Microsoft ha lanzado su primer modelo específico de ciberseguridad en su interior MDASHsu arnés de identificación y remediación de vulnerabilidades multimodelo.
La compañía dice que MDASH, utilizando MAI-Cyber-1-Flash y GPT-5.4, obtuvo una puntuación del 95,95% en CyberGym. También afirma que la configuración cuesta un 50% menos que su mejor combinación MDASH actual de GPT-5.4, GPT-5.4 mini y GPT-5.3 Codex. El acceso está limitado a clientes MDASH aprobados a través de una versión preliminar privada de Azure AI Foundry.
MAI-Cyber-1-Flash está diseñado para manejar hasta el 90% de las tareas MDASH, con GPT-5.4 reservado para el 10% más difícil. Está disponible solo dentro de MDASH, no como un modelo público independiente o una interfaz de programación de aplicaciones de propósito general.
La puntuación principal pertenece a MDASH que ejecuta MAI-Cyber-1-Flash junto con GPT-5.4, no al nuevo modelo en sí. CyberGym Nivel 1 es una prueba de reproducción de vulnerabilidad conocida. Le da al agente una descripción de la vulnerabilidad y el código fuente correspondiente sin parches, luego verifica si puede producir una prueba de concepto funcional. No mide el descubrimiento ciego de vulnerabilidades ni si un parche generado es correcto.
CyberGym’s tabla de clasificación pública no incluyó el resultado del 95,95% de Microsoft cuando se verificó el 28 de julio de 2026. Aún incluyó la presentación MDASH de Microsoft del 12 de mayo con un 88,4%. Los materiales públicos de Microsoft no dicen si el resultado se envió para su inclusión en la lista.
El resultado anterior de Microsoft de 96,55% MDASH no resuelve la comparación. Esa cifra de junio contó cualquier falla, incluidas las vulnerabilidades no objetivo. Los materiales de julio no dicen si el resultado del 95,95% utiliza el mismo criterio, por lo que los dos puntajes no pueden leerse con seguridad como una tendencia de desempeño de antes y después.
Según Microsoft tarjeta modeloMAI-Cyber-1-Flash es un transformador de escasa mezcla de expertos con 137 mil millones de parámetros totales, cinco mil millones de parámetros activos y una ventana de contexto de 256 000 tokens. Es un ajuste fino de ciberseguridad de MAI-Código-1-Flashque se desarrolló a partir de un punto de control de mitad de entrenamiento de MAI-Thinking-1.
La tarjeta modelo dice que la configuración evaluada reemplazó el 80% de los modelos existentes de MDASH y elevó el resultado informado de CyberGym del 88,4% al 95,95%. Esa cifra del 80% es la proporción de modelos reemplazados. La cifra separada del 90% es la proporción máxima de tareas que Microsoft dice que puede realizar el modelo más pequeño.
En conjunto, el diseño revelado apunta al enrutamiento como la afirmación técnica central: MAI-Cyber-1-Flash está diseñado para manejar la mayoría de las tareas, GPT-5.4 se encarga del resto más difícil y Microsoft informa el resultado a nivel del sistema MDASH.
Microsoft anuncio de lanzamiento define el ahorro del 50% en comparación con su mejor combinación actual de modelos MDASH de GPT-5.4, GPT-5.4 mini y GPT-5.3 Codex. La página del producto describe por separado que el sistema ofrece «rendimiento comparable al 50% del costo de los modelos líderes». El anuncio y la tarjeta modelo no revelan el uso del token, el volumen de llamadas, la latencia, la combinación de tareas o la asignación de cómputo detrás de esa comparación, por lo que la cifra aún no se puede reproducir ni normalizar de forma independiente con respecto a otros sistemas.
«El modelo es un insumo, el sistema que lo rodea es el producto».
Taesoo Kim, vicepresidente de seguridad agente de Microsoft, utilizó esa distinción cuando describiendo MDASH en junio. Bajo un arnés de terminal liviano, la tarjeta modelo reporta puntuaciones de 0,314 en CVEBench, 0,553 en inteligencia de amenazas CyberSecEval4, 0,33 en su prueba de análisis de malware y 0,651 en CRSBench con POV=1200.
El modelo obtuvo una puntuación de cero en las categorías de kernel, espacio de usuario y navegador de ExplotarGymque solicita a los agentes que conviertan las vulnerabilidades proporcionadas y las entradas de fallas en exploits de ejecución de código que funcionen. Esos resultados provienen de diferentes tareas y escalas de puntuación, por lo que ninguna es una puntuación CyberGym independiente para MAI-Cyber-1-Flash.
Microsoft dijo que todas las pruebas de referencia se llevaron a cabo en un entorno de red aislado sin acceso a los sistemas de producción, a la Internet pública ni a servicios externos. La tarjeta modelo también advierte que el texto y el código generados pueden ser inexactos o estar incompletos y deben revisarse antes de cualquier uso posterior.
La gestión de vulnerabilidades de software utilizando MAI-Cyber-1-Flash dentro de MDASH es el primer escenario que Microsoft ha anunciado para Project Perception, su sistema más amplio para coordinar agentes de seguridad defensiva. Percepción del proyecto está programado para entrar en versión preliminar pública el 3 de agosto, y Microsoft planea extender el modelo más allá del trabajo de vulnerabilidad de software a flujos de trabajo de seguridad adicionales.
Un servidor de Alibaba Cloud expuesto ha revelado una operación de nexo con China que Group-IB rastrea como JadeProx. El clúster se ha dirigido a organizaciones gubernamentales, sanitarias y educativas de Asia y América Latina con un cargador de Windows no documentado anteriormente llamado TriBack Loader.
Group-IB encontró el servidor a mediados de abril de 2026 en la región de Singapur de Alibaba Cloud; estaba desconectado cuando el informe publicado el 23 de julio de 2026.
Su historial de ataques, paquetes de phishing, herramientas posteriores a la explotación y rutas webshell delinearon la operación: intrusiones activas contra el sistema de imágenes médicas de un hospital público vietnamita y el Ministerio de Relaciones Exteriores de Malasia, escaneo y seguimiento de explotación contra la infraestructura educativa de Hong Kong y un paquete de phishing dirigido al Congreso Nacional de Honduras.
Los operadores llegaron al servidor de imágenes del hospital a través de webshells instalados en una interfaz de administración Java expuesta.
Un cargador, cuatro versiones
TriBack Loader aparece en cuatro cadenas de infección basadas en la carga lateral de DLL. La mayoría de las compilaciones recuperadas combinan un ejecutable firmado legítimo con una DLL maliciosa y una carga útil cifrada .dat o .log.
La DLL invierte los bytes de carga útil, los aplica XOR con una tecla móvil y ejecuta el código de shell a través de llamadas Win32 que EDR observa menos de cerca que CreateThread.
Las compilaciones rotan esa llamada final: InitOnceExecuteOnce y una devolución de llamada TimerQueue en dos variantes, y EtwpCreateEtwThread, una rutina de creación de subprocesos no documentada en ntdll, en una tercera. El binario del host firmado también cambió entre variantes. La secuencia API repetida sugiere un constructor de cargador personalizado, dicen los investigadores.
Dos variantes entregadas AdaptixC2un marco de post-explotación de código abierto. Una variante con temática de Claude usó DonutLoader para ejecutar Beagle, una puerta trasera Sofos Fue el primero en documentarlo. Se desconoce la carga útil de la cuarta variante; su archivo complementario cifrado nunca se recuperó.
Un archivo de phishing llevaba como señuelo un extracto de cuenta falso de una empresa de bebidas. Otra campaña se hizo pasar por el software Claude de Anthropic de claude-pro[.]com, registrado el 28 de marzo de 2026, que ofrece un instalador MSI malicioso que, después de un mensaje de UAC, colocó la cadena de descarga en la carpeta de inicio de Windows para su persistencia. La puerta trasera del Beagle que entregó informó a la licencia[.]claude-pro[.]com.
Sophos, trabajando desde el sitio falso, su infraestructura de alojamiento y muestras de malware, encontró la misma clave XOR reutilizada en compilaciones que se remontan a febrero, pero dijo que una clave compartida no era suficiente para concluir con un actor.
Group-IB, trabajando a partir del contenido del servidor expuesto, agrupa esas compilaciones con las intrusiones asiáticas. Todavía no llega a nombrar un grupo establecido: las herramientas se mueven libremente en el ecosistema del nexo con China, señala Group-IB, por lo que una coincidencia en herramientas no es una coincidencia en operadores.
