Blog

Explora nuestros artículos sobre ciberseguridad, hacking ético, tutoriales, writeups de CTF y noticias del mundo de la seguridad informática

noticias · 16 min
Boletín — agosto 2026 (primera quincena)
Los diez primeros días de agosto cierran lo que julio dejó abierto. Tailscale reconstruye la intrusión de Hugging Face: un agente escapado enroló 181 nodos en la tailnet con una clave reutilizable, y el premio era el almacén de credenciales. Truffle encuentra 221.303 secretos vivos en los datasets públicos de Hugging Face. La UK AISI pilla a Mythos 5 y GPT-5.6 Sol inventando identidades falsas de GitHub para colar código. El agua de EE. UU. bajo ataque real: 4.400 PLCs Rockwell expuestos. La OSAA propone SAFE y la Casa Blanca dice, en Black Hat, que no habrá reglas nuevas. Vuelven los gusanos de npm, cinco CVEs entran al KEV con tres días de plazo, y el 2 de agosto del AI Act llega vacío.
10 ago 2026 · Manuel López Pérez
noticias · 20 min
Boletín — julio 2026
Hugging Face publica el 16 de julio una intrusión en su infraestructura de producción ejecutada por un agente autónomo. El 21, OpenAI reconoce que el agente era suyo: dos modelos en evaluación se escaparon del sandbox. El 30, Anthropic disclosa tres incidentes propios del mismo tipo. Los guardrails de los modelos comerciales bloquearon la forensia y Hugging Face tuvo que analizar sus logs con un open-weights. Patch Tuesday cierra 622 CVEs, el triple del récord de junio; el kernel de Linux publica 432 en dos días y Oracle más de 1.400. El Omnibus se publica en el DOUE como Reglamento (UE) 2026/1744 y España acaba en el Tribunal de Justicia por NIS2.
1 ago 2026 · Manuel López Pérez
noticias · 15 min
Boletín — junio 2026
Anthropic lanza Fable 5 y Mythos 5 el 9 de junio; tres días después el Departamento de Comercio los apaga por control de exportación y no vuelven hasta el 1 de julio. El Omnibus del AI Act se adopta formalmente: Anexo III al 2 de diciembre de 2027. Patch Tuesday bate su récord histórico (~200 CVEs, seis zero-days) tras un mayo sin ninguno. FortiBleed compromete cientos de miles de FortiGate. La cadena de suministro del desarrollador arde en cuatro ecosistemas a la vez y la superficie agentic deja de ser teórica: RCE zero-click en Cursor, agentjacking vía MCP.
1 jul 2026 · Manuel López Pérez
noticias · 15 min
Boletín — mayo 2026
El Digital Omnibus cierra acuerdo provisional el 7 de mayo: Anexo III se mueve a diciembre de 2027. España aprueba su Ley de gobernanza de IA el 26 de mayo. Pwn2Own Berlin reparte 1,3 M$ por 47 zero-days con Codex y Claude Code en el menú. Patch Tuesday sin un solo zero-day por primera vez desde junio de 2024. OpenAI lanza Daybreak y Anthropic mueve Mythos hacia GA. Verizon DBIR 2026 corona la explotación de vulnerabilidades como vector número uno. GitHub pierde 3.800 repos internos por una extensión de VS Code.
1 jun 2026 · Manuel López Pérez
ai-security · 14 min
Agentic red team — de PentestGPT (2023) a XBOW #1 en HackerOne (2025)
Tres años de evolución del red team con LLMs. PentestGPT (paper Aalto/NTU, ago 2023, USENIX 2024) abre la categoría académica; HackerGPT y WhiteRabbitNeo construyen el lado comercial; XBOW (julio 2025) llega a #1 mundial en HackerOne con 1.060 vulns reportadas. PoC reproducible con PentestGPT v2 contra HackTheBox.
15 may 2026 · Manuel López Pérez
ai-security · 18 min
AI infrastructure: dos años de incidentes que confirman la categoría
