Boletín — abril 2026

Abril 2026 es el mes del trílogo que no llega — el AI Act Omnibus cierra sin acuerdo el 28 de abril a tres meses del deadline del Anexo III. Patch Tuesday cierra 165 CVEs con un SharePoint zero-day activamente explotado. Anthropic publica Claude Mythos y Project Glasswing, el primer experimento serio de “frontier model que no se hace generalmente accesible” para contener su capacidad ofensiva. Pwn2Own Berlin colapsa antes de empezar por sobrecupo de submissions. M&S llega a su aniversario y el reporting de la wave retail UK 2025 se consolida en M-Trends. AESIA cierra el mes publicando las guías técnicas 13 y 14.

EU AI Act Omnibus — segundo trílogo sin acuerdo

28 de abril: el segundo trílogo político del Digital Omnibus on AI cierra sin acuerdo tras doce horas de negociación. Como cubrimos en el técnico del mes, el punto de bloqueo no es la fecha del Anexo III stand-alone — en eso hay convergencia tripartita en torno al 2 de diciembre de 2027. Lo que bloquea es la arquitectura de conformity assessment para sistemas Anexo I: cómo se articulan las obligaciones AI con la legislación sectorial existente (Machinery Regulation, MDR, IVDR, vehículos a motor). Parlamento defiende mantener el AI Act como cuerpo independiente; Consejo y Comisión empujan carve-outs amplios.

La cronología completa del trimestre: 13 de marzo (Consejo, mandato parcial), 18 de marzo (IMCO/LIBE, joint report 101–9), 26 de marzo (primer trílogo), 17 de abril (Consejo, mandato revisado vía doc 8260/26), 28 de abril (segundo trílogo, sin acuerdo). Tercer trílogo programado para el 13 de mayo. Si no llega antes del 2 de agosto, el texto original aplica.

Lo operativo en cualquiera de los dos escenarios queda detallado en el técnico del Anexo III: plan dual, technical file completo, QMS extendido a ISO/IEC 42001, contacto con notified bodies para sistemas del punto 1.a de Anexo III (los más bloqueados procesalmente).

Fuentes: https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/ · https://www.twobirds.com/en/insights/2026/digital-omnibus-on-ai-trilogue-stalls-ahead-of-the-ai-act-deadline · https://www.europarl.europa.eu/RegData/etudes/BRIE/2026/782651/EPRS_BRI(2026)782651_EN.pdf

Anthropic Claude Mythos + Project Glasswing

7 de abril: Anthropic anuncia Claude Mythos Preview y, paralelamente, Project Glasswing. Mythos es el modelo más capaz que la casa ha entrenado, con capacidad demostrada para encontrar y explotar zero-days de forma autónoma en operating systems y browsers. El ejemplo flagship que cita el anuncio es una RCE de 17 años en FreeBSD descubierta y exploitada extremo a extremo por Mythos en un entorno controlado.

La decisión que importa: Anthropic no hace Mythos generalmente accesible. El modelo se libera bajo Project Glasswing a un grupo de cincuenta organizaciones — entre los launch partners aparecen AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks. Los partners reciben $100M en credits de Anthropic para usar Mythos defensivamente: escanear su propio software, encontrar bugs antes de que los encuentre el atacante con un modelo equivalente.

El framing es interesante por dos cosas. Primero, es la primera vez que un frontier lab US frena la disponibilidad general de un modelo de capability frontier por motivos explícitos de dual use ofensivo. Las capability evaluations con findings de uplift ofensivo habían disparado el RSP/Preparedness Framework antes — Anthropic con Opus 4 en mayo de 2025, OpenAI con o3-pro en septiembre de 2025 — pero la respuesta había sido siempre “mitigación + GA con safeguards”. Mythos rompe el patrón: la mitigación es no dar acceso amplio.

Segundo, abre un mercado de dos velocidades para cybersec. Los Glasswing partners van a tener acceso a una capability ofensiva-defensiva que el resto del mercado no tiene durante el período preview. Para defenders pequeños sin acceso, la asimetría preocupa — Bruce Schneier y Simon Willison publican notas en los días siguientes con el mismo argumento básico: “necesario, pero deja a la mayoría del mercado en el lado equivocado de la asimetría”.

