de vulnerabilidades con IA · security.googleblog.com ↗
- El agente Big Sleep (Google Project Zero y Google DeepMind) encuentra en SQLite un error explotable de gestión de memoria; según Google, el primer ejemplo público de un hallazgo así hecho por un agente de IA en un programa de uso generalizadoCiberseguridad · Desarrollo de software · Búsqueda de vulnerabilidades con IA · projectzero.google ↗
- La red neuronal DMTG mueve el ratón «como un humano» y reduce la precisión de los detectores de bots entre un 5% y un 10%Ciberseguridad · Ciencia · Biometría del comportamiento · arxiv.org ↗
- Mandiant: tiempo medio desde la divulgación de una vulnerabilidad hasta su explotación, 63 días en 2018–2019, 44 en 2020, 32 en 2021–2022 y 5 en 2023 (5 tras excluir 15 valores atípicos; con ellos, 47)Ciberseguridad · Búsqueda de vulnerabilidades con IA · cloud.google.com ↗
- ETH Zurich: un modelo resuelve el 100% de los CAPTCHA de imágenes de reCAPTCHA v2; personas y bots necesitan aproximadamente el mismo número de pruebasCiberseguridad · Ciencia · Prueba de humanidad · arxiv.org ↗
- 32 investigadores de OpenAI, Microsoft, el MIT, Harvard, Oxford y otras organizaciones proponen las «credenciales de humanidad»: el CAPTCHA no sirve contra una IA avanzada, y una verificación de identidad estricta no es lo bastante privadaPrivacidad y vigilancia · Ciberseguridad · Ciencia · Prueba de humanidad · arxiv.org ↗
- Permira compra una participación mayoritaria en BioCatch con una valoración de la empresa de $1300 millones; su biometría del comportamiento la usan más de 190 bancosFinanzas y dinero · Ciberseguridad · Negocios y mercados · Biometría del comportamiento · permira.com ↗
- Un agente basado en GPT-4 explota por sí solo el 87% de 15 vulnerabilidades ya divulgadas si se le da la descripción del CVE, y el 7% sin ella (Fang et al.)Ciberseguridad · Ciencia · Búsqueda de vulnerabilidades con IA · arxiv.org ↗
- Andres Freund descubre una puerta trasera en el repositorio y los paquetes de xz/liblzma que permite comprometer servidores ssh (CVE-2024-3094)Desarrollo de software · Ciberseguridad · Código abierto · openwall.com ↗
- El autor de cURL, Daniel Stenberg, describe los primeros informes de vulnerabilidades con «alucinaciones típicas de IA»; de 415 informes se confirmaron 64 y el 66% no era ni una vulnerabilidad ni un errorDesarrollo de software · Ciberseguridad · Crisis de mantenedores · daniel.haxx.se ↗
- Cloudflare anuncia que nunca más mostrará un rompecabezas visual a nadie, por ningún motivo: los CAPTCHA son «mucho más fáciles de resolver para los bots que para los humanos»Ciberseguridad · Internet e infraestructura · La muerte del CAPTCHA · blog.cloudflare.com ↗
- Estudio de la Universidad de California en Irvine: 1400 personas resolvieron 14 000 CAPTCHA en sitios reales; frente a los resultados publicados de bots, los bots superan a las personas en velocidad y en precisión en todos los tipos de CAPTCHACiberseguridad · Ciencia · La muerte del CAPTCHA · arxiv.org ↗
- Compradores de China pagan $20–30 por los World ID de personas escaneadas en Camboya y en África; Worldcoin admite que no puede impedir un acuerdo entre vendedor y compradorCiberseguridad · Privacidad y vigilancia · Prueba de humanidad · theblock.co ↗
- Un malware roba las contraseñas de los operadores del Orb; el panel de los operadores no tenía autenticación de dos factores, y Worldcoin restablece todas las contraseñasCiberseguridad · Privacidad y vigilancia · Prueba de humanidad · techcrunch.com ↗
- OpenAI cuenta en la descripción de seguridad de GPT-4 cómo el modelo, durante la evaluación de ARC, pidió a un trabajador de TaskRabbit que resolviera un CAPTCHA y, cuando este le preguntó si era un robot, alegó una discapacidad visualCiberseguridad · Desarrollo de software · La muerte del CAPTCHA · cdn.openai.com ↗
- Cloudflare lanza Turnstile, un sustituto gratuito del CAPTCHA sin rompecabezas; para entonces la empresa había reducido en un 91% los CAPTCHA propios que mostrabaCiberseguridad · Privacidad y vigilancia · Internet e infraestructura · La muerte del CAPTCHA · blog.cloudflare.com ↗