Los operadores también ejecutaron Nuclei con plantillas de gravedad crítica solo en una lista de 14.653 URL relacionadas con la educación de Hong Kong, lo que reveló 13 vulnerabilidades únicas. Esas 14.653 URL son una lista de escaneo y el informe no dice cuántos de los seguimientos tuvieron éxito.
El informe menciona cuatro CVE que los operadores intentaron contra hosts individuales, y The Hacker News confirmó los cuatro contra NVD el 23 de julio de 2026: CVE-2018-11511 en ASUSTOR ADM, CVE-2021-24139 en el complemento de WordPress 10Web Photo Gallery, CVE-2021-31755 en enrutadores Tenda AC11 y CVE-2021-32305 en WebSVN. Cada uno tiene una puntuación base CVSS de 9,8. El error de Tenda ha estado activo Catálogo de vulnerabilidades explotadas conocidas de CISA desde el 3 de noviembre de 2021, con un plazo federal de remediación que expiró dos semanas después.
La detección comienza con la cadena de carga lateral
Sophos evaluó que el sitio falso de Claude probablemente formaba parte de una campaña activa de publicidad maliciosa. Si es así, la exposición va mucho más allá de los ministerios y hospitales, hasta llegar a los usuarios que buscan una descarga de Claude.
La detección funciona fuera del diseño del archivo, porque los nombres de los archivos y los hosts firmados cambian por compilación.
Marque los archivos binarios de proveedores firmados que se ejecutan desde directorios de inicio, temporales o de escritura por parte del usuario, especialmente cuando un archivo .dat o .log cifrado se encuentra en la misma carpeta.
Busque copias inesperadas de hostfxr.dll, avk.dll o MpClient.dll, además de carpetas anidadas _CL_###### y ~del.vbs.bat.
Bloquear o investigar los dominios del cluster: claude-pro[.]com, licencia[.]claude-pro[.]com, estrategia sylverix[.]com, gouvvbo[.]arriba, asesores de vertextrust[.]com y tres proveedores de seguridad similares que comparten una IP, update-trellix[.]com, actualización-crowdstrike[.]com y actualización-sentinelone[.]com. El servidor provisional era 43.106.71[.]28 en el puerto 8000. Ambas listas provienen del informe del 23 de julio del Grupo-IB.
Group-IB pone primero las aplicaciones Java orientadas a Internet, luego cualquier sistema público que tenga una falla de calificación 9.8 sin parchear, incluidos estos cuatro.
A pesar de toda la ingeniería del cargador, la mitad de escaneo de esta operación se basó en fallas reveladas en 2018 y 2021. Todo el trabajo personalizado se encuentra después del robo.
El grupo de ransomware The Gentlemen continúa aumentando el nivel de sus ataques. La organización criminal ha comenzado a utilizar herramientas desarrolladas específicamente para infiltrarse en las redes corporativas, recopilar información y mantener el control de los sistemas antes de activar el cifrado de los archivos.
Las últimas investigaciones confirman que el grupo no solo ha intensificado su actividad, sino que también continúa perfeccionando sus capacidades técnicas.
Un malware diseñado para controlar los equipos antes del ataque
La investigación del equipo GReAT de Kaspersky ha identificado un backdoor inédito desarrollado en lenguaje Go que los atacantes instalan antes de ejecutar el ransomware.
Su misión consiste en recopilar información sobre el equipo y la red, establecer comunicación con los servidores de los ciberdelincuentes y permitir la ejecución remota de órdenes para preparar la intrusión.
Los analistas explican que «los ciberdelincuentes han evolucionado sus tácticas mediante el uso de herramientas desarrolladas a medida».
Además, señalan que este implante «facilita la recopilación de información y el control de los sistemas comprometidos antes del despliegue del ransomware», proporcionando a los atacantes un conocimiento mucho más detallado del entorno que van a comprometer.
Una amenaza cada vez más sofisticada
The Gentlemen, surgido previsiblemente a mediados de 2025, opera bajo el modelo Ransomware-as-a-Service (RaaS), en el que distintos afiliados utilizan su infraestructura para lanzar ataques contra empresas de sectores como manufactura, servicios tecnológicos, sanidad, finanzas, construcción o logística.
La investigación también detectó que «el acceso a algunos sistemas ocurrió mucho antes de la infección por ransomware», un hecho que «podría significar que el acceso inicial no fue realizado por The Gentlemen, sino por otro actor de amenazas».
Esto apunta a una posible colaboración con los conocidos como Initial Access Brokers, especializados en vender accesos ya comprometidos a redes corporativas.
También prueban una nueva variante para Windows
Los investigadores descubrieron igualmente una nueva variante del ransomware escrita en lenguaje C y orientada específicamente a sistemas Windows.
Hasta ahora el grupo utilizaba principalmente una versión desarrollada en Go, por lo que este cambio podría responder a una estrategia para perfeccionar sus herramientas en ataques reales.
Durante una de las intrusiones también intentaron eliminar el software de seguridad instalado en los equipos, aunque la maniobra fue detectada y bloqueada antes de que pudiera desactivar la protección.
Fatih Sensoy, experto en seguridad de Kaspersky GReAT, advierte que «The Gentlemen está ganando rápidamente reputación entre los actores de amenazas» y que «las nuevas variantes basadas en C sugieren que el grupo está perfeccionando activamente sus capacidades», por lo que recomienda a las organizaciones reforzar la gestión de vulnerabilidades y el endurecimiento de sus sistemas para reducir el riesgo de sufrir este tipo de ataques.
El grupo de ransomware The Gentlemen continúa aumentando el nivel de sus ataques. La organización criminal ha comenzado a utilizar herramientas desarrolladas específicamente para infiltrarse en las redes corporativas, recopilar información y mantener el control de los sistemas antes de activar el cifrado de los archivos.
La evolución de The Gentlemen supone un cambio relevante en su forma de operar. Además del ransomware, los atacantes despliegan un backdoor diseñado para obtener datos del entorno de la víctima, ejecutar órdenes de forma remota y preparar el ataque con mayor precisión, aumentando así las posibilidades de éxito y dificultando la respuesta de los equipos de seguridad.
Hace solo unos días, Escudo Digital informaba del ciberataque de The Gentlemen contra VASBE, empresa de vigilancia privada especializada en la protección de sedes bancarias y entidades financieras.
Un inquilino de la nube que no utilice nada más que el acceso normal a la GPU puede aumentar y disminuir el consumo de energía de un centro de datos lo suficientemente rápido como para amenazar la red en la que se ejecuta, sin explotar ni entrar.
Ese es el reclamo detrás Bit2Wattdescrito por tres investigadores de la Universidad de Zhejiang en un artículo aceptado para CHÉS 2026la conferencia de seguridad de hardware de la IACR, y la evidencia se divide en dos: midieron la modulación de potencia en GPU reales y simularon la desestabilización de la red que podría causar.
La técnica invierte el modelo habitual de ataque a la red: sin sensores comprometidos, sin malware en los sistemas de control, sin credenciales de operador robadas, solo una carga de trabajo creada para comportarse mal a propósito.
Funciona porque el consumo de energía de una GPU sigue lo que sea que esté computando. Saturar los núcleos tensoriales y los picos de corriente; cae al ralentí y colapsa. Alterne entre esos estados según un cronograma y obtendrá una oscilación de energía controlable en el enchufe de la pared.
Los autores lo formulan como una pregunta contundente: ¿pueden «acciones puramente computacionales, ejecutadas como cargas de trabajo legítimas, usarse como arma para desestabilizar la infraestructura energética»? El resto del artículo es su respuesta.
Dos maneras de entrar
El primer método, al que llaman SWMAcarga un kernel CUDA especialmente diseñado que alterna entre un modo de computación de alta intensidad y uno casi inactivo. Un controlador del lado del host establece el programa de conmutación y alterna el modo a través de un único indicador de memoria unificada asignado con cudaMallocAdministradoherramientas estándar en lugar de algo exótico.
En las GPU probadas, la carga de trabajo sintética produjo componentes de potencia desde aproximadamente 1,5 kHz hasta 6 kHz, alcanzando un máximo en un RTX 4090, muy por encima de los pocos hercios que produce una carga doméstica oscilante como un aire acondicionado.
Se mantuvo en GPU de centros de datos como la A100 y Tesla V100, no solo en tarjetas de juegos. El kernel personalizado y su estrecho ciclo de sondeo son el tipo de cosas que un proveedor podría aprender a tomar huellas dactilares.