16 de abril: Anthropic completa la release matrix con Claude Opus 4.7 — modelo público, capabilities inferiores a Mythos según la propia comunicación de Anthropic, pero con safeguards adicionales que automáticamente detectan y bloquean requests con high-risk cybersecurity intent. La práctica industrial entra de lleno en el modelo “capability ↔ safeguards” como negociación visible.

Fuentes: https://www.anthropic.com/glasswing · https://red.anthropic.com/2026/mythos-preview/ · https://www.schneier.com/blog/archives/2026/04/on-anthropics-mythos-preview-and-project-glasswing.html · https://simonwillison.net/2026/Apr/7/project-glasswing/

Patch Tuesday — 165 CVEs, SharePoint zero-day activa

14 de abril: Microsoft cierra 165 CVEs en el segundo Patch Tuesday más grande de la historia (récord sigue siendo octubre 2025 con 183). Distribución: 8 críticas, 2 zero-days. La acumulación de elevation of privilege como categoría dominante se mantiene — 93 patches (57 %), por encima de RCE (20, 12 %).

Los zero-days:

• CVE-2026-32201 — SharePoint Server Spoofing, CVSS 6.5. Improper input validation explotada activamente in-the-wild antes del parche. Vector cross-site scripting con escalada a integrity compromise. CISA añade al KEV el mismo día, deadline FCEB el 28 de abril. Detalle relevante: aparece menos de un año después del SharePoint ToolShell CVE-2025-53770 — SharePoint sigue siendo target perenne de campañas asociadas a actores China-nexus por la combinación on-prem + perímetro mal segmentado.
• CVE-2026-33825 — Microsoft Defender Antimalware Platform Elevation of Privilege, CVSS 7.8. Vulnerabilidad publicly disclosed con PoC en GitHub el 3 de abril (BlueHammer), parcheada vía auto-update. Local privilege escalation a SYSTEM.

La crítica del mes no es ninguna de las dos zero-days: CVE-2026-33824 en Windows IKE Service, CVSS 9.8, unauthenticated RCE vía paquetes UDP en puertos 500 y 4500. Sin explotación reportada al cierre del Patch Tuesday pero perfil exactamente igual al del IKE de 2025 — es decir, no se queda sin ser exploitado mucho tiempo. Cualquier VPN server expuesto sin parchear está en cola.

Bloque secundario notable: CVE-2026-32190, CVE-2026-33114, CVE-2026-33115 en Microsoft Office (Word/Excel), CVSS 8.4, todas exploitables vía Preview Pane sin necesidad de abrir el documento. El phishing-to-RCE vía adjunto que se pasea por el preview sigue siendo categoría operacional viva.

20 de abril y 22 de abril: CISA añade tres tandas adicionales al KEV ese mismo mes. Entre las altas relevantes:

• CVE-2025-32975 (Quest KACE SMA), CVSS 10.0, improper authentication.
• Tres CVEs en Cisco Catalyst SD-WAN Manager (CVE-2026-20122, 20128, 20133) — improper use of privileged APIs + passwords en formato recoverable.
• CVE-2026-33825 (Defender) entra el 22 de abril tras confirmar explotación.

Fuentes: https://msrc.microsoft.com/update-guide/releaseNote/2026-Apr · https://www.crowdstrike.com/en-us/blog/patch-tuesday-analysis-april-2026/ · https://www.thezdi.com/blog/2026/4/14/the-april-2026-security-update-review · https://www.cisa.gov/news-events/alerts/2026/04/20/cisa-adds-eight-known-exploited-vulnerabilities-catalog

OpenAI GPT-5.5 + GPT-5.5-Cyber

23 de abril: OpenAI anuncia GPT-5.5 menos de dos meses después de GPT-5.4. Cambio de iteración (no de generación) con mejoras en coding agentic, computer use, y deep research. La novedad operativa es la cadencia: OpenAI ha pasado a release cycle bimensual con incrementos visibles en agentic benchmarks. El framing competitivo es explícito: la velocidad de release es la respuesta de OpenAI al patrón Anthropic-Mythos / Google-Gemini.