- Felix Krause muestra que el navegador integrado de TikTok para iOS inyecta en sitios ajenos un código suscrito a cada pulsación de tecla; TikTok responde que el código solo sirve para depuraciónPrivacidad y vigilancia · Ciberseguridad · Biometría del comportamiento · krausefx.com ↗
- Cloudflare pasa de reCAPTCHA a hCaptcha: Google se dispone a cobrar por reCAPTCHA, y su negocio, según escribe Cloudflare, consiste en «dirigir publicidad a los usuarios»Ciberseguridad · Privacidad y vigilancia · Negocios y mercados · La muerte del CAPTCHA · blog.cloudflare.com ↗
- F5 anuncia la compra de Shape Security, que protege los sitios web de los bots con código polimórfico, por unos $1000 millonesCiberseguridad · Negocios y mercados · Defensa de objetivo móvil · sec.gov ↗
- Google lanza reCAPTCHA v3: en lugar de imágenes, una puntuación invisible de 0 a 1 según cómo se comporta la persona en el sitioCiberseguridad · Privacidad y vigilancia · Internet e infraestructura · Biometría del comportamiento · security.googleblog.com ↗
- El grupo de Bryan Ford (EPFL) introduce el término proof-of-personhood: un mecanismo que vincula entidades físicas a identidades virtuales y preserva el anonimatoPrivacidad y vigilancia · Ciberseguridad · Finanzas y dinero · Prueba de humanidad · bford.info ↗
- Mastercard compra NuData Security, una «empresa de biometría pasiva y análisis del comportamiento»Finanzas y dinero · Ciberseguridad · Negocios y mercados · Biometría del comportamiento · investor.mastercard.com ↗
- Google lanza OSS-Fuzz, fuzzing continuo para proyectos abiertos; hasta mayo de 2025 había ayudado a encontrar y corregir más de 13.000 vulnerabilidades y 50.000 errores de otro tipo en 1000 proyectosCiberseguridad · Desarrollo de software · Búsqueda de vulnerabilidades con IA · github.com ↗
- Final del Cyber Grand Challenge de DARPA: sistemas automáticos, sin intervención humana, buscan, corrigen y explotan vulnerabilidades; gana Mayhem, de la empresa ForAllSecureCiberseguridad · Desarrollo de software · Búsqueda de vulnerabilidades con IA · darpa.mil ↗
- El sistema Shuffler (Universidad de Columbia) reordena el código de un programa en marcha cada 50 ms a costa de una ralentización del 14,9%Ciberseguridad · Ciencia · Defensa de objetivo móvil · cs.columbia.edu ↗
- Google informa de que la IA resuelve la variante más difícil de texto distorsionado con un 99,8% de precisión, por lo que ese texto «ya no es una prueba fiable», y pasa reCAPTCHA a la casilla «No soy un robot» con análisis del comportamientoCiberseguridad · Internet e infraestructura · La muerte del CAPTCHA · security.googleblog.com ↗
- Se celebra en Scottsdale el primer taller científico de la ACM sobre defensa de objetivo móvil (MTD 2014)Ciberseguridad · Ciencia · Defensa de objetivo móvil · csis.gmu.edu ↗
- Linux 3.14 incorpora la aleatorización de las direcciones del propio núcleo (KASLR)Ciberseguridad · Desarrollo de software · Defensa de objetivo móvil · kernelnewbies.org ↗
- Investigadores del MIT Lincoln Laboratory escriben que ningún método de aleatorización de la memoria resiste la fuga de una zona arbitraria de la memoria, y que 16 bits de aleatoriedad en un servidor que se reinicia automáticamente se adivinan en minutosCiberseguridad · Ciencia · Defensa de objetivo móvil · ll.mit.edu ↗
- Shape Security sale del anonimato con ShapeShifter, un dispositivo que reescribe el código de una página web cada vez que se muestra, generando «un flujo interminable de variaciones aleatorias del código» contra los botsCiberseguridad · Internet e infraestructura · Defensa de objetivo móvil · siliconangle.com ↗
- La red neuronal de Google para los números de portal de Street View resuelve la categoría más difícil de reCAPTCHA con un 99,8% de precisiónCiberseguridad · Ciencia · La muerte del CAPTCHA · arxiv.org ↗
