compliance · 6 min
Tras 38 horas de trilogue, Council y Parlamento europeo cierran el 9 de diciembre el acuerdo político del AI Act. Aún falta texto técnico final y publicación en DOUE (julio 2024). Lo que un CISO necesita anotar ahora.
· Manuel López Pérez
noticias · 5 min
OpenAI DevDay anuncia GPTs y Assistants API; Sam Altman es despedido y reincorporado en cinco días. SysAid CVE-2023-47246. Lockbit explota Citrix Bleed contra Boeing e ICBC. Anthropic prefigura sleeper agents.
· Manuel López Pérez
ai-security · 11 min
Anthropic prefigura en Q4 una clase nueva de ataque: modelos entrenados con un trigger oculto que pasan los safety tests pero ejecutan comportamiento adversarial al ver el trigger en producción. El paper sale en enero 2024; la implicación llega ahora.
· Manuel López Pérez
noticias · 5 min
Citrix Bleed se lleva sesiones autenticadas saltando MFA. Cisco IOS XE cae masivamente. Okta soporte filtra HAR files que dan acceso a 1Password y Cloudflare. Curl CVE-2023-38545 mucho hype, poco impacto. Y Atlassian Confluence sigue.
· Manuel López Pérez
tutoriales · 8 min
CVE-2023-4966 permite leer ~63 KB de memoria del NetScaler con una petición HTTP de Host header oversized. Entre los datos: tokens de sesión activos. El atacante los reutiliza y entra como un usuario válido — sin MFA. Boeing, ICBC, Comcast y más caen entre octubre y noviembre.
· Manuel López Pérez
noticias · 5 min
ChatGPT lanza DALL-E 3 y voz, MGM y Caesars caen por ingeniería social, Microsoft IT account leak filtra 38 TB internos. Storm-0558 sigue dando lectura. AI agents en producto y red-teaming sobre la mesa.
· Manuel López Pérez
ai-security · 7 min
El usuario pide al agente que resuma una URL. La página tiene instrucciones embebidas que disparan otro tool — send_email — con datos de la conversación. El modelo obedece sin preguntar. PoC reproducible con OpenAI function calling.
· Manuel López Pérez
noticias · 4 min
OWASP publica el LLM Top 10 v1.0. DEF CON 31 dedica el AI Village a red-teaming de modelos. TETRA:BURST expone 5 vulns en el standard de radio TETRA. Ivanti Sentry RCE pre-auth. Mientras tanto, MOVEit pasa de 700 víctimas.
· Manuel López Pérez
ai-security · 5 min
OWASP publica el 16 de agosto la versión 1.0 de su Top 10 para aplicaciones LLM. Es el primer marco "de la industria" del campo. Funciona como vocabulario común; tiene huecos que conviene nombrar antes de adoptarlo como checklist.
· Manuel López Pérez
noticias · 5 min
GCG suffix de Zou et al. automatiza el jailbreak. Storm-0558 robó una clave de firma de Microsoft y leyó email de gobierno US. EU AI Act se publica en DOUE. Citrix NetScaler con CVE-2023-3519 explotado in-the-wild.
· Manuel López Pérez
ai-security · 7 min
Zou et al. publican el 27 de julio un paper que demuestra que se pueden generar sufijos adversariales automáticamente, por gradient descent, que bypassan los safety classifiers de Llama-2, GPT-3.5, GPT-4, Bard y Claude. Y son transferibles entre modelos.
· Manuel López Pérez
noticias · 4 min
MOVEit lo cambia todo: Cl0p convierte una SQLi en un zero-day en una campaña que termina con 2.700+ organizaciones afectadas. Mientras tanto, Fortinet, VMware Aria y agentes con LLM en producción.
· Manuel López Pérez
