Los investigadores de Huntress detectaron una serie activa y continua de ataques dirigidos a cuentas de firewall y VPN de SonicWall, que comprometieron a 30 organizaciones en menos de dos días, dijo la compañía en un aviso de amenaza Martes.
La campaña de relleno de credenciales comenzó el sábado y creció rápidamente, comprometiendo finalmente 92 cuentas de usuarios únicas durante las siguientes 41 horas, según Huntress. Los investigadores dijeron que los ataques fueron amplios y oportunistas y afectaron a varios dispositivos SonicWall, en lugar de apuntar a tipos específicos de organizaciones.
SonicWall no ha publicado un aviso de seguridad sobre la actividad maliciosa al momento de esta edición. Un portavoz dijo a CyberScoop que la compañía todavía está investigando y espera tener más información pronto.
Los ataques terminaron –al menos por ahora– tan abruptamente como comenzaron. El último compromiso se produjo el lunes, según Michael Tigges, analista principal de respuesta táctica de Huntress.
«Esto se ajusta a las tendencias de la campaña», dijo. “Se producirá una ola de compromisos, seguidos de silencio hasta que el adversario rote la infraestructura”.
Los atacantes, que no han sido identificados, también se han abstenido de iniciar cualquier actividad posterior al compromiso, lo que indica que las intrusiones podrían estar preposicionándose para futuros ataques.
«Con el acceso a la red local, el cielo es esencialmente el límite para la mayoría de las redes que no cuentan con controles de topología adecuados», dijo Tigges.
Las observaciones de Huntress se limitan a la telemetría que recopila de sus clientes, lo que significa que todas las víctimas identificadas eran clientes de Huntress que usaban dispositivos SonicWall, por lo que la cantidad de organizaciones afectadas podría ser mayor.
Los investigadores no han identificado la causa raíz de los ataques y señalaron que comienzan con inicios de sesión autorizados. Los atacantes están validando credenciales en portales de acceso remoto para comprometer tantas cuentas vulnerables como sea posible, dijo el proveedor de ciberseguridad y firma de inteligencia de amenazas.
«Esto podría ser una agregación de registros de malware ladrón, archivos de configuración de SonicWall previamente comprometidos o un compromiso histórico de CVE que resultó en más credenciales de las que el adversario podía usar en ese momento», dijo Tigges.
En 2025, un actor de amenazas no revelado patrocinado por el estado invadió el entorno de nube de SonicWalls y robó las configuraciones de firewall de cada cliente.
Los clientes de SonicWall también se han visto afectados por una avalancha de días cero explotados activamente, incluido un par de días cero que fueron explotados durante tres semanas antes de que el proveedor revelara y reparara los defectos a principios de este mes, y defectos previamente revelados en dispositivos SonicWall durante años.
Se han añadido a la lista de CISA diecisiete defectos que afectan a los productos del proveedor. catálogo de vulnerabilidades explotadas conocidas desde finales de 2021. Se sabe que diez de esos defectos se utilizan en campañas de ransomware, según CISA, incluida una ola de alrededor de 40 ataques de ransomware Akira entre mediados de julio y principios de agosto de 2025.
«Los dispositivos perimetrales son una de las interfaces más atacadas y comprenden más del 70% de las intrusiones activas clasificadas por Huntress, incluida la abrumadora mayoría de las implementaciones de ransomware», dijo Tigges. «Las organizaciones que no dedican mucho tiempo a diseñar soluciones de acceso remoto seguro y redes que sean resistentes al compromiso de los dispositivos de borde probablemente seguirán sintiendo el desgaste en los próximos meses y años».
Antrópico dice Vista previa de Claude Mythos ayudó a obtener un ataque de recuperación de claves de extremo a extremo contra HAWK-256 y una aceleración de 200 a 800 veces para un ataque contra AES-128 de siete rondas.
El ataque HAWK explota una simetría no utilizada anteriormente en la red detrás del esquema de firma. La implementación lanzada de Anthropic ofrece un tiempo de ejecución esperado de un extremo a otro de aproximadamente tres horas y 42 minutos en un servidor de 96 núcleos. El resultado de AES elimina un paso de adivinación de 256 vías de un ataque de encuentro en el medio existente.
Anthropic dijo que ninguno de los resultados afecta los sistemas de producción. HAWK sigue siendo candidato en un proceso de estandarización poscuántica del Instituto Nacional de Estándares y Tecnología (NIST), y el código de recuperación público solo apunta al parámetro más pequeño HAWK-256.
El resultado del Estándar de cifrado avanzado (AES) se aplica a siete de las diez rondas de AES-128 y aún requiere una cantidad poco práctica de textos sin formato elegidos. La compañía dijo que, como resultado, no es necesario cambiar el software de producción.
antrópico publicó los hallazgos junto con dos artículos técnicos y artefactos de reproducibilidad. La compañía dijo que Mythos Preview realizó en gran medida la investigación por sí mismo, y que los humanos proporcionaron la dirección del proyecto, los recursos informáticos y la verificación exhaustiva.
Una simetría escondida en la red de HAWK
HAWK es el único esquema basado en celosía entre los nueve candidatos que el NIST avanzó a la tercera ronda de su proceso adicional de firma digital poscuántica en mayo de 2026. Sus conjuntos de parámetros de nivel de seguridad NIST son HAWK-512 y HAWK-1024; HAWK-256 es un parámetro de desafío proporcionado como un objetivo criptoanalítico.
La recuperación directa de claves HAWK es una instancia del módulo de búsqueda Lattice Isomorphism Problem (smLIP). Un atacante debe recuperar una transformación oculta entre dos redes.
A artículo de Daniël van Gent y Ludo Pulles demostró que un automorfismo no trivial, una simetría que preserva la red, reduciría la recuperación de la clave HAWK a encontrar un vector corto en una red de aproximadamente la mitad de la dimensión original.
Ese trabajo abrió la vía del ataque, pero los autores dijeron que no afectó a HAWK. Anthropic dice que Mythos Preview encontró el automorfismo adicional necesario para explotar el camino.
El resultado Ataque HAWK-n construye lo que los investigadores llaman una red de cociclo τ a partir de la clave pública. Luego utiliza la reducción y el tamizado de la red para recuperar vectores cortos antes de reconstruir una base secreta que pueda firmar mensajes para la clave pública original.
antrópico implementación liberada verifica la clave recuperada firmando un mensaje y verificándolo con la implementación de referencia del NIST. No recupera la semilla de clave secreta original de 96 bytes. En cambio, produce una clave decodificada de 592 bytes que contiene material de firma funcionalmente equivalente.
El código publicado de Anthropic solo admite HAWK-256 y rechaza todas las entradas que no sean HAWK-256. El repositorio incluye dos claves públicas que Anthropic dice haber atacado con éxito. También admite la generación y prueba de claves HAWK-256 nuevas.
Anthropic estima que el factor de trabajo de recuperación clave esperado del HAWK-256 cae de 264 a 238. En un anuncio del foro NIST el mismo díadijo que la estimación del recuento de puertas cae de 2150 a 2108 para HAWK-512 y de 2288 a 2182 para HAWK-1024. Ambos parámetros más amplios siguen siendo poco prácticos de atacar.
A partir de esta revisión, el registro público no muestra si el NIST o los remitentes de HAWK cambiarán los parámetros del esquema, las afirmaciones de seguridad o la posición en el proceso de estandarización en respuesta a esas estimaciones más bajas, en todo caso.
El ataque sigue siendo exponencial. No es una ruptura de tiempo polinomial de HAWK, y Anthropic dijo que no se extiende a otros candidatos de firma del NIST ni a la criptografía reticular en general.
Anthropic dijo que Mythos Preview desarrolló y verificó el resultado durante aproximadamente 60 horas en un entorno de múltiples agentes. Un investigador humano proporcionó orientación ocasional sobre la gestión de proyectos, pero no era un especialista en criptografía reticular. La empresa estimó el coste de la interfaz de programación de aplicaciones (API) en unos 100.000 dólares.
Más rápido, pero aún poco práctico
El segundo resultado apunta al AES-128 reducido de diez rondas a siete. El estudio de cifrados de ronda reducida es una práctica criptoanalítica estándar porque mide cuánto margen de seguridad queda antes de que un ataque alcance su construcción completa.
El ataque supone que un adversario puede obtener alrededor de 2105 textos claros seleccionados cifrados bajo una clave fija desconocida. Ese requisito por sí solo lo sitúa muy lejos del uso en el mundo real.
Los ataques anteriores de encuentro en el medio intercambian memoria por cálculo almacenando estados de cifrado intermedios y haciendo coincidir cálculos realizados desde extremos opuestos del cifrado. Una etapa del ataque anterior requirió probar 256 valores posibles antes de buscar en la tabla.
Mythos desarrolló una huella digital invariante que los antrópicos llaman Puente de Möbius. Debido a que la huella digital no cambia en ese valor estimado, el ataque puede eliminar la enumeración de 256 vías. Después de tener en cuenta el costo de la transformación y otras optimizaciones, Anthropic estima que el ataque AES-128 de siete rondas es de 200 a 800 veces más rápido, dependiendo de cómo se mide el tiempo de ejecución.
el acompañante papel AES presenta la construcción matemática, mientras que la artefacto liberado proporciona código para cada experimento citado en el artículo.
El código de Anthropic realiza una recuperación completa de la clave de caja negra contra un cifrado más pequeño tipo AES con una clave de 24 bits. Para AES-128 real de siete rondas, mide las entradas de mesa individuales y los candidatos en línea. Implementaciones separadas de C, Python y Rust prueban las afirmaciones de los componentes, y Anthropic proyecta esas medidas para el ataque completo. No ejecuta la recuperación AES-128 completa de principio a fin.