El segundo, LTMAes el que debería preocupar a los operadores. En lugar de un núcleo sintético, entierra la modulación dentro de una ejecución de entrenamiento LLM real, ajustando hiperparámetros e insertando operaciones auxiliares para hacer que la carga informática suba y baje sin interrumpir el entrenamiento.
El control es más flexible que el de SWMA, limitado por la rapidez con la que se itera el bucle de entrenamiento, y las frecuencias son más bajas, aproximadamente de 1,2 a 3 kHz. Pero alcanza una amplitud mayor y se mezcla con el ruido normal del entrenamiento, que es exactamente lo que lo hace más difícil de detectar. Ninguno de los métodos necesita privilegios elevados, porque un inquilino ya controla sus propios guiones de capacitación y horarios de trabajo.
Esas son cifras de una sola GPU y solo afectan a granel. El artículo modela el caso en su forma más peligrosa: una red local simulada de 1 MW, alimentada en un 90% por recursos energéticos distribuidos (la energía solar del tejado y las baterías alimentan cada vez más las redes locales), con 1.000 GPU modulando en perfecta sintonía.
En esa simulación del peor de los casos, la distorsión armónica total (THD) actual alcanzó el 46,8%, muy por encima de la pauta del 13% con la que el documento lo compara según IEC 61000-3-12. La relación de amortiguación cayó a -0,27, un valor negativo que marca un modo inestable, donde la rejilla amplifica una perturbación en lugar de amortiguarla.
El documento lleva el modelo aún más lejos, hacia una red de 9.241 buses destinada a parecerse a la red de transmisión europea, donde una perturbación localizada equivalente al 2% de la carga del sistema cae en cascada a lo largo de 13 etapas y elimina alrededor del 81% de la carga. Ese número acumula supuestos del peor de los casos en un modelo específico, y es una propiedad de la simulación, no un pronóstico de nada real.
Ese paso firme es la suposición que soporta la carga y la optimista para el atacante: el documento admite que alinear las transiciones de energía a través de una flota real de GPU en la nube sigue siendo un problema abierto. En su propio modelo de 2 kHz, la fluctuación temporal con una desviación estándar de 100 microsegundos redujo la amplitud agregada en aproximadamente un 20%, y el artículo no afirma que esa cifra refleje una nube típica.
Un ataque real necesitaría que se alinearan varias cosas a la vez: suficientes GPU agrupadas físicamente, una estrecha sincronización entre ellas, una modulación que sobreviva a las etapas de acondicionamiento de energía del centro de datos y una red cuyas resonancias amplifican la frecuencia elegida.
Los experimentos físicos se realizaron en bancos de pruebas controlados y el daño a escala de red provino de la simulación, sin ataques a sistemas de producción ni fallas de seguridad reveladas en ningún producto comercial específico.
Hacker News se ha puesto en contacto con investigadores de la Universidad de Zhejiang para comentar hasta qué punto escala el ataque en un entorno de nube real y actualizará esta historia con cualquier respuesta.
Lo que impide que sea puramente académico es que la física ya está registrada. En agosto de 2025, Microsoft, OpenAI y NVIDIA publicaron su propio papel sobre la estabilización del poder de entrenamiento de la IA, advirtiendo que las oscilaciones sincronizadas de grandes trabajos de entrenamiento pueden, cuando su frecuencia se alinea con las frecuencias críticas de una empresa de servicios públicos, «causar daños físicos a la infraestructura de la red eléctrica».
Bit2Watt toma ese efecto accidental y pregunta qué podría hacer un inquilino con él deliberadamente.
La red también se ha visto asustada por el mal comportamiento de los centros de datos por accidente. En julio de 2024, una falla de transmisión en una zona del norte de Virginia con gran densidad de centros de datos causó aproximadamente 1.500 MW de carga del centro de datos desconectarse de la red de inmediato, cuando los propios sistemas de protección de las instalaciones las cortaron para obtener energía de respaldo.
NERC, que supervisa la confiabilidad de la red de América del Norte, dijo que la perturbación no representaba ningún riesgo para la confiabilidad en ese momento, aunque los operadores sí tuvieron que corregir el voltaje. Advirtió que el peligro crece a medida que estas cargas aumentan, y su comité técnico creó un grupo de trabajo sobre cargas grandes más adelante en 2024 para estudiarlas.
Nadie atacó nada; los centros de datos se protegieron. La cuestión no es que la red estuvo a punto de fallar, sino que una carga de ese tamaño puede caer en un instante, más rápido de lo que los operadores pueden planificar, y el riesgo aumenta a medida que estas flotas crecen.
El ciclo se cierra con lo que los autores llaman Watt2Bit, la perturbación que se retroalimenta al lado de la computación. El análisis del artículo muestra cómo el calentamiento impulsado por armónicos y la corriente elevada podrían activar la protección térmica o contra sobrecorriente y apagar los servidores GPU, convirtiendo un problema de calidad de energía en una denegación de servicio.
Lo que es más extraño aún, la misma modulación también funciona como un canal encubierto. Codificando bits como dos frecuencias, 2 kHz para 1 y 200 Hz para 0, el equipo capturó las emisiones electromagnéticas en una antena de campo cercano conectada a una radio definida por software y recuperó una secuencia de prueba de 50 bits con cero errores.
Es un primo cercano de PowerHammer, el ataque de exfiltración de datos de espacio aéreo que THN cubrió en 2018, con una distinción: PowerHammer lee datos conducidos a lo largo de la línea eléctrica, conectados en cualquier lugar desde el tomacorriente hasta el panel eléctrico del edificio, mientras que el canal de Bit2Watt necesita una antena que capte EMI de campo cercano directamente en el hardware.
Ninguno de los dos se comunica a través de Internet; ambos necesitan un punto de apoyo físico cerca de la energía o de la máquina.
No hay errores que parchear
La telemetría estándar apenas lo detecta. Los contadores de la PDU en rack se muestrean una vez por segundo, la telemetría NVML de NVIDIA a 450 Hz e incluso las interfaces comunes más rápidas, RAPL y BMC de servidor, alcanzan un máximo cercano a 1 kHz, mientras que la modulación es varias veces mayor.
Un detector liviano que los investigadores construyeron con energía y datos NVML tuvo un desempeño deficiente; agregar funciones de creación de perfiles de GPU lo mejoró y la detección EMI dedicada funcionó mejor. LTMA fue consistentemente más difícil de detectar que SWMA. Esos resultados provienen de un detector de grado de investigación, no de los sistemas propietarios que podría ejecutar un gran proveedor de nube, por lo que no prueban que un hiperescalador lo pasaría por alto.
El mayor problema no es la visibilidad. No hay ningún error del producto que corregir, porque la exposición es la arquitectura misma: el estrecho acoplamiento entre la carga volátil de la GPU y una red con muchos inversores, que ningún monitoreo convencional vigila.
El artículo ofrece defensas para ambos lados a la vez: baterías, supercondensadores y filtrado de armónicos en el lado de la energía; detección de anomalías en la utilización de GPU y programas de capacitación en el lado de la computación. Enmarca un sistema único que une a los dos como trabajo futuro.
El lado de la computación y el lado de la red son administrados por diferentes compañías, monitoreados por diferentes herramientas, y ninguno está diseñado para vigilar al otro. En esa costura es donde vive Bit2Watt, y ahora mismo no tiene dueño.
Las empresas fronterizas de IA a menudo se refieren a sus modelos como “asistentes útiles” o intentan compararlos con empleados de nivel inicial.
pero nuevo investigación del Instituto de Seguridad de IA del Reino Unido refuerza cómo los grandes modelos de lenguaje sufren de un defecto común que pondría a muchos empleados humanos en problemas con sus empleadores: hacen trampa.
En otras palabras, estos modelos están tan comprometidos a completar sus tareas que romperán las reglas, tomarán atajos y engañarán a sus propios usuarios para lograrlas.
«Todos los modelos que hemos probado para detectar este comportamiento intentaron hacer trampa», dice el informe de AISI. «Los modelos no informaron de manera confiable este comportamiento cuando se les preguntó y, a menudo, no razonaron al respecto en su cadena de pensamiento, lo que sugiere que detectar trampas probablemente requerirá métodos de monitoreo sólidos».
La investigación probó los modelos ChatGPT 5.4, 5.5 y 5.6 de OpenAI, junto con Claude Opus 4.7 y Mythos Preview de Anthropic.