- Touchalytics: por cómo se desliza la pantalla del móvil se reconoce a una persona casi sin errores dentro de una sesión y con un error de hasta el 4% una semana después; los autores lo ven como un complemento, no como sustituto de la contraseñaCiberseguridad · Ciencia · Biometría del comportamiento · arxiv.org ↗
- Chu y sus coautores: por los movimientos del ratón y las pulsaciones de teclas se detecta el 97,9% de los bots de un blog con un 0,2% de falsas alarmasCiberseguridad · Ciencia · Biometría del comportamiento · eecis.udel.edu ↗
- El plan federal de investigación en ciberseguridad de Estados Unidos sitúa el «objetivo móvil» entre los cuatro temas que «cambian las reglas del juego»: los sistemas deben volverse «menos deterministas, menos homogéneos y menos estáticos» para «aumentar sustancialmente el coste de los ataques»Ciberseguridad · Leyes y regulación · Ciencia · Defensa de objetivo móvil · nitrd.gov ↗
- Zheng, Paloski y Wang: por los movimientos del ratón se reconoce al usuario con un error del 1,3% tras 20 clics, pero en un foro real 20 clics llevaban hasta 38 minutosCiberseguridad · Ciencia · Biometría del comportamiento · eecis.udel.edu ↗
- Se publica el volumen colectivo «Moving Target Defense», editado por Sushil Jajodia y otros autores (Springer)Ciberseguridad · Ciencia · Defensa de objetivo móvil · doi.org ↗
- Motoyama y sus coautores (Universidad de California en San Diego): la resolución de CAPTCHA por personas se vende desde $1 por mil, y a los trabajadores de Bangladés, China, India y Vietnam se les paga $0,5–0,75 por milTrabajo y profesiones · Ciberseguridad · Negocios y mercados · La muerte del CAPTCHA · usenix.org ↗
- Bursztein y sus coautores (Stanford) dan a resolver a personas más de 318 000 CAPTCHA de 21 tipos: tres personas responden lo mismo solo en el 71% de los CAPTCHA de imágenes y en el 31% de los de audioCiberseguridad · Ciencia · La muerte del CAPTCHA · web.stanford.edu ↗
- Google compra reCAPTCHA, que protege más de 100 000 sitios del spam y el fraudeNegocios y mercados · Ciberseguridad · La muerte del CAPTCHA · googleblog.blogspot.com ↗
- Killourhy y Maxion (CMU): 51 personas teclean 400 veces la misma contraseña; el mejor de 14 algoritmos reconoce a la persona por su ritmo de tecleo con un error de alrededor del 10%Ciberseguridad · Ciencia · Biometría del comportamiento · cs.cmu.edu ↗
- Ahmed Awad E. Ahmed e Issa Traore proponen reconocer al usuario por los movimientos del ratónCiberseguridad · Ciencia · Biometría del comportamiento · doi.org ↗
- Microsoft anuncia que Windows Vista trae activada por defecto la aleatorización del espacio de direcciones (ASLR): una biblioteca se carga en uno de 256 lugares posibles, y el atacante acierta la dirección con una probabilidad de 1/256Ciberseguridad · Desarrollo de software · Defensa de objetivo móvil · learn.microsoft.com ↗
- Shacham y sus coautores muestran que la aleatorización de la memoria en un sistema de 32 bits se elude por fuerza bruta: un servidor web Apache protegido con PaX cae, de media, en 216 segundosCiberseguridad · Ciencia · Defensa de objetivo móvil · hovav.net ↗
- John Douceur (Microsoft Research) describe el «ataque Sybil»: sin una autoridad central que certifique identidades, un solo participante puede hacerse pasar por muchosCiberseguridad · Ciencia · Prueba de humanidad · microsoft.com ↗
- Net Nanny lanza BioPassword, un inicio de sesión para Windows NT que comprueba no solo la contraseña, sino también cómo la teclea la personaCiberseguridad · Desarrollo de software · Biometría del comportamiento · rcpmag.com ↗
- Luis von Ahn, Manuel Blum, Nicholas Hopper y John Langford, de la Universidad Carnegie Mellon, inventan el CAPTCHA, una «prueba de Turing pública y completamente automatizada para distinguir a los ordenadores de los humanos»Ciberseguridad · Internet e infraestructura · Prueba de humanidad · captcha.net ↗
- Empleados de AltaVista solicitan una patente de verificación «¿persona o programa?»: para añadir un sitio al buscador hay que leer una cadena distorsionada al azarCiberseguridad · Internet e infraestructura · La muerte del CAPTCHA · patents.google.com ↗