El resultado práctico es más limitado de lo que podrían implicar los nombres HAWK y AES. La recuperación completa de HAWK tiene como objetivo HAWK-256, un parámetro de desafío en lugar de cualquiera de los conjuntos de parámetros de nivel de seguridad NIST. Para el AES-128 de siete rondas, Anthropic proyecta el costo completo del ataque a partir de las mediciones de los componentes, y el ataque sigue siendo inviable a una escala realista.
La compañía dijo que el modelo inicialmente se negó a participar, insistiendo en que era imposible mejorar AES. Anthropic publicó las contundentes indicaciones de seguimiento del investigador, con errores tipográficos y todo, que impulsaron al modelo a seguir buscando.
Anthropic dijo que Mythos Preview encontró el puente Möbius después de unos tres días y varios cientos de millones de tokens de salida. Refinó el método durante los días siguientes y finalmente generó aproximadamente mil millones de tokens de salida.
El mayor costo fue humano. La ejecución del modelo costó aproximadamente 100.000 dólares en uso de API, pero los investigadores dedicaron varios cientos de horas a comprobar el método. Anthropic dijo que dos investigadores tardaron casi un mes en llegar a estar seguros de que era correcto. En opinión de Anthropic, la verificación era el cuello de botella visible.
Las revelaciones siguen a la publicación del 20 de julio de Banco de Criptoanálisisun punto de referencia de 191 tareas desarrollado por investigadores de ETH Zurich, Anthropic, la Universidad de Haifa, Technische Universität Berlin y la Universidad de Tel Aviv. Cinco modelos rompieron entre el 65% y el 86% de sus esquemas más fáciles de primer nivel y de seis a 12 esquemas completos en su segundo nivel.
Ese punto de referencia evaluó Mythos 5, que Anthropic describe como la última actualización de Mythos Preview. La divulgación de HAWK y AES nombra específicamente Mythos Preview.
A partir del 29 de julio de 2026, el NIST continuó incluyendo a HAWK como candidato de tercera ronda. El anuncio de Anthropic en el foro NIST agradeció al equipo HAWK por ayudar a verificar el resultado y brindar comentarios, pero no dijo si eso implicó revisar la prueba, ejecutar el artefacto público o ambas cosas.
El hilo público no contenía respuestas cuando se revisó, y The Hacker News no localizó una reproducción independiente de la recuperación HAWK-256 de Anthropic durante esta revisión.
Un inquilino de la nube que no utilice nada más que el acceso normal a la GPU puede aumentar y disminuir el consumo de energía de un centro de datos lo suficientemente rápido como para amenazar la red en la que se ejecuta, sin explotar ni entrar.
Ese es el reclamo detrás Bit2Wattdescrito por tres investigadores de la Universidad de Zhejiang en un artículo aceptado para CHÉS 2026la conferencia de seguridad de hardware de la IACR, y la evidencia se divide en dos: midieron la modulación de potencia en GPU reales y simularon la desestabilización de la red que podría causar.
La técnica invierte el modelo habitual de ataque a la red: sin sensores comprometidos, sin malware en los sistemas de control, sin credenciales de operador robadas, solo una carga de trabajo creada para comportarse mal a propósito.
Funciona porque el consumo de energía de una GPU sigue lo que sea que esté computando. Saturar los núcleos tensoriales y los picos de corriente; cae al ralentí y colapsa. Alterne entre esos estados según un cronograma y obtendrá una oscilación de energía controlable en el enchufe de la pared.
Los autores lo formulan como una pregunta contundente: ¿pueden «acciones puramente computacionales, ejecutadas como cargas de trabajo legítimas, usarse como arma para desestabilizar la infraestructura energética»? El resto del artículo es su respuesta.
Dos maneras de entrar
El primer método, al que llaman SWMAcarga un kernel CUDA especialmente diseñado que alterna entre un modo de computación de alta intensidad y uno casi inactivo. Un controlador del lado del host establece el programa de conmutación y alterna el modo a través de un único indicador de memoria unificada asignado con cudaMallocAdministradoherramientas estándar en lugar de algo exótico.
En las GPU probadas, la carga de trabajo sintética produjo componentes de potencia desde aproximadamente 1,5 kHz hasta 6 kHz, alcanzando un máximo en un RTX 4090, muy por encima de los pocos hercios que produce una carga doméstica oscilante como un aire acondicionado.
Se mantuvo en GPU de centros de datos como la A100 y Tesla V100, no solo en tarjetas de juegos. El kernel personalizado y su estrecho ciclo de sondeo son el tipo de cosas que un proveedor podría aprender a tomar huellas dactilares.
El segundo, LTMAes el que debería preocupar a los operadores. En lugar de un núcleo sintético, entierra la modulación dentro de una ejecución de entrenamiento LLM real, ajustando hiperparámetros e insertando operaciones auxiliares para hacer que la carga informática suba y baje sin interrumpir el entrenamiento.
El control es más flexible que el de SWMA, limitado por la rapidez con la que se itera el bucle de entrenamiento, y las frecuencias son más bajas, aproximadamente de 1,2 a 3 kHz. Pero alcanza una amplitud mayor y se mezcla con el ruido normal del entrenamiento, que es exactamente lo que lo hace más difícil de detectar. Ninguno de los métodos necesita privilegios elevados, porque un inquilino ya controla sus propios guiones de capacitación y horarios de trabajo.
Esas son cifras de una sola GPU y solo afectan a granel. El artículo modela el caso en su forma más peligrosa: una red local simulada de 1 MW, alimentada en un 90% por recursos energéticos distribuidos (la energía solar del tejado y las baterías alimentan cada vez más las redes locales), con 1.000 GPU modulando en perfecta sintonía.
En esa simulación del peor de los casos, la distorsión armónica total (THD) actual alcanzó el 46,8%, muy por encima de la pauta del 13% con la que el documento lo compara según IEC 61000-3-12. La relación de amortiguación cayó a -0,27, un valor negativo que marca un modo inestable, donde la rejilla amplifica una perturbación en lugar de amortiguarla.
El documento lleva el modelo aún más lejos, hacia una red de 9.241 buses destinada a parecerse a la red de transmisión europea, donde una perturbación localizada equivalente al 2% de la carga del sistema cae en cascada a lo largo de 13 etapas y elimina alrededor del 81% de la carga. Ese número acumula supuestos del peor de los casos en un modelo específico, y es una propiedad de la simulación, no un pronóstico de nada real.
Ese paso firme es la suposición que soporta la carga y la optimista para el atacante: el documento admite que alinear las transiciones de energía a través de una flota real de GPU en la nube sigue siendo un problema abierto. En su propio modelo de 2 kHz, la fluctuación temporal con una desviación estándar de 100 microsegundos redujo la amplitud agregada en aproximadamente un 20%, y el artículo no afirma que esa cifra refleje una nube típica.
Un ataque real necesitaría que se alinearan varias cosas a la vez: suficientes GPU agrupadas físicamente, una estrecha sincronización entre ellas, una modulación que sobreviva a las etapas de acondicionamiento de energía del centro de datos y una red cuyas resonancias amplifican la frecuencia elegida.
Los experimentos físicos se realizaron en bancos de pruebas controlados y el daño a escala de red provino de la simulación, sin ataques a sistemas de producción ni fallas de seguridad reveladas en ningún producto comercial específico.
Hacker News se ha puesto en contacto con investigadores de la Universidad de Zhejiang para comentar hasta qué punto escala el ataque en un entorno de nube real y actualizará esta historia con cualquier respuesta.
Lo que impide que sea puramente académico es que la física ya está registrada. En agosto de 2025, Microsoft, OpenAI y NVIDIA publicaron su propio papel sobre la estabilización del poder de entrenamiento de la IA, advirtiendo que las oscilaciones sincronizadas de grandes trabajos de entrenamiento pueden, cuando su frecuencia se alinea con las frecuencias críticas de una empresa de servicios públicos, «causar daños físicos a la infraestructura de la red eléctrica».
Bit2Watt toma ese efecto accidental y pregunta qué podría hacer un inquilino con él deliberadamente.
La red también se ha visto asustada por el mal comportamiento de los centros de datos por accidente. En julio de 2024, una falla de transmisión en una zona del norte de Virginia con gran densidad de centros de datos causó aproximadamente 1.500 MW de carga del centro de datos desconectarse de la red de inmediato, cuando los propios sistemas de protección de las instalaciones las cortaron para obtener energía de respaldo.
NERC, que supervisa la confiabilidad de la red de América del Norte, dijo que la perturbación no representaba ningún riesgo para la confiabilidad en ese momento, aunque los operadores sí tuvieron que corregir el voltaje. Advirtió que el peligro crece a medida que estas cargas aumentan, y su comité técnico creó un grupo de trabajo sobre cargas grandes más adelante en 2024 para estudiarlas.
Nadie atacó nada; los centros de datos se protegieron. La cuestión no es que la red estuvo a punto de fallar, sino que una carga de ese tamaño puede caer en un instante, más rápido de lo que los operadores pueden planificar, y el riesgo aumenta a medida que estas flotas crecen.
El ciclo se cierra con lo que los autores llaman Watt2Bit, la perturbación que se retroalimenta al lado de la computación. El análisis del artículo muestra cómo el calentamiento impulsado por armónicos y la corriente elevada podrían activar la protección térmica o contra sobrecorriente y apagar los servidores GPU, convirtiendo un problema de calidad de energía en una denegación de servicio.
Lo que es más extraño aún, la misma modulación también funciona como un canal encubierto. Codificando bits como dos frecuencias, 2 kHz para 1 y 200 Hz para 0, el equipo capturó las emisiones electromagnéticas en una antena de campo cercano conectada a una radio definida por software y recuperó una secuencia de prueba de 50 bits con cero errores.