Se probaron modelos de IA de Anthropic y OpenAI para detectar trampas. Todos demostraron algún nivel de engaño en sus pruebas. (Fuente de la imagen: AISI)
El AISI ejecutó modelos a través de una serie de evaluaciones cibernéticas de «Capturar la bandera», donde obtuvieron puntos al realizar tareas ofensivas relacionadas con la ciberseguridad, como explotar una vulnerabilidad particular o realizar ingeniería inversa en el código compilado.
La investigación define «hacer trampa» como «realizar una acción que está fuera del alcance de la tarea o explícitamente no permitida por las reglas, con el fin de lograr un objetivo a través de un atajo, una solución alternativa o una solución no intencionada que la tarea no estaba destinada o no debería permitir».
Capta una variedad de comportamientos observados en los modelos, como buscar soluciones en Internet, atacar o escalar privilegios en sistemas no relacionados, probar software de evaluación para obtener acceso a la solución de la tarea.
Los modelos de IA no logran identificar cuándo están haciendo trampa y, a menudo, lo justifican como aceptable cuando los usuarios los cuestionan (Fuente de la imagen: AISI)
Los modelos tampoco reconocieron cuándo estaban haciendo trampa para completar una tarea, y menos del 50 por ciento dijo que romper las reglas era «incorrecto» cuando un usuario los cuestionó.
La propensión de un modelo a hacer trampa no estaba relacionada con su capacidad, lo que significa que los modelos más nuevos o avanzados no tienen más probabilidades de hacer trampa. Más bien, los investigadores creen que la culpa se debe a las técnicas utilizadas durante el entrenamiento y la alineación de un modelo.
Pero incluso si las tasas de trampa se mantienen constantes, el problema podría empeorar con el tiempo. A medida que los modelos más nuevos en el futuro podrían volverse más competentes y aprender técnicas de trampa más efectivas.
Este engaño también dificulta que laboratorios como AISI verifiquen su propio trabajo, que se basa en la evaluación de resultados confiables de los sistemas de inteligencia artificial.
Modelos como Claude Mythos Preview y GPT-5.6 Sol justifican sus trampas ante los usuarios. (Fuente de la imagen: AISI)
La investigación subraya cómo los sistemas de inteligencia artificial pueden hacer todo lo posible para completar su tarea, incluido eludir o burlar las protecciones de TI y ciberseguridad de una empresa.
En un caso, los investigadores de AISI dijeron que a un modelo se le dio inadvertidamente una evaluación de capacidad cibernética que estaba mal configurada y era imposible de resolver.
«El modelo probado fue tan persistente en el intento de hacer trampa que escribió y ejecutó código en un servicio externo, alojado en Internet abierto fuera de los sistemas de AISI, en un intento de acceder a nuestra infraestructura de evaluación, lo que provocó una alerta de seguridad en los sistemas de AISI», dice el informe.
Si bien AISI dijo que no hubo fugas de datos ni daños por el incidente, el modelo podría haber accedido con éxito a su sistema de evaluación si no hubieran contado con un monitoreo. El instituto dijo que implementó más controles en los sistemas internos en respuesta a la prueba.
Los investigadores dijeron que hay «consecuencias significativas» en un status quo en el que no podemos confiar en que los modelos no hagan trampa. Los comportamientos son especialmente problemáticos en áreas como la investigación de seguridad de la IA, así como las operaciones cibernéticas y toma de decisiones militaresdonde los resultados de confianza de los sistemas de IA son fundamentales.
Hoy, AISI dice que puede detectar trampas en LLM mediante una combinación de revisión manual y monitoreo de LLM, pero eso puede no ser siempre cierto, y los modelos futuros pueden ser mejores para ocultar sus acciones a los supervisores humanos.
«Una solución más fundamental sería entrenar a los modelos para que no hagan trampa en primer lugar, pero dado que este tipo de comportamiento se informó en modelos de frontera hace más de un año, alinearlo firmemente puede no ser fácil», escribieron los investigadores.
Los investigadores de Sysdig han vinculado un segundo ataque en el mismo servidor Langflow con JADEPUFFER, el operador impulsado por agentes de inteligencia artificial que documentó por primera vez a principios de este mes.
Ahora se ha visto al mismo operador desplegando APLICARun nuevo ransomware Go compilado diseñado para cifrar pesos de modelos, índices de vectores, conjuntos de datos de entrenamiento y otros archivos de infraestructura de IA en todo el sistema de archivos del host.
El punto de entrada no cambió. Versiones de Langflow anteriores a 1.3.0 exponer el /api/v1/validate/code punto final sin autenticación, lo que permite que cualquier atacante remoto ejecute Python arbitrario en el servidor. el defecto, CVE-2025-3248tiene una puntuación CVSS de 9,8 y ha estado en las vulnerabilidades explotadas conocidas de CISA. catalogar desde el 5 de mayo de 2025.
Como informó The Hacker News a principios de este mes, la operación anterior utilizó código Python desechable y MySQL. AES_ENCRYPT() función para cifrar y destruir datos en Nacos (el servidor de configuración de Alibaba) y bases de datos de producción.
el nuevo Carga útil ENCFORGE reemplaza esos scripts improvisados con herramientas compiladas dirigidas a las tiendas de modelos, bases de datos vectoriales y canales de capacitación que la primera campaña barrió en busca de credenciales.
La carga útil de ENCFORGE
Los investigadores recuperaron el binario del servidor de comando y control del atacante, donde estaba oculto como /.lockd; una solicitud directa a /lockd devuelve 404 y el punto inicial lo mantiene fuera de una lista de directorio simple. El archivo es un ELF Go 1.22.12 estático empaquetado en UPX 5.20.
Las plataformas de inteligencia de amenazas no arrojaron detecciones ni en el hash empaquetado ni desempaquetado en el momento del análisis de Sysdig. El nombre interno del proyecto es encfile; El texto de error del binario hace referencia a una herramienta keygen complementaria llamada keyforge. Ambas cadenas sobreviven a la recompilación del mismo código base y sirven como anclajes de detección estables.
Su lista de extensiones predeterminada cubre puntos de control de PyTorch y TensorFlow, Hugging Face SafeTensors, formato de intercambio ONNX, GGUF (el estándar actual para LLM implementados localmente) y su predecesor GGML, índices vectoriales FAISS, conjuntos de datos de entrenamiento Parquet y Arrow, matrices NumPy y registros TensorFlow.
Un --include flag permite al operador agregar globs de archivos adicionales; el texto de ayuda incorporado utiliza adaptadores de ajuste fino LoRA y pesos GGML heredados como ejemplos. La lista completa incluye aproximadamente 180 extensiones. Esos ejemplos apuntan directamente a entornos de IA; un casillero de archivos genérico tendría pocas razones para nombrar adaptadores LoRA o pesos GGML heredados. Los investigadores interpretaron la elección como un objetivo deliberado, no como una cobertura incidental.
ENCFORGE utiliza AES-256-CTR para datos de archivos, con la clave simétrica por ejecución incluida en una clave pública RSA-2048 integrada compilada en esta compilación. En lugar de cifrar archivos completos, cifra regiones seleccionadas, la misma optimización de velocidad que utilizan los casilleros LockBit y BlackCat.
Cada archivo procesado se renombra con un .locked extensión. El binario elimina los procesos que mantienen los archivos abiertos antes de cifrarlos, maneja los reinicios sin volver a cifrar los archivos completados y arroja notas de rescate como README, HOW_TO_DECRYPTy README_DECRYPTy se elimina después de ejecutarse.
El binario ENCFORGE recuperado no tiene capacidad de exfiltración. No lleva código de red, cliente de almacenamiento en la nube ni mecanismo de preparación, y los investigadores no encontraron evidencia de filtración de datos, un sitio de filtración o un portal de pago Tor durante la sesión que observó. Su única ventaja son los datos cifrados.
El contacto de extorsión incluido en las notas de rescate es e78393397@proton.mela misma dirección de Proton Mail utilizada en la campaña anterior. Sysdig describe esto como el vínculo de atribución más fuerte entre las dos operaciones.
Los investigadores revelaron una sesión observada, no nombraron la organización y no proporcionaron ningún recuento de víctimas ni evidencia de otro despliegue de ENCFORGE.