El mismo día, OpenAI anuncia GPT-5.5-Cyber — modelo específicamente entrenado para defensive cybersecurity, distribuido inicialmente a un grupo cerrado de critical cyber defenders (la frase es de la nota de Altman; el subset no se publica). El paralelismo con Glasswing es obvio aunque el modelo no se posiciona explícitamente como respuesta — capability defensiva entregada a grupo restringido, no GA. La diferencia operativa: Anthropic compromete $100M en credits explícitos; OpenAI no aporta cifra equivalente en el anuncio.

El patrón Q2 2026 que sale de Mythos + GPT-5.5-Cyber: los frontier labs se están movinedo a una segmentación de modelo por tier de usuario, con capability ofensiva-defensiva restringida a partners institucionales. La pregunta abierta: qué pasa con el mismo nivel de capability cuando llegue a open-weights — los rumores de DeepSeek-V5 para Q3 2026 enmarcan la respuesta.

Fuentes: https://www.cnbc.com/2026/04/23/openai-announces-latest-artificial-intelligence-model.html · https://officechai.com/ai/after-anthropics-claude-mythos-openai-releases-gpt-5-5-cyber-a-cybersecurity-focused-model/

Pwn2Own Berlin — el desbordamiento de capacidad como noticia previa

11 de marzo: Zero Day Initiative anuncia Pwn2Own Berlin 2026 con diez categorías y, por primera vez, una expansión seria de targets AI: AI databases, coding agents (Claude, Copilot, Cursor), local inference (Ollama, LM Studio) y un NVIDIA-specific track (CUDA Toolkit, NV Container Toolkit, Megatron Bridge). Más de $1.000.000 en premios anunciados.

Finales de abril: ZDI comunica que el volumen de submissions ha desbordado la capacity operativa del evento por primera vez en 19 años. Más de 150 investigadores con zero-day RCE chains funcionales se han quedado sin slot. Algunos empiezan a publicar su trabajo en vendor pre-disclosure durante las últimas semanas del mes: RCE chains en Firefox, Ollama, LM Studio, PyTorch, Linux KVM, NVIDIA, Docker y Claude Code aparecen en advisories independientes y posts antes del evento del 14-16 de mayo.

La lectura para la categoría AI: el ecosistema de inference local y agentes de coding tiene superficie de ataque comparable al de un browser hace una década. Local inference servers como Ollama y LM Studio son procesos privilegiados con consumo arbitrario de archivos del usuario; coding agents como Claude Code y Cursor son ejecución de código con permissions amplios. El Pwn2Own AI track no es marketing — refleja una superficie que ha aparecido en producción enterprise sin pasar por threat modeling serio.

El evento se celebra del 14 al 16 de mayo (cobertura en el boletín del mes que viene). Lo de abril deja registrado el problema antes de que ocurra el evento: hay más bugs publicados de los que el contest puede procesar.

Fuentes: https://www.thezdi.com/blog/2026/3/11/announcing-pwn2own-berlin-for-2026 · https://hackread.com/pwn2own-berlin-2026-hits-capacity-hackers-0-days/ · https://www.thezdi.com/blog/2026/5/13/pwn2own-berlin-2026-the-full-schedule

Mandiant M-Trends 2026 — la ventana de hand-off cae a 22 segundos

23 de marzo (con análisis dominante en abril): Mandiant publica M-Trends 2026 sobre 500.000 horas de incident response de 2025. El número-titular es la caída de la ventana de hand-off entre acceso inicial y operación secundaria: ocho horas en 2022, 22 segundos en 2025. Es lo que la industria viene llamando flash-ransomware — un IAB compromete, vende o cede el acceso, y el operador ransomware está dentro casi inmediatamente.