Es un primo cercano de PowerHammer, el ataque de exfiltración de datos de espacio aéreo que THN cubrió en 2018, con una distinción: PowerHammer lee datos conducidos a lo largo de la línea eléctrica, conectados en cualquier lugar desde el tomacorriente hasta el panel eléctrico del edificio, mientras que el canal de Bit2Watt necesita una antena que capte EMI de campo cercano directamente en el hardware.
Ninguno de los dos se comunica a través de Internet; ambos necesitan un punto de apoyo físico cerca de la energía o de la máquina.
No hay errores que parchear
La telemetría estándar apenas lo detecta. Los contadores de la PDU en rack se muestrean una vez por segundo, la telemetría NVML de NVIDIA a 450 Hz e incluso las interfaces comunes más rápidas, RAPL y BMC de servidor, alcanzan un máximo cercano a 1 kHz, mientras que la modulación es varias veces mayor.
Un detector liviano que los investigadores construyeron con energía y datos NVML tuvo un desempeño deficiente; agregar funciones de creación de perfiles de GPU lo mejoró y la detección EMI dedicada funcionó mejor. LTMA fue consistentemente más difícil de detectar que SWMA. Esos resultados provienen de un detector de grado de investigación, no de los sistemas propietarios que podría ejecutar un gran proveedor de nube, por lo que no prueban que un hiperescalador lo pasaría por alto.
El mayor problema no es la visibilidad. No hay ningún error del producto que corregir, porque la exposición es la arquitectura misma: el estrecho acoplamiento entre la carga volátil de la GPU y una red con muchos inversores, que ningún monitoreo convencional vigila.
El artículo ofrece defensas para ambos lados a la vez: baterías, supercondensadores y filtrado de armónicos en el lado de la energía; detección de anomalías en la utilización de GPU y programas de capacitación en el lado de la computación. Enmarca un sistema único que une a los dos como trabajo futuro.
El lado de la computación y el lado de la red son administrados por diferentes compañías, monitoreados por diferentes herramientas, y ninguno está diseñado para vigilar al otro. En esa costura es donde vive Bit2Watt, y ahora mismo no tiene dueño.
Los investigadores de Sysdig han vinculado un segundo ataque en el mismo servidor Langflow con JADEPUFFER, el operador impulsado por agentes de inteligencia artificial que documentó por primera vez a principios de este mes.
Ahora se ha visto al mismo operador desplegando APLICARun nuevo ransomware Go compilado diseñado para cifrar pesos de modelos, índices de vectores, conjuntos de datos de entrenamiento y otros archivos de infraestructura de IA en todo el sistema de archivos del host.
El punto de entrada no cambió. Versiones de Langflow anteriores a 1.3.0 exponer el /api/v1/validate/code punto final sin autenticación, lo que permite que cualquier atacante remoto ejecute Python arbitrario en el servidor. el defecto, CVE-2025-3248tiene una puntuación CVSS de 9,8 y ha estado en las vulnerabilidades explotadas conocidas de CISA. catalogar desde el 5 de mayo de 2025.
Como informó The Hacker News a principios de este mes, la operación anterior utilizó código Python desechable y MySQL. AES_ENCRYPT() función para cifrar y destruir datos en Nacos (el servidor de configuración de Alibaba) y bases de datos de producción.
el nuevo Carga útil ENCFORGE reemplaza esos scripts improvisados con herramientas compiladas dirigidas a las tiendas de modelos, bases de datos vectoriales y canales de capacitación que la primera campaña barrió en busca de credenciales.
La carga útil de ENCFORGE
Los investigadores recuperaron el binario del servidor de comando y control del atacante, donde estaba oculto como /.lockd; una solicitud directa a /lockd devuelve 404 y el punto inicial lo mantiene fuera de una lista de directorio simple. El archivo es un ELF Go 1.22.12 estático empaquetado en UPX 5.20.
Las plataformas de inteligencia de amenazas no arrojaron detecciones ni en el hash empaquetado ni desempaquetado en el momento del análisis de Sysdig. El nombre interno del proyecto es encfile; El texto de error del binario hace referencia a una herramienta keygen complementaria llamada keyforge. Ambas cadenas sobreviven a la recompilación del mismo código base y sirven como anclajes de detección estables.
Su lista de extensiones predeterminada cubre puntos de control de PyTorch y TensorFlow, Hugging Face SafeTensors, formato de intercambio ONNX, GGUF (el estándar actual para LLM implementados localmente) y su predecesor GGML, índices vectoriales FAISS, conjuntos de datos de entrenamiento Parquet y Arrow, matrices NumPy y registros TensorFlow.
Un --include flag permite al operador agregar globs de archivos adicionales; el texto de ayuda incorporado utiliza adaptadores de ajuste fino LoRA y pesos GGML heredados como ejemplos. La lista completa incluye aproximadamente 180 extensiones. Esos ejemplos apuntan directamente a entornos de IA; un casillero de archivos genérico tendría pocas razones para nombrar adaptadores LoRA o pesos GGML heredados. Los investigadores interpretaron la elección como un objetivo deliberado, no como una cobertura incidental.
ENCFORGE utiliza AES-256-CTR para datos de archivos, con la clave simétrica por ejecución incluida en una clave pública RSA-2048 integrada compilada en esta compilación. En lugar de cifrar archivos completos, cifra regiones seleccionadas, la misma optimización de velocidad que utilizan los casilleros LockBit y BlackCat.
Cada archivo procesado se renombra con un .locked extensión. El binario elimina los procesos que mantienen los archivos abiertos antes de cifrarlos, maneja los reinicios sin volver a cifrar los archivos completados y arroja notas de rescate como README, HOW_TO_DECRYPTy README_DECRYPTy se elimina después de ejecutarse.
El binario ENCFORGE recuperado no tiene capacidad de exfiltración. No lleva código de red, cliente de almacenamiento en la nube ni mecanismo de preparación, y los investigadores no encontraron evidencia de filtración de datos, un sitio de filtración o un portal de pago Tor durante la sesión que observó. Su única ventaja son los datos cifrados.
El contacto de extorsión incluido en las notas de rescate es e78393397@proton.mela misma dirección de Proton Mail utilizada en la campaña anterior. Sysdig describe esto como el vínculo de atribución más fuerte entre las dos operaciones.
Los investigadores revelaron una sesión observada, no nombraron la organización y no proporcionaron ningún recuento de víctimas ni evidencia de otro despliegue de ENCFORGE.
De Langflow al anfitrión
Después de confirmar la ejecución del código, JADEPUFFER barrió el contenedor en busca de credenciales y encontró el socket Docker en /var/run/docker.sock. Su primer intento de extraer ENCFORGE del servidor de comando y control de GCP falló. En lugar de detenerse, se adaptó.
Durante cinco minutos y 24 segundos, el operador creó y revisó seis scripts de Python a través del mismo canal Langflow RCE hasta que tuvo una ruta funcional hacia el host. El primer script se creó línea por línea, manteniendo inerte cualquier solicitud para la inspección basada en firmas.
A partir del segundo, el operador codificó cada script completo en base64 y lo decodificó dentro de un exec() llamada, evitando búsquedas a nivel de shell de comandos como base64 -d. La versión final utilizó la API de Docker para activar un contenedor privilegiado con el espacio de nombres PID del host y el sistema de archivos raíz montado, ubicó el proceso de destino y copió ENCFORGE a través de /proc//rootluego lo ejecutó en el host a través de nsenter.
En todas las iteraciones, los contenedores se crearon con Privileged: true, PidMode: host, NetworkMode: hosty el sistema de archivos raíz de lectura y escritura montado en enlace. Esa es la raíz del host.
Antes de la ejecución en vivo, el operador lanzó --try-run para escanear el sistema de archivos, luego --lock para el pase de cifrado en vivo. El script final verificó el estado del proceso, leyó el registro de bloqueo y contó los archivos que terminaban en .locked.
Los investigadores no publicaron el recuento resultante; la evidencia revelada establece un intento de cifrado en vivo, no cuántos archivos de modelo o conjunto de datos se cifraron con éxito.
Sysdig evaluó la --task-id gcp_h1 marcar como evidencia que el operador estaba rastreando este host como un objetivo de GCP dentro de una campaña más amplia; una prueba de ejecución anterior en la sesión utilizó el ID de tarea gcp_test. El informe no reveló víctimas adicionales ni sitios de despliegue.
Los investigadores documentaron la campaña anterior de JADEPUFFER corrigiendo un inicio de sesión fallido en Nacos en 31 segundos. El mismo patrón se mantuvo aquí frente a un problema más difícil: el operador construyó una ruptura de host a través del socket Docker expuesto cuando su ruta de entrega preferida estaba bloqueada.
Parche Langflow y luego proteja los modelos
Los investigadores estiman que reconstruir un modelo de producción de IA una vez cifrado podría costar entre 75 000 y 500 000 dólares por modelo en tiempo de ingeniería y computación de GPU en la nube.
Los entornos de producción a menudo ejecutan múltiples variantes especializadas en almacenamiento compartido, por lo que una sola ejecución de ENCFORGE podría cifrar múltiples variantes almacenadas en el mismo sistema de archivos accesible. Si los datos de capacitación se encuentran en el mismo host, la organización debe reconstruirlos antes de que pueda comenzar cualquier reentrenamiento.
Sysdig ha publicado las direcciones fuente y C2, la huella digital de la clave RSA-2048 integrada y una regla YARA en su informe completo.
Actualice Langflow a 1.9.1 o una versión compatible actual. Versión 1.3.0 cerrada CVE-2025-3248el vector de entrada para esta campaña, pero desde entonces CISA ha agregado dos vulnerabilidades Langflow más a su catálogo KEV: CVE-2026-33017una falla de RCE no autenticada corregida en 1.9.0, agregada a KEV el 25 de marzo de 2026; y CVE-2026-55255una omisión de autorización entre usuarios corregida en 1.9.1, agregada el 7 de julio de 2026.