De Langflow al anfitrión
Después de confirmar la ejecución del código, JADEPUFFER barrió el contenedor en busca de credenciales y encontró el socket Docker en /var/run/docker.sock. Su primer intento de extraer ENCFORGE del servidor de comando y control de GCP falló. En lugar de detenerse, se adaptó.
Durante cinco minutos y 24 segundos, el operador creó y revisó seis scripts de Python a través del mismo canal Langflow RCE hasta que tuvo una ruta funcional hacia el host. El primer script se creó línea por línea, manteniendo inerte cualquier solicitud para la inspección basada en firmas.
A partir del segundo, el operador codificó cada script completo en base64 y lo decodificó dentro de un exec() llamada, evitando búsquedas a nivel de shell de comandos como base64 -d. La versión final utilizó la API de Docker para activar un contenedor privilegiado con el espacio de nombres PID del host y el sistema de archivos raíz montado, ubicó el proceso de destino y copió ENCFORGE a través de /proc//rootluego lo ejecutó en el host a través de nsenter.
En todas las iteraciones, los contenedores se crearon con Privileged: true, PidMode: host, NetworkMode: hosty el sistema de archivos raíz de lectura y escritura montado en enlace. Esa es la raíz del host.
Antes de la ejecución en vivo, el operador lanzó --try-run para escanear el sistema de archivos, luego --lock para el pase de cifrado en vivo. El script final verificó el estado del proceso, leyó el registro de bloqueo y contó los archivos que terminaban en .locked.
Los investigadores no publicaron el recuento resultante; la evidencia revelada establece un intento de cifrado en vivo, no cuántos archivos de modelo o conjunto de datos se cifraron con éxito.
Sysdig evaluó la --task-id gcp_h1 marcar como evidencia que el operador estaba rastreando este host como un objetivo de GCP dentro de una campaña más amplia; una prueba de ejecución anterior en la sesión utilizó el ID de tarea gcp_test. El informe no reveló víctimas adicionales ni sitios de despliegue.
Los investigadores documentaron la campaña anterior de JADEPUFFER corrigiendo un inicio de sesión fallido en Nacos en 31 segundos. El mismo patrón se mantuvo aquí frente a un problema más difícil: el operador construyó una ruptura de host a través del socket Docker expuesto cuando su ruta de entrega preferida estaba bloqueada.
Parche Langflow y luego proteja los modelos
Los investigadores estiman que reconstruir un modelo de producción de IA una vez cifrado podría costar entre 75 000 y 500 000 dólares por modelo en tiempo de ingeniería y computación de GPU en la nube.
Los entornos de producción a menudo ejecutan múltiples variantes especializadas en almacenamiento compartido, por lo que una sola ejecución de ENCFORGE podría cifrar múltiples variantes almacenadas en el mismo sistema de archivos accesible. Si los datos de capacitación se encuentran en el mismo host, la organización debe reconstruirlos antes de que pueda comenzar cualquier reentrenamiento.
Sysdig ha publicado las direcciones fuente y C2, la huella digital de la clave RSA-2048 integrada y una regla YARA en su informe completo.
Actualice Langflow a 1.9.1 o una versión compatible actual. Versión 1.3.0 cerrada CVE-2025-3248el vector de entrada para esta campaña, pero desde entonces CISA ha agregado dos vulnerabilidades Langflow más a su catálogo KEV: CVE-2026-33017una falla de RCE no autenticada corregida en 1.9.0, agregada a KEV el 25 de marzo de 2026; y CVE-2026-55255una omisión de autorización entre usuarios corregida en 1.9.1, agregada el 7 de julio de 2026.
Rote las claves del proveedor de IA, las credenciales de la nube, los secretos de la base de datos y cualquier otro token accesible al proceso de Langflow. La aplicación de parches no revoca las credenciales ya recopiladas a través de una instancia vulnerable.
Eliminar /var/run/docker.sock desde cualquier contenedor que no lo requiera. Cuando el acceso al socket sea inevitable, alcancelo a través de un proxy de configuración limitada; una implementación estándar de Langflow generalmente no necesita crear contenedores, y el acceso sin restricciones al socket Docker debe tratarse como una configuración incorrecta.
Alerta sobre procesos de aplicaciones que llaman a las API de creación de contenedores de Docker, contenedores lanzados con Privileged: true o PidMode: hostmontajes de enlace host-raíz y nsenter ejecución desde el interior de un contenedor.
Mantenga los pesos de los modelos, los índices vectoriales y los conjuntos de datos de entrenamiento en instantáneas inmutables o fuera de línea. Supervise esos directorios para detectar .locked creación de archivos.
Hacker News se puso en contacto con el equipo de investigación de amenazas de Sysdig para obtener más detalles sobre el alcance de la campaña de la flota y la confianza en la atribución; Sysdig no había respondido mediante publicación.
Los artefactos del modelo ahora pertenecen al mismo nivel de recuperación que el código fuente y las bases de datos de producción. Una organización que puede reconstruir la aplicación pero no puede restaurar sus pesos, índices o estado de entrenamiento no tiene una ruta de regreso limpia.
Investigadores de ciberseguridad han descubierto un malware previamente no documentado llamado Ir Serpiente que se ha utilizado en ataques cibernéticos dirigidos a entidades en el sudeste asiático desde finales de 2025 con un enfoque en el acceso a largo plazo y la recopilación de inteligencia.
La empresa rusa de ciberseguridad Kaspersky, que descubrió la actividad en febrero de 2026, dijo que estaba dirigida a entidades gubernamentales y diplomáticas de la región. GoSerpent está diseñado para contactar a un servidor externo e implementar cargas útiles secundarias en la recopilación de datos confidenciales y el volcado de credenciales en el sistema.
«El seguimiento de las actividades de este actor de amenazas reveló que en mayo de 2026 regresaron con un conjunto evolucionado de herramientas maliciosas: un nuevo Stowaway RAT y una herramienta proxy que se parecía al malware inicial, así como una herramienta sigilosa adicional para filtrar datos confidenciales recopilados durante los meses anteriores a través de la red compartida», dijo el investigador de seguridad Noushin Shabab. dicho.
El objetivo final de estos esfuerzos es recopilar archivos confidenciales y prepararlos para su posterior filtración utilizando una herramienta de recopilación de datos denominada ThumbcacheService. Los ataques también han empleado herramientas de volcado de credenciales a través de GoSerpent para capturar las credenciales del sistema necesarias para facilitar la filtración de datos a través de unidades compartidas de red.
Las versiones anteriores del implante basado en Go y el troyano de acceso remoto (RAT) se han utilizado desde 2021 contra víctimas en el sudeste asiático, con variantes recientes implementadas tan recientemente como este año.
El malware funciona recibiendo argumentos de línea de comandos cifrados y codificados en Base64 que contienen la dirección de comando y control (C2) y la contraseña de comunicación. Una vez descifrada, la puerta trasera se conecta al servidor C2 a través de una conexión cifrada, donde el hash SHA256 de la contraseña de comunicación sirve como clave de cifrado.
La lista de comandos admitidos se enumera a continuación:
Para alertar al servidor de una infección activa
Comience a escuchar en un puerto específico
Cerrar un puerto de escucha
Conectarse a un servidor remoto
Generar un shell en la máquina infectada
Subir un archivo o directorio al servidor
Descargar desde el servidor
Inicie un proxy SOCKS5 en la máquina infectada
Reenviar a un nodo conectado
«GoSerpent puede establecer servidores proxy SOCKS5 para enrutar el tráfico a través de hosts comprometidos, permitiendo a los atacantes acceder a otras redes mientras enmascaran sus verdaderas direcciones IP», explicó Kaspersky. «La puerta trasera es capaz de implementar herramientas maliciosas adicionales, incluido ThumbcacheService para la recopilación de archivos, Mimikatz para el volcado de credenciales y QuarksDumpLocalHash para la extracción de hash de contraseñas de cuentas locales».
