tutoriales · 11 min
CVE-2023-46805 (auth bypass por path traversal) + CVE-2024-21887 (command injection en /api/v1/license/keys-status). Encadenadas, RCE pre-auth como root. Volexity las publica el 10 de enero tras detectar explotación as zero-day por UTA0178 desde diciembre. El parche oficial llega el 31 de enero, tres semanas después.
· Manuel López Pérez
noticias · 6 min
EU AI Act cierra acuerdo político tras 38 horas de trilogue. Comcast Xfinity notifica 35.7M cuentas vía Citrix Bleed. BlackCat sufre operación policial. Sleeper agents paper en preprint. Retrospectiva del año.
· Manuel López Pérez
compliance · 6 min
Tras 38 horas de trilogue, Council y Parlamento europeo cierran el 9 de diciembre el acuerdo político del AI Act. Aún falta texto técnico final y publicación en DOUE (julio 2024). Lo que un CISO necesita anotar ahora.
· Manuel López Pérez
noticias · 5 min
OpenAI DevDay anuncia GPTs y Assistants API; Sam Altman es despedido y reincorporado en cinco días. SysAid CVE-2023-47246. Lockbit explota Citrix Bleed contra Boeing e ICBC. Anthropic prefigura sleeper agents.
· Manuel López Pérez
ai-security · 11 min
Anthropic prefigura en Q4 una clase nueva de ataque: modelos entrenados con un trigger oculto que pasan los safety tests pero ejecutan comportamiento adversarial al ver el trigger en producción. El paper sale en enero 2024; la implicación llega ahora.
· Manuel López Pérez
noticias · 5 min
Citrix Bleed se lleva sesiones autenticadas saltando MFA. Cisco IOS XE cae masivamente. Okta soporte filtra HAR files que dan acceso a 1Password y Cloudflare. Curl CVE-2023-38545 mucho hype, poco impacto. Y Atlassian Confluence sigue.
· Manuel López Pérez
tutoriales · 8 min
CVE-2023-4966 permite leer ~63 KB de memoria del NetScaler con una petición HTTP de Host header oversized. Entre los datos: tokens de sesión activos. El atacante los reutiliza y entra como un usuario válido — sin MFA. Boeing, ICBC, Comcast y más caen entre octubre y noviembre.
· Manuel López Pérez
noticias · 5 min
ChatGPT lanza DALL-E 3 y voz, MGM y Caesars caen por ingeniería social, Microsoft IT account leak filtra 38 TB internos. Storm-0558 sigue dando lectura. AI agents en producto y red-teaming sobre la mesa.
· Manuel López Pérez
ai-security · 7 min
El usuario pide al agente que resuma una URL. La página tiene instrucciones embebidas que disparan otro tool — send_email — con datos de la conversación. El modelo obedece sin preguntar. PoC reproducible con OpenAI function calling.
· Manuel López Pérez
noticias · 4 min
OWASP publica el LLM Top 10 v1.0. DEF CON 31 dedica el AI Village a red-teaming de modelos. TETRA:BURST expone 5 vulns en el standard de radio TETRA. Ivanti Sentry RCE pre-auth. Mientras tanto, MOVEit pasa de 700 víctimas.
· Manuel López Pérez
ai-security · 5 min
OWASP publica el 16 de agosto la versión 1.0 de su Top 10 para aplicaciones LLM. Es el primer marco "de la industria" del campo. Funciona como vocabulario común; tiene huecos que conviene nombrar antes de adoptarlo como checklist.
· Manuel López Pérez
noticias · 5 min
GCG suffix de Zou et al. automatiza el jailbreak. Storm-0558 robó una clave de firma de Microsoft y leyó email de gobierno US. EU AI Act se publica en DOUE. Citrix NetScaler con CVE-2023-3519 explotado in-the-wild.
· Manuel López Pérez