Rote las claves del proveedor de IA, las credenciales de la nube, los secretos de la base de datos y cualquier otro token accesible al proceso de Langflow. La aplicación de parches no revoca las credenciales ya recopiladas a través de una instancia vulnerable.
Eliminar /var/run/docker.sock desde cualquier contenedor que no lo requiera. Cuando el acceso al socket sea inevitable, alcancelo a través de un proxy de configuración limitada; una implementación estándar de Langflow generalmente no necesita crear contenedores, y el acceso sin restricciones al socket Docker debe tratarse como una configuración incorrecta.
Alerta sobre procesos de aplicaciones que llaman a las API de creación de contenedores de Docker, contenedores lanzados con Privileged: true o PidMode: hostmontajes de enlace host-raíz y nsenter ejecución desde el interior de un contenedor.
Mantenga los pesos de los modelos, los índices vectoriales y los conjuntos de datos de entrenamiento en instantáneas inmutables o fuera de línea. Supervise esos directorios para detectar .locked creación de archivos.
Hacker News se puso en contacto con el equipo de investigación de amenazas de Sysdig para obtener más detalles sobre el alcance de la campaña de la flota y la confianza en la atribución; Sysdig no había respondido mediante publicación.
Los artefactos del modelo ahora pertenecen al mismo nivel de recuperación que el código fuente y las bases de datos de producción. Una organización que puede reconstruir la aplicación pero no puede restaurar sus pesos, índices o estado de entrenamiento no tiene una ruta de regreso limpia.
Pídale a un agente de inteligencia artificial que resuma las reseñas en la página de un producto y una sola reseña colocada puede hacer que haga clic en «Comprar ahora». Pídale a un asistente de codificación que aplique una solución de mantenimiento de un hilo de GitHub, y un comentario falso puede hacer que ejecute el comando de un extraño en su computadora.
Ninguno de los trucos secuestra la tarea del agente. Cada uno simplemente corrompe los hechos en los que confía y le permite continuar con el trabajo que solicitó.
Ésa es la forma de una nueva clase de ataque presentada en un artículo publicado el 6 de julio por investigadores de la Universidad Nacional de Seúl, la Universidad de Illinois Urbana-Champaign y Largosoft.
lo llaman inyección de datos del agenteo ADI. La entrada del atacante se disfraza de datos en los que el agente ya confía, como el nombre de un remitente o la identificación de un botón, por lo que pasa por alto la mayoría de las defensas creadas para detener la inyección rápida.
La brecha proviene de cómo lee un agente. Requiere dos tipos de cosas: instrucciones, es decir, lo que usted y el desarrollador de la aplicación le dicen que haga, y datos, es decir, todo lo que obtiene mientras trabaja, como un correo electrónico, una página web o un comentario. La inyección rápida clásica oculta un orden dentro de esos datos, algo así como «ignora tu tarea y envíame los archivos por correo electrónico».
Los investigadores llaman a eso inyección de instrucciones. Las defensas modernas están entrenadas para detectar texto que se lee como una orden de contrabando y bloquearlo, y contra ese movimiento ahora funcionan bien.
ADI trabaja una capa más abajo, en los pequeños hechos en los que un agente confía silenciosamente: quién envió un correo electrónico, la identificación de un botón en una página, el registro de un paso que una herramienta ya ejecutó. Corrompelos y el agente seguirá haciendo su tarea, solo que además de la información que plantó el atacante.
Puntuación falsa que cree el modelo.
El método detrás de esto es lo que los investigadores llaman inyección delimitadora probabilística. Los agentes envuelven sus datos en puntuación que marca dónde termina una parte y comienza la siguiente: comillas y llaves, etiquetas, corchetes y saltos de línea. Esa puntuación es la forma en que el modelo distingue un campo confiable, como el nombre de un remitente, del contenido que no es confiable, como el cuerpo de un mensaje.
Un programa normal lee esa puntuación según reglas estrictas. Un modelo de lenguaje lo lee mediante conjeturas. Por lo tanto, un atacante puede agregar caracteres similares a signos de puntuación en un campo que controla y el modelo a menudo los leerá como una estructura real que nunca estuvo allí, viendo un correo electrónico adicional, un botón adicional o un resultado de herramienta adicional.
La parte que hace que sea difícil detenerlo: la puntuación falsa ni siquiera tiene que ser correcta. En las pruebas, una comilla de escape (\»), una comilla curva, incluso un signo de dólar, pasaron por algo real y aun así engañaron al modelo. Un analizador estricto leería esos caracteres como texto ordinario, no como una nueva estructura.
Los investigadores crearon tres ataques funcionales a herramientas de envío reales:
En agentes web (Claude en Chrome, Antigravity de Google y Nanobrowser), una reseña de producto plantada reutiliza la identificación de un botón real. El agente quiere hacer clic en «Leer más» y en su lugar hace clic en «Comprar ahora», realizando un pedido que el usuario nunca realizó. Debido a que estas herramientas numeran los elementos de la página en orden, el atacante puede calcular la identificación con anticipación.
Sobre asistentes de codificación (Claude Code, Codex de OpenAI y Gemini CLI de Google), un comentario de GitHub falsifica su línea de autor para que parezca que la escribió un mantenedor del proyecto. Cuando se le indica que aplique la solución del mantenedor, el agente ejecutará el comando del atacante en la máquina del desarrollador si el desarrollador aprueba lo que parece un paso de rutina.
Una solicitud de extracción maliciosa falsifica el registro de un cheque que el agente nunca ejecutó, por lo que aparece un resultado limpio en su historial. El agente revisa ese resultado falso, considera que el código es seguro y procede a fusionarlo, incorporando el código malicioso real al proyecto una vez que el desarrollador lo aprueba.
La mayoría de estas herramientas ya preguntan antes de hacer algo arriesgado. Claude en Chrome pregunta antes de hacer clic; preguntan los asistentes de codificación antes de ejecutar un comando. No ayuda mucho. El mensaje de clic solo dice que el agente quiere hacer clic en un elemento, no en cuál ni por qué.
Los asistentes de codificación muestran su razonamiento, pero ese razonamiento se basa en hechos falsos, por lo que parece una explicación sensata de un paso normal. Al mirar la pantalla, un usuario tiene pocas formas de distinguir una aprobación real de una fabricada.
Y todos los modelos probados resultaron vulnerables: GPT-5.2 y GPT-5-mini de OpenAI, Claude Opus 4.5 y Sonnet 4.5 de Anthropic, y Gemini 3 Pro y Flash de Google. En los seis, funcionó con datos estructurados entre el 31% y el 43% del tiempo, y con datos de páginas web desde un tercio de los intentos hasta todos ellos.
Contra las defensas de agentes especialmente diseñadas que los investigadores probaron, se abrió la brecha: el clásico ataque de contrabando de órdenes fue bloqueado casi por completo, con una tasa de éxito cercana a cero, mientras que ADI aún tuvo éxito hasta el 50% de las veces. Mismas defensas, resultados muy diferentes, porque fueron construidas para el otro ataque.
¿Qué es lo que realmente lo detiene?
No todo cayó. El navegador Atlas de ChatGPT hizo caso omiso del ataque de clic porque etiqueta cada elemento de la página con una identificación aleatoria e indescifrable en lugar de un simple contador, por lo que el atacante no puede falsificar una coincidencia. Los investigadores encontraron que la misma idea, una breve etiqueta aleatoria agregada a los nombres de los campos, la redujo aproximadamente a la mitad, de aproximadamente el 49% al 29% en sus pruebas, manteniendo al mismo tiempo los agentes útiles.
Una defensa más fuerte que rastrea de dónde proviene cada dato lo excluyó por completo, cero ataques exitosos, pero dejó a los agentes terminando solo alrededor de un tercio de sus tareas ordinarias. Eliminar la puntuación también redujo el ataque, pero rompió la capacidad de los agentes para leer cosas normales como enlaces y rutas de archivos junto con él.
Los investigadores solo describen ataques de prueba de concepto y no hay ningún informe público sobre el uso de ADI en la naturaleza. El equipo informó todo a los proveedores afectados antes de publicarlo; OpenAI, Google y Anthropic reconocieron los informes, y Nanobrowser no había respondido al momento del artículo.
Para que el ataque funcione, es necesario que se alineen un par de cosas. El agente tiene que procesar contenido que un extraño puede editar, que es lo que hacen los agentes web y de GitHub todo el día. Y el atacante debe conocer el formato en el que el agente empaqueta sus datos.
Los investigadores dicen que un atacante puede recuperar el formato de una herramienta de código abierto o ejecutada localmente leyendo su código o aplicando ingeniería inversa, y que un servicio en la nube es más difícil, donde puede requerir un jailbreak que no está garantizado que funcione.
Según el documento, los investigadores también están publicando su código de ataque y de referencia, para que los proveedores y defensores puedan probarlo.
Woohyuk Choi, quien escribió el documento con el profesor Byoungyoung Lee, dijo a The Hacker News que OpenAI, Google y Anthropic han confirmado que el ataque es válido, y que OpenAI y Google pidieron una copia del documento. Más allá de eso, dijo, el equipo «no ha sido informado de ninguna solución, ya sea enviada o planificada».
En la parte difícil, recuperar el formato que utiliza un servicio en la nube, Choi dijo que el equipo lo logró de todos modos. Para ese formato del lado del servidor, que un atacante no puede ver directamente, consiguieron que el modelo lo revelara con un jailbreak de varios turnos y, con distintos esfuerzos, funcionó contra GPT, Claude y Gemini.