Otros hitos del report relevantes para 2026:

• Dwell time medio global sube a 14 días (era 11 en 2024). Sube porque suben los BRICKSTORM-style backdoors con persistencia extrema — el report cita casos con dwell time cercano a 400 días.
• Vector de acceso inicial #1: explotación de vulnerabilidades 32 % por sexto año consecutivo. Phishing por email cae al 6 % (significativamente abajo). Vishing interactivo sube al 11 %, recogiendo el patrón helpdesk que la wave UK retail 2025 industrializó.
• AI threats: el report introduce dos familias new-mode: PROMPTFLUX y PROMPTSTEAL que consultan LLMs en runtime para evadir detección, y QUIETVAULT que detecta CLIs de AI locales en el host comprometido. El framing de Mandiant: AI todavía no es causa primaria de breaches; sigue siendo amplificador.
• Ransomware recovery denial: targets prioritarios actuales son backup infrastructure, identity services, virtualization management planes. AGENDA (Qilin) y REDBIKE (Akira) como casos paradigmáticos.

Fuente: https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026/

AESIA — guías 13 y 14, post-market monitoring + incident reporting

28 de abril: AESIA confirma la publicación de las Guías Técnicas 13 y 14 del marco de cumplimiento del AI Act. Detalle del bloque:

• Guía 13 — post-market monitoring para providers de sistemas de alto riesgo. Operacionaliza el Art. 72 con plantillas y procedimientos.
• Guía 14 — serious incident reporting regime. Operacionaliza el Art. 73, con criterios para qualificar como serious incident + plazos.

Con esto, AESIA completa 16 guías técnicas + 2 introductorias + toolkit de checklists y plantillas publicadas durante 2025-2026. Es el state of the art de guidance nacional sobre AI Act en la UE. Las guías cubren el ciclo completo: conformity assessment, risk management, technical documentation, human oversight, data governance, transparencia, accuracy, robustness, ciberseguridad, record-keeping, post-market surveillance, incident management.

La nota AESIA al pie de las guías: están sujetas a revisión tras la aprobación del Digital Omnibus si llega. El toolkit con templates aplicables a Anexo III sigue en versión beta pendiente de la fecha definitiva.

Fuente: https://aesia.digital.gob.es/en/present/resources/practical-guides-for-ai-act-compliance

M&S — aniversario y consolidación del playbook helpdesk

25 de abril: aniversario del ataque a Marks & Spencer que abrió la wave UK retail de 2025 (Co-op, Harrods, Adidas downstream). Doce meses después, el Cyber Monitoring Centre del UK mantiene la clasificación del incidente combinado M&S + Co-op como single combined cyber event con impacto agregado en banda £270M-£440M. La guía operativa que M&S dio en mayo de 2025 sobre ~£300M en operating profit del FY2025/26 se confirma como referencia real durante el reporting trimestral.

Lo que ha cambiado en doce meses sobre el supply chain de helpdesk outsourced: TCS publica revisión completa de procedimientos de verificación de identidad en clientes retail UK durante Q4 2025; NCSC publica guidance específica en mayo de 2025 sobre out-of-band verification con criterios mínimos; varios retailers UK han movido helpdesk tier-1 a operación interna o han impuesto contratos con security baseline mínimo. El patrón de regresión, según el reporting de Mandiant: Scattered Spider mantiene actividad sostenida contra retail y financial services en EU, US y APAC, pero los targets UK retail muestran resistance significativamente mejor en Q1 2026.

Fuente: https://www.cybermonitoringcentre.com/our-events/2024-2025-co-op-marks-and-spencer-cyber-event/