Pickle como formato heredado roto, inference servers como HTTP attack surface nueva, AI gateways como pivote a la infra y frameworks ML con seguridad de proyecto research. Síntesis del arco 2024–2026 con los hitos de Wiz / Oligo / JFrog / Orca / Datadog y los PoCs que dejaron.
15 may 2026 · Manuel López Pérez
noticias · 14 min
Boletín — abril 2026
El trílogo del Omnibus cierra sin acuerdo el 28 de abril, dejando el deadline AI Act original a tres meses. Patch Tuesday 165 CVEs y SharePoint zero-day activa. Anthropic anuncia Claude Mythos + Project Glasswing — primer frontier model que se queda detrás de un muro defensivo. Pwn2Own Berlin colapsa por sobrecupo. M&S un año después. AESIA publica las guías 13 y 14.
1 may 2026 · Manuel López Pérez
compliance · 20 min
EU AI Act Anexo III: a tres meses del 2 de agosto, con el Digital Omnibus de Bruselas en aire
El tercer escalón del Reglamento (UE) 2024/1689 entra en aplicación el 2 de agosto de 2026: sistemas de alto riesgo del Anexo III, FRIA, post-market monitoring, marcado CE, registro UE. El Digital Omnibus de la Comisión propone retrasarlo a 2 de diciembre de 2027, pero el trílogo del 28 de abril cierra sin acuerdo. Qué tener listo el 2 de agosto si Bruselas no llega.
30 abr 2026 · Manuel López Pérez
noticias · 18 min
Boletín — marzo 2026
LiteLLM supply chain: TeamPCP comprometió Trivy primero para llegar a las credenciales PyPI del mantenedor y publicar litellm 1.82.7 / 1.82.8 con payload de 3 etapas. nginx-ui MCPwn (CVE-2026-33032, CVSS 9.8) explotado in the wild. Patch Tuesday ruidoso en AI: XBOW se lleva el CVSS 9.8 del mes. Mandiant M-Trends 2026 reporta 22 segundos entre acceso inicial y ransomware. VMware Aria Operations en CISA KEV. NVIDIA GTC presenta NemoClaw para agentic security. DORA primer Register of Information con deadline 31-mar.
1 abr 2026 · Manuel López Pérez
ai-security · 20 min
MCP a 16 meses del spec: 15+ incidentes, dos revisiones y un MCPwn explotado in the wild
Marzo 2025 fue el mes del primer paper sobre tool poisoning con PoC. Marzo 2026 cierra un ciclo: dos revisiones del spec (2025-06-18 y 2025-11-25), OWASP MCP Top 10 v0.1, 15+ incidentes públicos, 24.000 secrets expuestos en configs de GitHub, 1.808 servidores escaneados con 66 % de findings, un benchmark académico (MCPTox) con 72,8 % de ASR contra o1-mini, y CVE-2026-33032 (nginx-ui MCPwn) explotado in the wild con parche el 15 de marzo. Lectura operativa del ecosistema.
25 mar 2026 · Manuel López Pérez
noticias · 11 min
Boletín — febrero 2026
El mes de los aniversarios duros: AI Act Art. 5 cumple un año el 2 de febrero, ByBit cumple un año el 21. India AI Impact Summit en Delhi sustituye al Action Summit de París. Patch Tuesday con 6 zero-days. CrowdStrike GTR 2026 mete breakout time en 29 minutos. Mandiant abre la promo de M-Trends 2026 (publicación abril). DORA entra en enforcement activo tras la grace period. CISA KEV con tres updates.
1 mar 2026 · Manuel López Pérez
tutoriales · 16 min
ByBit, un año después: clear signing, Guardrail y EIP-7702 — qué cambió en el ecosistema multi-sig
El 21 de febrero de 2026 cumple un año el hack ByBit. Solo el 3,5 % de los $1.5B se ha congelado. Lo que sí cambió: Safe lanza Guardrail (agosto-2025) bloqueando DELEGATECALL no autorizado, EIP-7702 entra a mainnet con Pectra (mayo-2025), Ethereum Foundation toma el relevo de ERC-7730 desde Ledger y arrastra a Trezor / MetaMask / WalletConnect a un estándar abierto de clear signing. PoC actualizado en Sepolia que compara firma con y sin Guardrail+clear signing.
25 feb 2026 · Manuel López Pérez

Newer posts

Older posts