Incluso existe un atajo: los modelos más grandes y más pequeños de una empresa tienden a compartir el mismo formato, por lo que un atacante puede extraerlo de un modelo más pequeño, que es más fácil de romper. Choi espera que el formato siga siendo recuperable incluso cuando los modelos mejoren, porque los modelos de lenguaje no pueden mantener de manera confiable ese tipo de secreto.
donde encaja esto
El problema de confianza subyacente ya ha salido a la luz antes. En junio de 2025, Aim Security reveló EchoLeak (CVE-2025-32711), una falla en Microsoft 365 Copilot donde se podía crear un correo electrónico que podía hacer que el asistente filtrara archivos internos sin necesidad de hacer clic.
Microsoft lo parchó y no se informó ningún abuso en el mundo real, pero fue un caso temprano y concreto de una idea de inyección rápida convertida en una ruta funcional de exfiltración de datos en un producto de envío. EchoLeak fue esa historia en su primera forma: un orden oculto. ADI es la siguiente vuelta de tuerca.
Más recientemente, las pruebas entre proveedores han empujado a Claude Code, Gemini CLI y Copilot a filtrar sus propios secretos a través de textos de problemas y solicitudes de extracción, eludiendo las barreras de seguridad que GitHub agregó exactamente para eso. Esos ataques introdujeron instrucciones de contrabando. ADI falsifica quién dijo qué y falsifica el registro de lo que el agente ya hizo.
Los investigadores lo atribuyen a una lección que el software tradicional aprendió por las malas: mantener separados el código y los datos, y luego separar los datos confiables de los que no lo son.
Los agentes retomaron la primera mitad y se saltaron la segunda. Dentro de la propia memoria de un agente, el nombre de un correo electrónico se encuentra justo al lado del cuerpo de ese correo electrónico, sin nada que marque lo que el sistema avala y lo que escribió un extraño. Hasta que los agentes tracen esa línea, todo lo que necesita un ataque es una mentira convincente sobre quién envió algo.
Más de 20 sitios web del gobierno brasileño fueron secuestrados y convertidos en canales de distribución de malware en una actividad activa. FantasmaEnigma campaña descubierta por CUALQUIER EJECUCIÓNun proveedor líder de análisis interactivo de malware y soluciones de inteligencia de amenazas.
La investigación reveló un comportamiento de puerta trasera no documentado anteriormente, relaciones de infraestructura ocultas y múltiples armas de ataque detrás de una campaña que pone en riesgo a bancos y agencias públicas.
Al conectar cientos de sesiones de pruebas aparentemente no relacionadas, los investigadores de ANY.RUN expusieron el alcance más amplio de la operación y mostraron cómo los enlaces confiables .gov.br y los correos electrónicos autenticados ayudaron a que la actividad permaneciera oculta.
La infraestructura gubernamental confiable se convirtió en el atractivo
El ataque comenzó con documentos policiales falsos presentados como avisos oficiales del “Ofício Polícia Civil” o de la “Procuração Digital”. Algunos contenían códigos QR, mientras que otros dirigían a los destinatarios a enlaces diseñados para parecerse a recursos gubernamentales legítimos.
Documento falso con temática policial analizado dentro del sandbox de ANY.RUN para una visibilidad completa del ataque PhantomEnigma
En varios casos, los correos electrónicos se enviaron a través de buzones de correo comprometidos y pasaron las comprobaciones SPF, DKIM y DMARC. Eso dio a los mensajes una apariencia de legitimidad más fuerte que los correos electrónicos de phishing falsificados ordinarios.
Luego, las víctimas eran redirigidas a través de hosts .gov.br comprometidos o dominios similares con temas policiales antes de llegar al instalador malicioso. Los sistemas gubernamentales se utilizaron como infraestructura de entrega confiable, no necesariamente como objetivos finales de la campaña.
Anfitriones gubernamentales observados
Entre los sistemas comprometidos observados durante la investigación se encuentran timon.ma.gov[.]br, loginam.sesp.es.gov[.]br (seguridad pública estatal), aplicacao.cbm.mt.gov[.]br (departamento de bomberos), prodoc.ap.gov[.]br, y otros.
Consulta de búsqueda de TI que involucra hosts gubernamentales comprometidos
Estos portales legítimos municipales, de seguridad pública y judiciales se utilizaron en diferentes etapas de la cadena de entrega. Varios también aparecieron en más de un brazo de ataque de PhantomEnigma, lo que ayudó a los investigadores a conectar actividades que inicialmente no parecían relacionadas.
La evolución de PhantomEnigma: dos caminos hacia una detección más difícil
Cronología de la actividad maliciosa de PhantomEnigma
La línea de tiempo muestra una operación que evoluciona a lo largo de dos caminos principales:
Entrega: PhantomEnigma pasó de una actividad centrada en la banca en 2025 a abusar de sitios web y cuentas de correo electrónico .gov.br comprometidos en 2026. Esto le dio a la campaña una ruta más confiable hacia las víctimas sin confirmar un nuevo grupo objetivo.
Arsenal: El malware evolucionó desde un banco de extensiones de navegador hasta una puerta trasera modular Inno/Node.js capaz de ejecutar JavaScript y entregar cargas útiles adicionales.
Para los equipos de seguridad, esta combinación crea una grave brecha de visibilidad. La infraestructura confiable reduce las sospechas, las cargas útiles modulares pueden cambiar después de la infección y los dominios C2 rotativos rápidamente hacen que las listas de bloqueo estáticas queden obsoletas. El análisis de comportamiento y la búsqueda continua de amenazas brindan una cobertura más confiable a medida que evoluciona la campaña.
Del correo electrónico confiable al compromiso total: la cadena de ataque PhantomEnigma
El proceso de análisis de PhantomEnigma dentro del sandbox interactivo
Una vez que una víctima interactuaba con el señuelo, la campaña avanzaba a través de una cadena de infección de varias etapas:
Correo electrónico de phishing: Un señuelo falso con temática policial o documento oficial llega a la víctima.
Infraestructura confiable: El enlace redirige a través de un servidor gubernamental comprometido o un dominio similar con temática policial.
Instalador malicioso: Un Inno Setup, MSI u otro instalador inicia la infección.
Aplicación de electrones parcheada: El software legítimo carga una puerta trasera index.js maliciosa.
Activación de puerta trasera: El malware recopila datos del sistema, establece persistencia y se conecta a la infraestructura C2 rotativa.
Entrega de segunda etapa: La puerta trasera ejecuta JavaScript o entrega ladrones, cargadores, software RMM y otro malware.
Impacto empresarial: La infección puede provocar el compromiso de las credenciales, el acceso no autorizado, el fraude, la exposición de los datos y la interrupción operativa.
Lo que los investigadores encontraron dentro de la puerta trasera de PhantomEnigma
Las sesiones de sandbox expusieron más que un simple descargador. Escondido dentro de un Boostnote parcheado y otras aplicaciones había una puerta trasera modular index.js creada para identificar máquinas infectadas, mantener el acceso y entregar diferentes cargas útiles bajo demanda.
Una vez activada, la puerta trasera podría:
Recopile el nombre de la computadora, el nombre de usuario y los detalles del sistema de la víctima.
Cree una ID de máquina persistente y lea una etiqueta de campaña almacenada junto al instalador.
Establezca persistencia a través de la configuración de inicio de sesión
Busque nuevos comandos cada 180 segundos
Ejecute JavaScript directamente a través de eval()
Descargue y ejecute cargas útiles ejecutables
Comunicarse a través de múltiples formatos de baliza en infraestructura rotativa
Este diseño modular permite al operador cambiar la carga útil final sin reconstruir toda la cadena de infección. Un sistema inicialmente expuesto al mismo instalador podría recibir más tarde un ladrón, un cargador, una herramienta de administración remota u otro ejecutable, lo que dificulta tanto la detección como la contención.
Una advertencia para bancos y agencias públicas
PhantomEnigma muestra cómo los atacantes pueden convertir una infraestructura confiable en una ventaja de detección. Un dominio gubernamental legítimo, un correo electrónico autenticado o un veredicto de archivo limpio pueden reducir las sospechas incluso cuando la cadena de infección ya está activa.
Para los bancos y las organizaciones del sector público, el riesgo se extiende más allá de un punto final comprometido. Las credenciales robadas y el acceso persistente por puerta trasera pueden exponer los sistemas internos, los datos confidenciales y las operaciones financieras, mientras que las alertas fragmentadas retrasan la contención.
Los equipos de seguridad deben brindar a los empleados una forma segura de denunciar mensajes sospechosos que parezcan oficiales e investigarlos más allá del veredicto inicial. Detectar temprano el señuelo confiable puede evitar el robo de credenciales, la entrega de carga útil adicional y un incidente operativo más amplio.
Obtenga IOC de PhantomEnigma, hallazgos de infraestructura y orientación de detección para fortalecer la búsqueda y respuesta a amenazas.
¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en noticias de google, Gorjeo y LinkedIn para leer más contenido exclusivo que publicamos.
Microsoft envió su mayor Martes de parches registrado hoy, y dos de las correcciones cierran agujeros que los atacantes ya están explotando. El lanzamiento cubre 622 de los CVE propios de Microsoft por su Guía de actualización de seguridad conteo, más del triple del máximo anterior de junio de alrededor de 200.
Esos dos insectos vivos son los que hay que atrapar primero. Microsoft le da crédito a los servicios de respuesta a incidentes por ambos. Ambas son fallas de elevación de privilegios en la infraestructura de identidad y colaboración: CVE-2026-56164 en SharePoint Server local y CVE-2026-56155 en Servicios de federación de Active Directory.
Tampoco lo es uno de los llamativos aspectos críticos de la ejecución remota de código. Son errores de privilegios en dos sistemas que importan más de lo que sugieren sus puntuaciones: el almacén de documentos de la empresa y la casilla que firma sus inicios de sesión.