Algunas de las otras herramientas implementadas durante el transcurso de los ataques son las siguientes:
RATA McMxuna herramienta básica de acceso remoto y proxy basada en Go que es una versión liviana de GoSerpent con capacidades como proxy SOCKS5, reenvío de puertos, transferencia de archivos y shell remoto
Servicio Thumbcacheuna DLL que complementa GoSerpent con un sofisticado mecanismo de recopilación de archivos
Mimikatzpara volcar la memoria del proceso del Servicio del subsistema de la autoridad de seguridad local (LSASS) para extraer material de credenciales
QuarksDumpLocalHashpara extraer hash de contraseña de cuenta local del subárbol de registro SAM
Después de meses de recopilación encubierta de datos, se dice que los actores de amenazas detrás de la actividad regresaron al entorno comprometido en mayo de 2026 para implementar otro conjunto de herramientas:
Polizónuna herramienta de proxy y acceso remoto con funciones de proxy SOCKS5, reenvío de puertos, túnel inverso, acceso remoto a shell, transferencia de archivos y túnel basado en SSH.
cargador tmcun módulo de carga de C++ que contiene una carga útil cifrada denominada TmcPayload
Carga útil Tmcpara extraer datos confidenciales almacenados en la máquina de la víctima
«Lo que hace que esta amenaza sea particularmente preocupante es el despliegue estratégico de varias herramientas con capacidades sofisticadas de recopilación y exfiltración de datos», dijo Kaspersky. «La cadena desde ThumbcacheService hasta TmcLoader/TmcPayload demuestra una planificación operativa sofisticada».
Aunque la atribución definitiva sigue siendo, en el mejor de los casos, confusa, el proveedor de seguridad dijo que la campaña comparte objetivos, capacidades técnicas y superposiciones operativas con Tetris Fantasmaun «actor de amenazas altamente capacitado e ingenioso», primero documentado en octubre de 2023 como apuntar entidades gubernamentales en la región Asia-Pacífico (APAC).
«El atacante espió encubiertamente y recopiló datos confidenciales de entidades gubernamentales de APAC mediante la explotación de un tipo particular de unidad USB segura, protegida por cifrado de hardware para garantizar el almacenamiento y la transferencia seguros de datos entre sistemas informáticos», señaló la compañía en ese momento.
«La campaña comprende varios módulos maliciosos, a través de los cuales el actor puede obtener un amplio control sobre el dispositivo de la víctima. Esto le permite ejecutar comandos, recopilar archivos e información de las máquinas comprometidas y transferirlos a otras máquinas utilizando las mismas o diferentes unidades USB seguras como portadoras».
Cadena de ataque en equipo «No»
La divulgación se produce cuando Cyderes Howler Cell detalló una operación de ciberespionaje dirigida orquestada por DoNot Team dirigida a los establecimientos militares y de defensa de Bangladesh utilizando correos electrónicos de phishing que contienen un documento RTF con malware para colocar un implante DLL que configura la persistencia de tareas programadas disfrazada de telemetría OneDrive, perfila el host y señala a un servidor C2 a través de HTTPS.
«El RTF utiliza inyección remota de plantillas para obtener una macro VBA, con geocercas del lado del servidor que restringen la entrega de carga útil a las víctimas dentro de la región objetivo», investigadores Reegun Jayapaul, Rahul Ramesh y Baskar M. dicho. «Una vez que se ejecuta la macro, inyecta un código shell compatible con la arquitectura a través del abuso de API basado en devolución de llamada. El código shell se mueve a través de varias etapas codificadas en XOR, cada una extraída del mismo dominio C2 con extensiones de archivo de apariencia benigna».
Luego, el implante se utiliza para entregar una DLL de segunda etapa («ejtest.dll»), que presenta capacidad de descarga modular para cargas útiles siguientes. La atribución a DoNot Team se basa en rutas de URI C2 similares, material de clave AES coincidente, técnica de inyección de shellcode basada en VBA y entrega de carga útil geocercada que ofrece plantillas limpias a los que no son objetivos.
Una solicitud HTTP anónima puede ejecutar código en un sitio de WordPress. El error está en el núcleo, por lo que se puede explotar una instalación simple sin complementos.
Todos los sitios 6.9 y 7.0 estuvieron dentro del alcance hasta el viernes, cuando WordPress envió 6.9.5 y 7.0.2 y habilitó lo que llama actualizaciones forzadas a través de su sistema de actualización automática.
Adam Kues de Assetnote, el brazo de gestión de superficies de ataque de Searchlight Cyber, encontró la falla y la informó a través de WordPress. programa hackerone. El escribirpublicado bajo el nombre wp2shelldice que el ataque «no tiene condiciones previas y puede ser explotado por un usuario anónimo».
La empresa está sentada en los detalles técnicos por ahora y ha presentado un inspector en wp2shell.com, para que los propietarios puedan probar su propia instancia.
WordPress lanzó 6.9.5 y 7.0.2 el 17 de julio de 2026, cerrando un RCE de autenticación previa en el núcleo que una solicitud anónima puede activar contra una instalación predeterminada sin complementos. Dos rangos se ven afectados:
6.9.0 a 6.9.4, corregido en 6.9.5
7.0.0 a 7.0.1, arreglado en 7.0.2
WordPress no ha dicho si el envío forzado llega a los sitios que desactivaron las actualizaciones automáticas. Verifique lo que realmente está ejecutando en lugar de asumir que aterrizó.
7.1 beta2 incluye la misma solución. Los sitios que todavía están en 6.8 también tienen una actualización esperando, pero 6.8.6 es para el segundo error de inyección SQL en la misma ronda, informado por un equipo diferente.
La publicación de Searchlight estima que más de 500 millones de sitios web ejecutan WordPress. Esa cifra es la base instalada total, no la población vulnerable: el código defectuoso solo existe desde la versión 6.9 en adelante, y la 6.9 se envió el 2 de diciembre de 2025. Por lo tanto, cada sitio afectado ejecuta una versión de menos de ocho meses y ninguno de los avisos dice cuántos sitios cubre.
WordPress es más comunicativo sobre la clase de error que el investigador. Es publicación de lanzamiento describe el hallazgo de Kues como «una confusión de rutas por lotes de API REST y un problema de inyección de SQL que conduce a la ejecución remota de código». El lanzamiento cubre una falla crítica y otra de alta gravedad, y WordPress no dice cuál es cuál.
El página de versión enumera los tres archivos tocados por 7.0.2, cubriendo ambas correcciones: /wp-includes/rest-api/class-wp-rest-server.php, /wp-includes/class-wp-query.php y /wp-includes/rest-api.php. El punto final por lotes no es nuevo. WordPress lo ha enviado desde 5.6 en noviembre de 2020 y documentó públicamente el formato de la solicitud desde entonces. Nada publicado hasta ahora explica qué cambió en 6.9 para abrirlo.
Ninguno de los avisos incluye un ID CVE ni una puntuación CVSS, y no había aparecido ningún registro CVE hasta el 18 de julio. Los escáneres e inventarios con clave CVE no marcarán este, y CISA necesita un CVE antes de poder agregar algo al catálogo KEV. En su lugar, realice un seguimiento por número de versión.
Si no puedes actualizar hoy
Todas las mitigaciones que ofrece Searchlight se reducen a mantener a las personas que llaman anónimas fuera del punto final por lotes. Tres opciones, todas ellas provisionales hasta que actualices, y todas ellas capaces de romper integraciones legítimas:
En un WAF, bloquee /wp-json/batch/v1 y rest_route=/batch/v1. La empresa es explícita en que ambos tienen que desaparecer, porque una regla que cubre solo la ruta /wp-json deja abierta la ruta de la cadena de consulta.
un corto complemento directo que publica y rechaza solicitudes anónimas /batch/v1 en rest_pre_dispatch.
No se ha reportado ningún intento de explotación hasta el 18 de julio. Sin CVE para etiquetar y sin firma pública que coincida, nadie está realmente mirando todavía.
La explotación masiva de WordPress es ahora una industria. Antes de que su servidor se filtrara en junio, un solo fallo en el complemento de almacenamiento en caché llevó al equipo de WP-SHELLSTORM a más de 17.000 sitios, según su propio recuento. Ese error ya era público, ya estaba parcheado y solo funcionaba en una configuración no predeterminada.
Cuando Drupal parchó una inyección SQL anónima en su propio núcleo en mayo, Searchlight convirtió esa solución pública en una desmontaje el mismo día con dos pruebas de concepto funcionales. Eso fue error de otro y parche de otro, y nada obliga a la firma a hacer lo mismo con los suyos. Pero fue necesario un día, y las personas que pusieron en marcha ese reloj son las que ahora apuestan que el silencio les da tiempo a los defensores.
El núcleo de WordPress es de código abierto, y tanto 7.0.1 como 7.0.2 se encuentran en el archivo de lanzamiento públicopor lo que la comparativa está disponible para quien la desee. Ese es el problema de todo proyecto de código abierto: no se puede enviar la solución sin enviar el mapa del error, y la única palanca que queda es qué tan rápido el parche llega a los sitios antes de que alguien lo lea.
