Blog

Explora nuestros artículos sobre ciberseguridad, hacking ético, tutoriales, writeups de CTF y noticias del mundo de la seguridad informática

noticias · 15 min
Boletín — mayo 2026
El Digital Omnibus cierra acuerdo provisional el 7 de mayo: Anexo III se mueve a diciembre de 2027. España aprueba su Ley de gobernanza de IA el 26 de mayo. Pwn2Own Berlin reparte 1,3 M$ por 47 zero-days con Codex y Claude Code en el menú. Patch Tuesday sin un solo zero-day por primera vez desde junio de 2024. OpenAI lanza Daybreak y Anthropic mueve Mythos hacia GA. Verizon DBIR 2026 corona la explotación de vulnerabilidades como vector número uno. GitHub pierde 3.800 repos internos por una extensión de VS Code.
1 jun 2026 · Manuel López Pérez
ai-security · 14 min
Agentic red team — de PentestGPT (2023) a XBOW #1 en HackerOne (2025)
Tres años de evolución del red team con LLMs. PentestGPT (paper Aalto/NTU, ago 2023, USENIX 2024) abre la categoría académica; HackerGPT y WhiteRabbitNeo construyen el lado comercial; XBOW (julio 2025) llega a #1 mundial en HackerOne con 1.060 vulns reportadas. PoC reproducible con PentestGPT v2 contra HackTheBox.
15 may 2026 · Manuel López Pérez
ai-security · 18 min
AI infrastructure: dos años de incidentes que confirman la categoría
Pickle como formato heredado roto, inference servers como HTTP attack surface nueva, AI gateways como pivote a la infra y frameworks ML con seguridad de proyecto research. Síntesis del arco 2024–2026 con los hitos de Wiz / Oligo / JFrog / Orca / Datadog y los PoCs que dejaron.
15 may 2026 · Manuel López Pérez
noticias · 14 min
Boletín — abril 2026
El trílogo del Omnibus cierra sin acuerdo el 28 de abril, dejando el deadline AI Act original a tres meses. Patch Tuesday 165 CVEs y SharePoint zero-day activa. Anthropic anuncia Claude Mythos + Project Glasswing — primer frontier model que se queda detrás de un muro defensivo. Pwn2Own Berlin colapsa por sobrecupo. M&S un año después. AESIA publica las guías 13 y 14.
1 may 2026 · Manuel López Pérez
compliance · 20 min
EU AI Act Anexo III: a tres meses del 2 de agosto, con el Digital Omnibus de Bruselas en aire
El tercer escalón del Reglamento (UE) 2024/1689 entra en aplicación el 2 de agosto de 2026: sistemas de alto riesgo del Anexo III, FRIA, post-market monitoring, marcado CE, registro UE. El Digital Omnibus de la Comisión propone retrasarlo a 2 de diciembre de 2027, pero el trílogo del 28 de abril cierra sin acuerdo. Qué tener listo el 2 de agosto si Bruselas no llega.
30 abr 2026 · Manuel López Pérez
noticias · 18 min
Boletín — marzo 2026
LiteLLM supply chain: TeamPCP comprometió Trivy primero para llegar a las credenciales PyPI del mantenedor y publicar litellm 1.82.7 / 1.82.8 con payload de 3 etapas. nginx-ui MCPwn (CVE-2026-33032, CVSS 9.8) explotado in the wild. Patch Tuesday ruidoso en AI: XBOW se lleva el CVSS 9.8 del mes. Mandiant M-Trends 2026 reporta 22 segundos entre acceso inicial y ransomware. VMware Aria Operations en CISA KEV. NVIDIA GTC presenta NemoClaw para agentic security. DORA primer Register of Information con deadline 31-mar.
1 abr 2026 · Manuel López Pérez
ai-security · 20 min
MCP a 16 meses del spec: 15+ incidentes, dos revisiones y un MCPwn explotado in the wild
Marzo 2025 fue el mes del primer paper sobre tool poisoning con PoC. Marzo 2026 cierra un ciclo: dos revisiones del spec (2025-06-18 y 2025-11-25), OWASP MCP Top 10 v0.1, 15+ incidentes públicos, 24.000 secrets expuestos en configs de GitHub, 1.808 servidores escaneados con 66 % de findings, un benchmark académico (MCPTox) con 72,8 % de ASR contra o1-mini, y CVE-2026-33032 (nginx-ui MCPwn) explotado in the wild con parche el 15 de marzo. Lectura operativa del ecosistema.
25 mar 2026 · Manuel López Pérez
noticias · 11 min
Boletín — febrero 2026
El mes de los aniversarios duros: AI Act Art. 5 cumple un año el 2 de febrero, ByBit cumple un año el 21. India AI Impact Summit en Delhi sustituye al Action Summit de París. Patch Tuesday con 6 zero-days. CrowdStrike GTR 2026 mete breakout time en 29 minutos. Mandiant abre la promo de M-Trends 2026 (publicación abril). DORA entra en enforcement activo tras la grace period. CISA KEV con tres updates.
1 mar 2026 · Manuel López Pérez
tutoriales · 16 min
ByBit, un año después: clear signing, Guardrail y EIP-7702 — qué cambió en el ecosistema multi-sig
El 21 de febrero de 2026 cumple un año el hack ByBit. Solo el 3,5 % de los $1.5B se ha congelado. Lo que sí cambió: Safe lanza Guardrail (agosto-2025) bloqueando DELEGATECALL no autorizado, EIP-7702 entra a mainnet con Pectra (mayo-2025), Ethereum Foundation toma el relevo de ERC-7730 desde Ledger y arrastra a Trezor / MetaMask / WalletConnect a un estándar abierto de clear signing. PoC actualizado en Sepolia que compara firma con y sin Guardrail+clear signing.
25 feb 2026 · Manuel López Pérez
ai-security · 32 min
AI Security 2025 — dossier anual
El año en que los tres frentes se hicieron operativos a la vez: agentes en producción real (Operator GA, Project Vend, MCP en clientes), regulación con calendario vinculante (DORA, Art. 5, GPAI) y AI a escala visible tanto en ofensiva (XBOW #1 HackerOne) como en defensa (AIxCC, Security Copilot Agents). Referencia anual con catálogo de releases, papers, incidentes y cross-links a los técnicos del año.
15 feb 2026 · Manuel López Pérez
compliance · 15 min
EU AI Act — un año del Art. 5: qué se ha retirado, qué se sigue vendiendo, dónde está la primera sanción
El 2 de febrero de 2026 cumple un año la aplicabilidad de las prohibiciones del Reglamento (UE) 2024/1689. Doce meses después, ninguna autoridad nacional ha publicado todavía una sanción del Art. 5. AESIA cierra 2025 con 16 guías pero sin inspecciones públicas. CNIL asume jurisdicción sobre emotion recognition en el trabajo. Vendors de contact center siguen ofreciendo emoción. Repaso operacional del primer año, sin sermón.
5 feb 2026 · Manuel López Pérez
noticias · 12 min
Boletín — enero 2026
DORA cumple un año el 17. Las ESAs publicaron 19 CTPPs en noviembre. DeepSeek desliza V4 y publica Engram + R1 actualizado. Moonshot saca Kimi K2.5 multimodal con agent swarm. Patch Tuesday con DWM zero-day. Ivanti EPMM RCE pre-auth explotado el 29 de enero. Trump abre litigios contra leyes AI estatales. Hugging Face publica retrospectiva del año open-weights.
1 feb 2026 · Manuel López Pérez

Newer posts

Older posts