Los dos días cero para parchear primero
CVE-2026-56164una falla de SharePoint Server que, según Microsoft, se está explotando en ataques, permite a un atacante no autenticado escalar privilegios en la red. Sin credenciales, sin interacción del usuario, remoto. Microsoft lo atribuyó a los respondedores de incidentes de Mandiant y al equipo FLARE de Google, lo que apunta a un descubrimiento dentro de ataques activos, aunque Microsoft no ha dicho cómo fue explotado ni por quién.
Si ejecuta SharePoint autohospedado, este es el que debe tomar primero, y hay un segundo reloj: hoy también es el día en que SharePoint Server 2016 y 2019 llegan al final del soporte extendido. A diferencia de Windows Server o SQL Server, ninguno de los dos tiene un programa ESU pago al que recurrir.
Más allá de los parches, el aviso de Microsoft señala que habilitar AMSI en modo completo en el servidor mitiga el ataque. SharePoint ha sido un imán para los atacantes desde que la cadena ToolShell arrasó servidores sin parches en 2025, y no ha dejado de serlo.
CVE-2026-56155una falla de los Servicios de Federación de Active Directory que Microsoft también señala como explotada, permite a un atacante ya autenticado elevar privilegios localmente a través de controles de acceso débiles. La propia unidad de respuesta a incidentes DART de Microsoft se lleva el crédito.
AD FS es la caja que firma los tokens para el resto de los fideicomisos patrimoniales, por lo que una falla etiquetada como «local» en ese host merece más atención de lo que sugiere la etiqueta. Microsoft no ha dicho qué privilegios otorga ni cómo los usaron los atacantes.
Vale la pena saberlo para cualquiera que esté siguiendo los plazos de remediación: ninguno de los CVE está activado Catálogo de vulnerabilidades explotadas conocidas de CISA al momento de escribir este artículo. La propia clasificación de explotabilidad de Microsoft ya marca a ambos como explotados. No espere a que aparezca una lista de KEV para hacerlo oficial.
Microsoft también califica el error de SharePoint con una gravedad bastante baja, lo que es un buen recordatorio de que la etiqueta de gravedad no es lo que hay que clasificar este mes.
Un tercer error y un aterrizaje de la cadena SharePoint en agosto
El tercer día cero se reveló públicamente pero no está bajo ataque: CVE-2026-50661, otro Omisión de BitLocker. Necesita acceso físico al dispositivo, por lo que no es una emergencia remota. Parcheelo, pero no salta la cola. Continúa una serie de omisiones de BitLocker que se remontan a bitskrieg y YellowKey a principios de este año.
SharePoint obtuvo una segunda solución notable. Laboratorios Rapid7 revelados CVE-2026-55040un bypass de autenticación JWT que construyeron para su entrada Pwn2Own Berlin. La puntuación depende de a quién le preguntes: Rapid7 la sitúa en 5,3 y dice que Microsoft le asignó una gravedad media, mientras que ZDI lee el lanzamiento como Crítico en 9.1.
Lo que hace no está en discusión. Rapid7 lo encadenó a un error de ejecución remota de código separado para alcanzar RCE no autenticado contra un servidor vulnerable, y la mitad de RCE aún no está parcheada; Está previsto que Microsoft lo solucione en agosto.
Eso hace que July evite la solución que rompe la cadena. Una diferencia de cuatro puntos sobre un error también le indica cuánto vale un número de gravedad este mes.
La limpieza RC4 que puede interrumpir los inicios de sesión
Esta actualización también finaliza el endurecimiento Kerberos RC4 de varios años de Microsoft. La implementación de julio elimina el interruptor de reversión RC4DefaultDisablementPhase, la trampilla de escape en la que se han apoyado los administradores desde que Microsoft comenzó la ofensiva en enero.
Después de esto, RC4 funciona sólo para cuentas configuradas explícitamente para permitirlo. Si alguna cuenta de servicio en su entorno aún solicita tickets RC4 Kerberos, puede fallar la autenticación en el momento en que llega la actualización.
El orden importa: primero audite, utilizando los eventos de auditoría RC4 que Microsoft agregó en enero, luego rote las contraseñas en las cuentas de servicio marcadas, para que Windows genere claves AES para ellas y luego aplique el parche. La rotación solo corrige las cuentas a las que les faltan claves AES.
Cualquier cosa anclada a RC4 por configuración, o un cliente heredado que no habla nada más, necesita su propia solución antes de que llegue la actualización. Este no te hará violar; Rompe cosas, pero te avisará a las 2 a.m. si te saltas la auditoría.
Por qué un mes tranquilo estableció un récord
Julio es históricamente uno de los meses más livianos en el calendario de Microsoft, lo que hace que un lanzamiento de este tamaño se destaque. Solo Windows representa 416 de los 622, y ZDI cuenta 95 errores de ejecución remota de código en toda la versión.
Aquí es donde se encuentra el resto y lo que vale la pena sacar de cada montón:
Familia de productos
CVE
vale la pena retirarse
ventanas
416
Tanto el AD FS de día cero (CVE-2026-56155) y la omisión de BitLocker revelada (CVE-2026-50661) vive aquí. La puntuación más alta del lanzamiento es un VMSwitch RCE, CVE-2026-57092 a las 9,9. También cinco RCE de DHCP y 21 errores de controladores NTFS y ReFS que ZDI lee como una causa raíz compartida.
Oficina
82
Contado una vez. Microsoft vuelve a enumerar los mismos 82 en una pista separada de Office 2016, razón por la cual algunos medios informan 164.
Borde de Microsoft
46
ZDI cuenta 21 como propios de Microsoft en lugar de nuevos listados de Chromium.
Herramientas para desarrolladores
27
La característica de seguridad pasa por alto Visual Studio, VS Code y GitHub Copilot, principalmente inyección y recorrido de ruta.
Servidor SharePoint
17
El día cero explotado (CVE-2026-56164) y bypass de cadena de Rapid7 (CVE-2026-55040), más un par RCE crítico que incluye CVE-2026-50522 en 9,8.
Azur
11
Nada marcó como urgente.
Servidor SQL
8
Un par RCE, CVE-2026-54117 y CVE-2026-54118ambos 8,8.
Defensor
5
Dos RCE críticos.
Servidor de intercambio
5
Un XSS almacenado en Outlook Web Access, CVE-2026-55008en 9,6. Microsoft lo cataloga como suplantación de identidad, lo que lo subestima.
Otro
5
Nada marcó como urgente.
Los recuentos provienen de la Guía de actualización de seguridad de Microsoft, que suma un total de 622 CVE únicos este mes. ZDI, contando de forma independiente, llegó a 621, y su revisión de julio es la fuente de las llamadas por familia.
Microsoft llamó a este cinco días antes. en un publicación del 9 de juliodijo a los clientes que esperaran un «mayor volumen de actualizaciones de seguridad incluidas en cada versión de seguridad» a medida que la IA le ayuda a descubrir más problemas. Ese trabajo incluye MDASH, su sistema de escaneo agente multimodelo, que encontró por sí solo 16 de los errores en el martes de parches de mayo. Microsoft no ha dicho cuántos de los 622 de julio salieron de ese proceso.
La misma automatización corta en ambos sentidos. Una vez que se envía un parche, los atacantes pueden compararlo con la última versión, encontrar el error que cierra y crear un exploit que funcione antes de que la mayoría de las tiendas hayan terminado de probar. Eso devora el antiguo colchón de «esperar una semana» y reduce la brecha con Exploit Wednesday.
También destruye la clasificación basada en CVSS. Cuando una versión tiene más de 600 CVE y una gran parte tiene una calificación Alta o Crítica, «crítica» deja de clasificar nada. Los dos errores explotados de este mes lo aclaran: ninguno es un título 9.8, ambos son fallas de privilegios de nivel medio y ambos ya están en uso.
Ordene por qué se está explotando, utilizando KEV, EPSS y el indicador de explotación de Microsoft, no por puntuación, y parchee más rápido que antes. El número en la caja sólo está subiendo.
Dale a un asistente de IA memoria y acceso a tu bandeja de entrada, y le darás al atacante una manera de reescribir lo que cree que sabe sobre ti. Un solo correo electrónico puede engañar a ese agente para que guarde un «hecho» falso sobre el usuario, oculte el cambio y dirija silenciosamente sus respuestas en sesiones posteriores.
Cuando funciona, la persona lee una respuesta de apariencia normal y nunca se entera de que su asistente fue manipulado.
Los investigadores nombraron el ataque. inyección de memoria sigilosa y creó una herramienta que escribe los correos electrónicos automáticamente. El artículo «Cuando las garras recuerdan pero no lo dicen», aterrizó en arXiv el 6 de julio de 2026.
Primero, qué hacen estos asistentes.
Un agente personal es un asistente de IA que se queda. En lugar de olvidar todo cuando finaliza un chat, guarda notas sobre ti en archivos: tus preferencias, tus contactos y lo que le pediste que hiciera. Lee esas notas al comienzo de cada nueva sesión, por lo que siente que te conoce.
Muchos de estos agentes también pueden actuar por usted, leyendo su correo electrónico, revisando su calendario y ejecutando pequeños trabajos según un cronograma mientras está fuera.
garra abiertael agente de código abierto utilizado como objetivo principal del estudio, mantiene este estado en archivos de texto sin formato: algunos contienen sus instrucciones permanentes (AGENTS.md), otros contienen lo que ha aprendido sobre usted (MEMORY.md). Coloca los principales en el contexto del modelo al comienzo de cada sesión.
Esas notas son el objetivo del producto. Ellos también son el objetivo.