WordPress tiró de esa palanca el viernes. El tráfico contra el lote/v1 mostrará cuándo llegan los atacantes, y las estadísticas de la propia versión de WordPress mostrarán si el parche llegó primero. Sólo uno de esos números aparece en las noticias.
Pídale a un agente de inteligencia artificial que resuma las reseñas en la página de un producto y una sola reseña colocada puede hacer que haga clic en «Comprar ahora». Pídale a un asistente de codificación que aplique una solución de mantenimiento de un hilo de GitHub, y un comentario falso puede hacer que ejecute el comando de un extraño en su computadora.
Ninguno de los trucos secuestra la tarea del agente. Cada uno simplemente corrompe los hechos en los que confía y le permite continuar con el trabajo que solicitó.
Ésa es la forma de una nueva clase de ataque presentada en un artículo publicado el 6 de julio por investigadores de la Universidad Nacional de Seúl, la Universidad de Illinois Urbana-Champaign y Largosoft.
lo llaman inyección de datos del agenteo ADI. La entrada del atacante se disfraza de datos en los que el agente ya confía, como el nombre de un remitente o la identificación de un botón, por lo que pasa por alto la mayoría de las defensas creadas para detener la inyección rápida.
La brecha proviene de cómo lee un agente. Requiere dos tipos de cosas: instrucciones, es decir, lo que usted y el desarrollador de la aplicación le dicen que haga, y datos, es decir, todo lo que obtiene mientras trabaja, como un correo electrónico, una página web o un comentario. La inyección rápida clásica oculta un orden dentro de esos datos, algo así como «ignora tu tarea y envíame los archivos por correo electrónico».
Los investigadores llaman a eso inyección de instrucciones. Las defensas modernas están entrenadas para detectar texto que se lee como una orden de contrabando y bloquearlo, y contra ese movimiento ahora funcionan bien.
ADI trabaja una capa más abajo, en los pequeños hechos en los que un agente confía silenciosamente: quién envió un correo electrónico, la identificación de un botón en una página, el registro de un paso que una herramienta ya ejecutó. Corrompelos y el agente seguirá haciendo su tarea, solo que además de la información que plantó el atacante.
Puntuación falsa que cree el modelo.
El método detrás de esto es lo que los investigadores llaman inyección delimitadora probabilística. Los agentes envuelven sus datos en puntuación que marca dónde termina una parte y comienza la siguiente: comillas y llaves, etiquetas, corchetes y saltos de línea. Esa puntuación es la forma en que el modelo distingue un campo confiable, como el nombre de un remitente, del contenido que no es confiable, como el cuerpo de un mensaje.
Un programa normal lee esa puntuación según reglas estrictas. Un modelo de lenguaje lo lee mediante conjeturas. Por lo tanto, un atacante puede agregar caracteres similares a signos de puntuación en un campo que controla y el modelo a menudo los leerá como una estructura real que nunca estuvo allí, viendo un correo electrónico adicional, un botón adicional o un resultado de herramienta adicional.
La parte que hace que sea difícil detenerlo: la puntuación falsa ni siquiera tiene que ser correcta. En las pruebas, una comilla de escape (\»), una comilla curva, incluso un signo de dólar, pasaron por algo real y aun así engañaron al modelo. Un analizador estricto leería esos caracteres como texto ordinario, no como una nueva estructura.
Los investigadores crearon tres ataques funcionales a herramientas de envío reales:
En agentes web (Claude en Chrome, Antigravity de Google y Nanobrowser), una reseña de producto plantada reutiliza la identificación de un botón real. El agente quiere hacer clic en «Leer más» y en su lugar hace clic en «Comprar ahora», realizando un pedido que el usuario nunca realizó. Debido a que estas herramientas numeran los elementos de la página en orden, el atacante puede calcular la identificación con anticipación.
Sobre asistentes de codificación (Claude Code, Codex de OpenAI y Gemini CLI de Google), un comentario de GitHub falsifica su línea de autor para que parezca que la escribió un mantenedor del proyecto. Cuando se le indica que aplique la solución del mantenedor, el agente ejecutará el comando del atacante en la máquina del desarrollador si el desarrollador aprueba lo que parece un paso de rutina.
Una solicitud de extracción maliciosa falsifica el registro de un cheque que el agente nunca ejecutó, por lo que aparece un resultado limpio en su historial. El agente revisa ese resultado falso, considera que el código es seguro y procede a fusionarlo, incorporando el código malicioso real al proyecto una vez que el desarrollador lo aprueba.
La mayoría de estas herramientas ya preguntan antes de hacer algo arriesgado. Claude en Chrome pregunta antes de hacer clic; preguntan los asistentes de codificación antes de ejecutar un comando. No ayuda mucho. El mensaje de clic solo dice que el agente quiere hacer clic en un elemento, no en cuál ni por qué.
Los asistentes de codificación muestran su razonamiento, pero ese razonamiento se basa en hechos falsos, por lo que parece una explicación sensata de un paso normal. Al mirar la pantalla, un usuario tiene pocas formas de distinguir una aprobación real de una fabricada.
Y todos los modelos probados resultaron vulnerables: GPT-5.2 y GPT-5-mini de OpenAI, Claude Opus 4.5 y Sonnet 4.5 de Anthropic, y Gemini 3 Pro y Flash de Google. En los seis, funcionó con datos estructurados entre el 31% y el 43% del tiempo, y con datos de páginas web desde un tercio de los intentos hasta todos ellos.
Contra las defensas de agentes especialmente diseñadas que los investigadores probaron, se abrió la brecha: el clásico ataque de contrabando de órdenes fue bloqueado casi por completo, con una tasa de éxito cercana a cero, mientras que ADI aún tuvo éxito hasta el 50% de las veces. Mismas defensas, resultados muy diferentes, porque fueron construidas para el otro ataque.
¿Qué es lo que realmente lo detiene?
No todo cayó. El navegador Atlas de ChatGPT hizo caso omiso del ataque de clic porque etiqueta cada elemento de la página con una identificación aleatoria e indescifrable en lugar de un simple contador, por lo que el atacante no puede falsificar una coincidencia. Los investigadores encontraron que la misma idea, una breve etiqueta aleatoria agregada a los nombres de los campos, la redujo aproximadamente a la mitad, de aproximadamente el 49% al 29% en sus pruebas, manteniendo al mismo tiempo los agentes útiles.
Una defensa más fuerte que rastrea de dónde proviene cada dato lo excluyó por completo, cero ataques exitosos, pero dejó a los agentes terminando solo alrededor de un tercio de sus tareas ordinarias. Eliminar la puntuación también redujo el ataque, pero rompió la capacidad de los agentes para leer cosas normales como enlaces y rutas de archivos junto con él.
Los investigadores solo describen ataques de prueba de concepto y no hay ningún informe público sobre el uso de ADI en la naturaleza. El equipo informó todo a los proveedores afectados antes de publicarlo; OpenAI, Google y Anthropic reconocieron los informes, y Nanobrowser no había respondido al momento del artículo.
Para que el ataque funcione, es necesario que se alineen un par de cosas. El agente tiene que procesar contenido que un extraño puede editar, que es lo que hacen los agentes web y de GitHub todo el día. Y el atacante debe conocer el formato en el que el agente empaqueta sus datos.
Los investigadores dicen que un atacante puede recuperar el formato de una herramienta de código abierto o ejecutada localmente leyendo su código o aplicando ingeniería inversa, y que un servicio en la nube es más difícil, donde puede requerir un jailbreak que no está garantizado que funcione.
Según el documento, los investigadores también están publicando su código de ataque y de referencia, para que los proveedores y defensores puedan probarlo.
Woohyuk Choi, quien escribió el documento con el profesor Byoungyoung Lee, dijo a The Hacker News que OpenAI, Google y Anthropic han confirmado que el ataque es válido, y que OpenAI y Google pidieron una copia del documento. Más allá de eso, dijo, el equipo «no ha sido informado de ninguna solución, ya sea enviada o planificada».
En la parte difícil, recuperar el formato que utiliza un servicio en la nube, Choi dijo que el equipo lo logró de todos modos. Para ese formato del lado del servidor, que un atacante no puede ver directamente, consiguieron que el modelo lo revelara con un jailbreak de varios turnos y, con distintos esfuerzos, funcionó contra GPT, Claude y Gemini.