Resto del mes

• CVE-2025-32975 (Quest KACE SMA) — CVSS 10.0, improper authentication con explotación activa antes del KEV add. La línea de CVEs CVSS 10 en herramientas de systems management (Quest KACE, ConnectWise, N-able) sigue siendo categoría perenne; cualquier herramienta de gestión remota de endpoint enterprise es objetivo prioritario.
• Verizon DBIR 2026 preview — la edición 2026 cubre eventos de 1 nov 2024 a 31 oct 2025. Publicación final esperada en mayo (segundo informe estructural anual). Patrón confirmable por adelanto: exploitation of vulnerabilities sigue subiendo como vector inicial; supply chain breaches dobla a 30 %.
• Frontier Model Forum — operational pivot (durante abril): el FMF (Anthropic, Google DeepMind, Microsoft, OpenAI) reorienta su perfil de research y policy hacia operativa de threat intelligence sharing entre miembros. La inflexión es coherente con que el capability uplift de Mythos y GPT-5.5-Cyber materializa el model weights theft como threat actor objective explícito en los reports de los propios labs.
• EDPB / EDPS opinion conjunta sobre Omnibus (publicada en marzo, eco en abril) — advierten que la flexibilización del procesamiento de special category data propuesta por el Omnibus impacta el purpose limitation del GDPR. Documento citado por el EP en el joint report del 18 de marzo.
• Microsoft Recall — un año después (eco operativo de abril): Recall cumple un año del relanzamiento controlado en Copilot+ PCs con VBS enclave + Windows Hello binding + AES-256-GCM. En marzo, el investigador suizo Alexander Hagenah publica TotalRecall Reloaded, demostrando que la operativa que Microsoft anunció como mitigada sigue siendo replicable bajo ciertas condiciones. Lecturas paralelas en GeekWire y Windows Central a finales de enero sobre el AI push pullback de Windows 11. El análisis original de 2024 sigue siendo punto de partida.
• Pwn2Own Automotive 2026 — eco operativo (evento de enero 21-23, seguimiento de patches): Tesla, Sony, Alpine y Phoenix Contact publican parches durante febrero-abril cerrando la mayor parte de las CVEs adjudicadas (76 bugs únicos, $1.047.000 en bounties pagados). El disclosure window de 90 días post-evento se mantiene operativo y los advisories siguen apareciendo durante Q2.

Patrón transversal — el frontier model como ciudadanía restringida

Abril deja una lectura operativa sobre estrategia de despliegue AI: el modelo más capaz deja de ser el más accesible. Anthropic con Mythos y OpenAI con GPT-5.5-Cyber han marcado el patrón. La capability frontier se va a partir, durante 2026, en dos segmentos: una commercial frontier accesible vía API con safeguards estrictos, y una institutional frontier accesible solo a partners institucionales designados.

Para defenders del lado largo (los que no van a estar en Project Glasswing ni en el grupo de critical cyber defenders de OpenAI), la lectura es uniforme: el atacante con acceso a modelo open-weights de capability comparable está a un release de distancia. Lo que se contiene durante el período preview es la cadencia, no la difusión última. DeepSeek-V4 mostró en diciembre que la capability frontera abierta es tres-seis meses detrás de la cerrada. La asimetría defensiva real es la del período entre release cerrado y release abierto equivalente.

Lo que se puede operativizar mientras tanto:

1. AI-assisted vulnerability discovery sobre el propio stack con modelos disponibles — el patrón “scan your own code with the best model you can access, before someone else does” se generaliza desde Glasswing al resto.
2. Patch hygiene en componentes legacy de high-impact. SharePoint, Exchange, MFT enterprise, Citrix appliances, Windows IKE — la lista del primer trimestre 2026 es la misma del último de 2025.
3. Helpdesk hardening completado en organizaciones grandes; pendiente en mid-market — out-of-band verification, manager checkpoint, time-delay configurable. El playbook M&S sigue funcionando contra organizaciones que no han actualizado.
4. Plan dual AI Act — preparar como si el deadline fuera 2 de agosto; ejecutar a velocidad sostenible bajo el supuesto que sí llega el Omnibus. El tercer trílogo del 13 de mayo es la próxima fecha sensible.

Mayo va a traer dos posts: el técnico cyber sobre Pwn2Own Berlin 2026 (categoría AI agents + local inference, con material para análisis del estado del ecosistema agentic en producción) y el boletín con el resultado del tercer trílogo del Omnibus, las cifras finales del Pwn2Own, y el Verizon DBIR 2026 cuando se publique.