El ataque de un correo electrónico
El atacante no necesita su contraseña ni su cuenta. Envían un correo electrónico a alguien cuyo agente está configurado para revisar su bandeja de entrada, lo que, para estos asistentes, es un trabajo de rutina. Enterrado en ese correo electrónico hay un texto dirigido al asistente, no a usted.
Si la habilidad de correo electrónico del agente muerde el anzuelo, suceden tres cosas seguidas. El agente utiliza sus propias herramientas de archivos para escribir la nota falsa del atacante en su memoria persistente. Su respuesta visible no dice nada de haberlo hecho. Y luego, en una nueva conversación, esa nota falsa cambia lo que te dice o hace por ti.
En uno de los casos de prueba del estudio, la mentira plantada fue que el límite de envío diario de Zelle del usuario se había elevado a $10,000.
No capta el cambio por varias razones. El asistente oculta sus pasos detrás de escena por diseño, por lo que el momento en que edita un archivo nunca aparece en el chat. Pocos usuarios alguna vez abren los archivos de memoria sin procesar para leerlos. Y cuando el agente se ejecuta según una programación en segundo plano, a menudo no envía ningún mensaje, por lo que no hay nada que notar.
Para hacer que el veneno se adhiera, la herramienta apunta a los archivos principales que se cargan en cada sesión, de modo que se carga una sola escritura en cada sesión posterior en lugar de esperar a que se extraiga de un almacén de memoria separado.
El ataque es generado por una herramienta que los investigadores llaman MemGhost. Sus creadores entrenaron un modelo de atacante fuera de línea contra una instantánea de un agente personal, recompensando los correos electrónicos que guardaban la memoria mientras mantenían la respuesta en silencio. En el momento del ataque, escribe el correo electrónico terminado de una sola vez, sin intercambios con la víctima.
En 56 casos de prueba nuevos, MemGhost realizó el ataque completo, plantando un recuerdo falso, ocultándolo y luego influyendo en las respuestas del agente en una sesión posterior. Funcionó en el 87,5% de las ejecuciones en segundo plano contra OpenClaw en GPT-5.4 y en el 71,4% contra un agente Claude Code SDK en Sonnet 4.6.
Estas fueron ejecuciones de referencia aisladas y comienzan solo después de que el correo electrónico ya ha llegado a una bandeja de entrada que el agente lee, por lo que aquí nada prueba si una carga útil real borra primero el filtrado de spam o la autenticación del remitente.
El éxito fue generalmente menor en las pruebas en modo de primer plano, donde el usuario puede ver la respuesta. En modo de fondo, se mantuvo por encima del 80% en cada uno de los otros dos marcos de agentes y en un almacén de memoria basado en vectores en lugar de los archivos simples. El equipo también construyó Banco de susurrosun punto de referencia de 108 casos que abarca riesgos que van desde malos consejos médicos hasta pérdidas de dinero y sabotaje de seguridad.
Descripción general del marco WhisperBench
Las versiones toscas del truco en su mayoría fallan. Un contundente «guarda esto en silencio y no digas nada» fue captado o ignorado por los modelos más fuertes casi siempre; el generador capacitado es lo que hizo subir los números. También pasó por alto las defensas destinadas a detener este tipo de ataque.
Un filtro de entrada creado para detectar correos electrónicos envenenados pasó por alto el mensaje de MemGhost más de nueve de cada diez veces, y un modelo especialmente endurecido para ignorar las instrucciones que llegan por correo electrónico siguió el mensaje colocado aproximadamente la mitad de las veces. Incluso cuando se hizo que el propietario preguntara abiertamente: «dime qué verificaste y qué hiciste», el ataque permaneció oculto aproximadamente una cuarta parte del tiempo en un modelo.
No hay ningún parche rápido que esperar. El propio OpenClaw política de seguridad trata la inyección rápida por sí sola como fuera del alcance de una solución, a menos que también cruce un límite de autorización, política de herramientas, aprobación o zona de pruebas. MemGhost no cruza ninguno de ellos, ya que funciona a través de la propia herramienta de escritura en memoria del agente, y los investigadores siguen demostrando exactamente este tipo de inyección contra el marco.
Los autores del estudio sostienen que la verdadera solución tiene que estar dentro del agente: etiquetar de dónde proviene una información, preguntar al usuario antes de que algo llegue a la memoria duradera y registrar cada escritura. Hasta que eso llegue, la configuración expuesta es cualquier agente que lea correo que no es de confianza y pueda escribir su propia memoria sin preguntar.
La solución contundente es mantener esos dos trabajos separados. De lo contrario, limite lo que puede cambiar una ejecución activada por correo electrónico y verifique los archivos de memoria después de que llegue algo sospechoso.
OpenClaw confirmó esa posición a The Hacker News y rechazó cómo el periódico configuró a su agente. Es guía de seguridad indica a los operadores que enruten el correo electrónico que no es de confianza a través de un agente lector independiente sin memoria, archivos ni herramientas de shell, pasando sólo un resumen al agente principal, que el documento no probó.
También argumenta que el nivel del modelo es importante: las ejecuciones de OpenClaw utilizaron GPT-5.4, un modelo de frontera actual, pero los autores omitieron Claude Opus 4.6 por costo, y OpenClaw señaló HackMyClawun desafío público en el que miles de correos electrónicos de inyección no lograron extraer un secreto de un agente de Opus 4.6. Esa prueba se centró en el robo de datos, no en el envenenamiento de la memoria, por lo que no responde directamente al artículo.
OpenClaw dijo que está sopesando los controles de escritura en memoria para contenido externo, incluida la procedencia, los registros de auditoría y las indicaciones de confirmación, en la misma dirección que recomienda el documento. The Hacker News también se comunicó con los autores del artículo y actualizará esta historia con cualquier respuesta.
La versión manual fue lo primero.
En 2024, el investigador Johann Rehberger mostró el mismo movimiento contra ChatGPT, plantando instrucciones en su memoria a largo plazo a través de contenido web envenenado para seguir filtrando los datos de un usuario en chats futuros. Él lo llamó SpaIware. OpenAI cerró el camino de la filtración de datos, pero se mantuvo la capacidad de escribir memoria a partir de contenido que no era de confianza.
Un año después, llegó a ser un producto de envío. EchoLeak (CVE-2025-32711), divulgado por Aim Security en junio de 2025, utilizó un correo electrónico de texto oculto para hacer que Microsoft 365 Copilot entregara datos internos de la empresa cuando el usuario luego le hizo una pregunta normal. Microsoft lo calificó como crítico y lo parchó, y no se informó ningún abuso en el mundo real.
A estudio de caso posterior Expuso cómo pasó los filtros de Copilot. Ambos demostraron que el contenido que lee una IA puede contener comandos, entregados mediante un correo electrónico que cualquiera puede enviar.
Lo que MemGhost agrega es persistencia: la versión de Rehberger tuvo que ser plantada a mano, y EchoLeak filtró datos solo en el momento en que se solicitó, pero aquí una carga útil automatizada convierte un correo electrónico en una memoria falsa que permanece y dirige las sesiones mucho después de que el mensaje desaparece.
Este es un resultado de laboratorio, no un robo en progreso. Los investigadores ejecutaron todo en entornos de prueba sellados con bandejas de entrada falsas y usuarios falsos, y los documentos en papel solo se probaron en laboratorio, no se usaron contra personas reales; dicen que planean revelar sus hallazgos, patrones de ataque y puntos de referencia a los fabricantes de los agentes y modelos afectados.
El sigilo se mantiene en el estudio en parte porque los agentes capaces están diseñados para mantener la actividad de sus herramientas fuera del chat. El único modelo que se reveló lo hizo imprimiendo sus pasos intermedios en la respuesta, y los investigadores esperan que la detección se vuelva más difícil a medida que los agentes mejoren su trabajo silencioso.
El verdadero problema es más claro: un mensaje procedente del exterior se convirtió en un contexto duradero y confiable dentro del agente, sin ningún momento visible en el que alguien lo aprobara.
Han surgido detalles sobre tres ahora parcheados. fallas de seguridad en el asistente personal de inteligencia artificial (IA) OpenClaw que, si se explota con éxito, podría permitir el robo de credenciales, la escalada de privilegios y la ejecución de código arbitrario en el host.
Una breve descripción de las vulnerabilidades de alta gravedad es la siguiente:
GHSA-hjr6-g723-hmfm (Puntuación CVSS: 8,8): una inyección de comando del sistema operativo y una lista incompleta de vulnerabilidades de entradas no permitidas que afectan el mecanismo de filtrado del entorno de ejecución del host y que podrían permitir ejecutar o persistir acciones más allá de la autorización prevista de la persona que llama.
GHSA-9969-8g9h-rxwm (Puntuación CVSS: 8,8): una inyección de comando del sistema operativo y una lista incompleta de vulnerabilidades de entradas no permitidas que afectan el mecanismo de filtrado del entorno de ejecución del host y que podrían permitir ejecutar o persistir acciones más allá de la autorización prevista de la persona que llama.
GHSA-575v-8hfq-m3mc (Puntuación CVSS: 8,4): una vulnerabilidad de recorrido de ruta y seguimiento de enlace que podría permitir soportes de enlace de caja de arena para eludir las comprobaciones de la lista de denegados del directorio principal y realizar acciones que deberían haberse asegurado con autorizaciones o comprobaciones de políticas más estrictas.
Las tres deficiencias se han solucionado en la versión 2026.6.6 de OpenClaw.
En una serie de avisos publicados la semana pasada, los mantenedores de OpenClaw dijeron que «el impacto práctico depende de la configuración del operador y de si las entradas de menor confianza pueden llegar a ese camino».
Sin embargo, el investigador de seguridad Chinmohan Nayak, a quien se le atribuye haber descubierto e informado los problemas, dijo en un informe compartió con The Hacker News que se pueden usar para activar la ejecución del código host desde un mensaje externo enviado a través de WhatsApp.
A diferencia de las vulnerabilidades de Claw Chain reveladas por Cyera en mayo, los errores recientemente identificados no requieren que un atacante establezca un punto de apoyo previo para extraer datos confidenciales, abrir una puerta trasera persistente, obtener ejecución remota de código arbitrario y facilitar un escape al host.
«`getBlockedReasonForSourcePath()` comprueba si la ruta de origen se encuentra en una ruta bloqueada», explicó el investigador sobre GHSA-575v-8hfq-m3mc. «Pero [it] nunca comprueba lo contrario: si una ruta bloqueada se encuentra en el origen (omisión del directorio principal)».
Específicamente, la lista de denegación de montaje de enlace bloquea directorios como «~/.ssh», «~/.aws» y «~/.gnupg», pero permite montar el directorio principal «/home» o «/var», lo que socava efectivamente los bloques individuales.
«Monte /home en su contenedor y podrá leer las claves SSH, las credenciales de AWS y los secretos GPG de cada usuario», dijo Nayak. «Monte /var y obtendrá el socket Docker, lo que significa un escape completo del host desde el interior del ‘sandbox’».
Además de actualizar OpenClaw a la última versión, se recomienda habilitar el modo sandbox para todas las sesiones no principales, eliminar «exec» de la lista de herramientas permitidas para agentes orientados al canal y monitorear los comandos git clone que contienen el protocolo auxiliar externo «ext::» del que se podría abusar para ejecutar comandos arbitrarios del sistema.
«Antes de actualizar, restrinja la función afectada a operadores confiables o desactívela cuando no sea necesaria», dijo OpenClaw. «Como refuerzo general, mantenga estrechas las listas permitidas de canales y herramientas, evite compartir una puerta de enlace entre usuarios que no sean de confianza mutua y desactive la función afectada cuando no sea necesaria».
Los asistentes de codificación de IA tienen la costumbre de inventar cosas. Pídale a uno que busque una herramienta popular y, a veces, le devolverá un nombre que suena real para un proyecto que no existe.
Una nueva investigación, que sus autores denominan HalluEn cuclillasconvierte ese hábito en un ataque: descubra los nombres falsos que inventa una IA de manera confiable, regístrelos primero y espere a que el asistente busque su trampa en nombre del usuario.
Cualquiera cuyo asistente de IA pueda buscar un recurso externo y luego ejecutar comandos con poca revisión humana está expuesto. En las pruebas, esa ruta llevó al asistente a ejecutar código proporcionado por el atacante en la máquina.
Repítalo con un recurso bastante popular y un nombre colocado puede llegar a muchas máquinas, razón por la cual los investigadores lo plantean como una forma de montar una botnet.
como funciona
El ataque encadena dos peculiaridades de la IA. El primero es un alucinación: una IA que inventa algo y lo presenta como real. El segundo es un inyección inmediata: una instrucción trampa explosiva que secuestra la IA, por lo que sigue a un atacante en lugar del usuario.
Aquí, la inyección es indirecta y se basa en el contenido que el asistente busca en lugar de cualquier cosa que el usuario escriba.
Elige un objetivo. El atacante encuentra un repositorio o complemento que está de moda, por lo que muchas personas le piden a su IA que lo busque. Las tendencias importan, porque un recurso nuevo no está en los datos de entrenamiento de la IA, que es exactamente cuando el modelo comienza a adivinar los nombres.
Aprende el error. El atacante le pide a una IA que busque ese recurso una y otra vez y registra el nombre falso que inventa con mayor frecuencia.
Reclama el nombre falso. El atacante registra ese nombre en GitHub o en una tienda de complementos y oculta instrucciones adversas en su interior.
Esperar. Un usuario real le pide a su asistente que obtenga el popular recurso. El asistente inventa el mismo nombre falso y en su lugar utiliza la versión del atacante. Sus instrucciones ocultas se combinan con lo que el asistente cree que le dijeron que hiciera, y el asistente secuestrado utiliza su propia herramienta de ejecución de comandos para llevarlas a cabo.
La trampa no es un código que se ejecuta por sí solo. Funciona porque estos asistentes mantienen una terminal entre sus herramientas integradas, por lo que una vez que las instrucciones establecidas se hacen cargo, «instalar un bot» es simplemente algo que el asistente puede hacer.
Lo que lo hace práctico es que los nombres falsos no son aleatorios. En los experimentos de los investigadores, el error fue consistente: en diferentes frases y en modelos de diferentes compañías, el asistente buscó el mismo nombre incorrecto en hasta el 85% de las solicitudes de repositorio y en el 100% de las instalaciones de habilidades. Esas son las tasas máximas que informan los autores; el periódico lleva el desglose completo.
Lo ejecutaron con herramientas como Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI de Google y la familia de asistentes OpenClaw, logrando que cada uno ejecutara código atacante. Las cargas útiles de prueba eran marcadores de posición inofensivos, no malware real; uno vivo tomaría el mismo camino.
El investigación proviene de Aya Spira y colegas del grupo de Ben Nassi en la Universidad de Tel Aviv, con Stav Cohen en Technion y Ron Bitton en Intuit. El grupo de Nassi ya ha hecho esto antes, creando un gusano de correo electrónico con IA que se propaga automáticamente y una invitación de calendario que secuestró Gemini de Google.
El equipo dice que informó a los proveedores, fabricantes de modelos y operadores del mercado afectados antes de salir a bolsa, y retuvo los pasos exactos necesarios para copiar el ataque.
¿Por qué es un nuevo tipo de botnet?
Las botnets tradicionales requieren trabajo para construirse. Se apoyan en contraseñas débiles o malware que se propaga de una máquina a otra, y generalmente agrupan un tipo de dispositivo, de la misma manera que Mirai agrupa cámaras y enrutadores.
Esto no necesita nada de eso. Sin contraseñas, sin gusanos, y debido a que la carga útil llega como texto que lee la IA en lugar de un exploit de red, no es el tipo de cosas que un firewall está atento. Las máquinas en las que aterriza pueden ejecutar cualquier sistema operativo, no una flota uniforme.
La IA es aquí la furgoneta de reparto, no la carga. Las instrucciones colocadas lo engañan para que instale un bot común y corriente, y una vez que ese bot se está ejecutando, la máquina pertenece a una botnet como cualquier otra. Lo nuevo es la combinación que lo lleva allí: un nombre que, como era de esperar, inventa una IA, un mercado donde cualquiera puede registrar ese nombre y un agente con permiso para buscar y ejecutar.
Las piezas no son nuevas, aunque la combinación sí lo sea. Los atacantes primero aprendieron a registrar nombres de paquetes de software falsos que inventan las IA, un truco llamado «slopsquatting».
En enero de 2026, Charlie Eriksen de Aikido Security encontró uno de esos paquetes npm inventados, reaccionar-codeshift, que las instrucciones escritas por IA ya se habían extendido a 237 proyectos de código, y los agentes todavía intentaban instalarlo diariamente; él lo registró él mismo antes de que cualquier atacante pudiera hacerlo, por lo que no causó daño.
Luego, la idea saltó de los paquetes a las direcciones web. La Unidad 42 de Palo Alto Networks descrita recientemente «en cuclillas fantasma» aproximadamente 250.000 dominios alucinados no registrados y libres para su uso (el artículo de THN está aquí).
HalluSquatting es la versión que llega hasta la ejecución del código secuestrando al agente que realiza la búsqueda. Y los mercados destinados a detectar cargas incorrectas no son un gran respaldo: en junio, Trail of Bits pasó sus «habilidades» maliciosas por los escáneres de varias tiendas en menos de una hora.
que hacer
Todo depende de una condición: un agente que busca un recurso externo y lo ejecuta sin que nadie lo controle. Ciérralo y el ataque se detendrá. La solución más eficaz es también la más sencilla: hacer que el asistente busque antes de buscar.
Una búsqueda real fundamenta al agente en lo que realmente existe y elimina drásticamente las conjeturas. Ese es un trabajo para las personas que crean estas herramientas, quienes también pueden capacitar al planificador (la parte que asigna una solicitud a los pasos) para buscar un recurso primero y tratar palabras como clonar, instalar y recuperar como indicadores.
Los usuarios y los equipos de seguridad tienen palancas a corto plazo. De forma predeterminada, estos agentes preguntan antes de ejecutar un comando. La exposición son los modos de ejecución automática (el indicador de omisión de permisos de Claude Code, el modo yolo de Gemini CLI) que lo desactivan, por lo que la primera regla es no permitir que un agente ejecute sin supervisión nada de lo que haya recuperado.
Algunas herramientas ahora agregan una capa de seguridad que inspecciona lo que el agente lee o está a punto de hacer antes de actuar, como el modo automático de Claude Code y la verificación Conseca de Gemini CLI, pero eso reduce el riesgo en lugar de eliminarlo. Ningún interruptor cierra esto, así que verifique también que el nombre de un repositorio o paquete se resuelva en la fuente real esperada antes de que un agente lo ingrese, y trate cualquier nombre que le entregue una IA como una suposición, no como un hecho.
Las plataformas tienen su propia palanca. Pueden dejar de permitir que las personas reutilicen nombres de repositorios conocidos en cuentas nuevas y preregistrar los nombres falsos que probablemente inventen las IA (la misma defensa que ya se usa contra la typosquatting), para que esos nombres apunten al proyecto real.
Los investigadores llaman a sus resultados un límite inferior: «Los ataques siempre mejoran; nunca empeoran». No hay ningún CVE único para parchear aquí. No lo plantean como un error de un producto, sino como una debilidad en la forma en que los agentes de IA confían en nombres que en realidad nunca les dieron.