Incluso existe un atajo: los modelos más grandes y más pequeños de una empresa tienden a compartir el mismo formato, por lo que un atacante puede extraerlo de un modelo más pequeño, que es más fácil de romper. Choi espera que el formato siga siendo recuperable incluso cuando los modelos mejoren, porque los modelos de lenguaje no pueden mantener de manera confiable ese tipo de secreto.
donde encaja esto
El problema de confianza subyacente ya ha salido a la luz antes. En junio de 2025, Aim Security reveló EchoLeak (CVE-2025-32711), una falla en Microsoft 365 Copilot donde se podía crear un correo electrónico que podía hacer que el asistente filtrara archivos internos sin necesidad de hacer clic.
Microsoft lo parchó y no se informó ningún abuso en el mundo real, pero fue un caso temprano y concreto de una idea de inyección rápida convertida en una ruta funcional de exfiltración de datos en un producto de envío. EchoLeak fue esa historia en su primera forma: un orden oculto. ADI es la siguiente vuelta de tuerca.
Más recientemente, las pruebas entre proveedores han empujado a Claude Code, Gemini CLI y Copilot a filtrar sus propios secretos a través de textos de problemas y solicitudes de extracción, eludiendo las barreras de seguridad que GitHub agregó exactamente para eso. Esos ataques introdujeron instrucciones de contrabando. ADI falsifica quién dijo qué y falsifica el registro de lo que el agente ya hizo.
Los investigadores lo atribuyen a una lección que el software tradicional aprendió por las malas: mantener separados el código y los datos, y luego separar los datos confiables de los que no lo son.
Los agentes retomaron la primera mitad y se saltaron la segunda. Dentro de la propia memoria de un agente, el nombre de un correo electrónico se encuentra justo al lado del cuerpo de ese correo electrónico, sin nada que marque lo que el sistema avala y lo que escribió un extraño. Hasta que los agentes tracen esa línea, todo lo que necesita un ataque es una mentira convincente sobre quién envió algo.
Ladrón de ClickLocksun nuevo ladrón de información de macOS, responde a la negativa de una víctima eliminando sus aplicaciones en bucle hasta que entreguen la contraseña de inicio de sesión. Llega como un comando pegado en la Terminal, solicita la contraseña detrás de un cuadro de diálogo falso del sistema y, cuando la víctima cancela, instala dos LaunchAgents y sale silenciosamente.
En el siguiente inicio de sesión, Finder, Dock, Spotlight, Terminal, Activity Monitor y los principales navegadores comienzan a morir cada 210 milisegundos, durante hasta 83 horas, dejando un cuadro de contraseña en un escritorio inactivo. Escríbalo y la máquina entregará el llavero, las credenciales del navegador y las billeteras criptográficas.
Grupo IB telemetria cuenta al menos 100 objetivos en 33 países desde mayo, más de la mitad de ellos en Europa. Por la estructura del código, sus analistas suponen que el malware aún está en desarrollo. Subido a VirusTotal el 9 de junio, el guión del orquestador tenía cero detecciones allí cuando el Grupo IB lo analizó.
Y los analistas nunca encontraron la puerta de entrada. Tienen toda la cadena de carga útil y ni una sola de las páginas de señuelos. La lista del COI incluye tres hosts de carga útil comprometidos y ningún dominio atractivo: el diseño de la página de destino, los dominios que la sirven y todo lo que dirige el tráfico hacia ellos no están confirmados.
Una ejecución completa deja al operador con la contraseña de inicio de sesión validada de macOS, la clave AES de almacenamiento seguro de Chrome y un ZIP con las credenciales del navegador y las cookies, el almacenamiento de la extensión de la billetera criptográfica, los archivos de la billetera de escritorio, las bóvedas del administrador de contraseñas, el llavero, el historial del shell y las credenciales guardadas del servidor de FileZilla.
La clave de Almacenamiento Seguro es la que perdura. Cifra las contraseñas y cookies guardadas de Chrome en el disco, por lo que Login Data y Cookies se descifran fuera de línea, en la máquina del atacante, cada vez que acceden a ella. El consejo de Group-IB para cualquiera que haya ejecutado esto: revocar las sesiones activas del navegador, tratar todas las contraseñas, cookies y claves de billetera guardadas como desaparecidas y cambiarlas.
Cumpla ahora o cumpla en el próximo inicio de sesión
El usuario que se niega no es un caso extremo. Para ellos es el diseño. Cancele el primer diálogo y el script desaparecerá. com.authirity.plist y com.chromer.plist en ~/Library/LaunchAgents/luego se va.
El primero activa el bucle de interrupción de 210 milisegundos hasta que llega una contraseña. El segundo lanza su propio bucle de interrupción en intervalos de 0,2 segundos durante hasta 3.000.000 de segundos, aproximadamente 34,7 días, mientras que un proceso en segundo plano consulta el llavero para la clave de almacenamiento seguro de Chrome cada medio segundo.
Esa consulta genera un mensaje real de macOS y el bucle mantiene el escritorio como rehén hasta que la víctima lo aprueba. Activity Monitor y Terminal están en ambas listas de eliminación. Un tercer bucle desactiva NotificationCenter durante seis horas, por lo que no se genera ninguna advertencia de Gatekeeper. Si Terminal carece de acceso total al disco, el orquestador abre Configuración del sistema en el panel derecho y guía a la víctima para otorgarlo.
La parte delantera es Hacer clic en arreglar. Group-IB evalúa esto con gran confianza y nunca lo ha visto. El guión toma un RAY_ID como primer argumento y se abre con un banner CAPTCHA falso de Cloudflare sobre una barra de progreso que recorre doce líneas de estado en diez segundos. Tampoco nada. Existen para tranquilizar a alguien que acaba de pegar un comando en una terminal.
Debajo, script.sh desactiva las interrupciones del teclado, oculta el cursor y extrae cuatro cargas útiles de dos sitios comprometidos. Dos tubos directos al bash. Dos aterrizan en un lugar escondido. $HOME/.cacheb/. La pregunta suave es una osascript cuadro de diálogo que lleva un ícono de Apple descargado y el nombre de usuario real de la víctima, y todo lo que se escribe se compara con dscl /Local/Default -authonly primero, por lo que solo vale la pena enviar una contraseña que funcione.
Casi nada de eso es nuevo. microsoft documentado lo mismo dscl validación en SHub Stealer en mayo, junto con AMOS y MacSync en la misma ola de campañas macOS ClickFix. La persistencia de Telegram exfil y LaunchAgent son repetitivas.
La puerta trasera, goyimes aproximadamente el 80 por ciento una copia del script de implementación pública para GSocketun conjunto de herramientas de creación de túneles de código abierto de The Hacker’s Choice. Sus autores plantean el gs-netcat componente como una puerta trasera inversa cifrada que no necesita un servidor C2 propio. En su lugar, monta un relevo.
Group-IB rastreó esta copia hasta un repetidor de operador en gsnc[.]eu:67con el binario extraído del propio gsocket.io. Las cargas útiles del ladrón se encuentran en tres dominios comprometidos con reputaciones limpias, uno de ellos un sitio de WordPress pirateado, y el botín sale a través de tres robots de Telegram. El Grupo IB no observó ninguna infraestructura dedicada de mando y control.
En macOS, el binario aparece como iCloud en ~/Library/Application Support/iCloudsync y el proceso se ejecuta como SystemUIServerluna letra menos que la real.
Apple ya intentó cerrar esta puerta
macOS 26.4 se envió a finales de marzo. Advierte cuando Terminal ve actividad de pegado sospechosa y bloquea directamente cualquier cosa que reconozca como malware conocido, una mitigación que Microsoft señala como una respuesta directa a la entrega de ClickFix.
La propia documentación de Apple. muestra cuánto espacio queda: la advertencia solo se activa si no usa Terminal con regularidad y se envía con un botón Pegar de todos modos. El bloque duro necesita que macOS ya conozca el malware.
Dos campañas pasaron por esa sala en cuestión de semanas, en direcciones opuestas. Laboratorios de amenazas de Jamf documentado en abril que evita la pasta por completo, utilizando un applescript:// URL para abrir Script Editor con la carga útil precargada, para que la verificación nunca se active. Thijs Xhaflaire, de Jamf, escribió que «cuando una puerta se cierra, los atacantes encuentran otra». ClickLock es el otro. En su lugar, mantuvo la pasta y diseñó alrededor de la persona.
El ciclo de coerción es la única parte que no tiene argumento de cobertura. Group-IB no cubre en el subsegundo pkill y killall ataca Finder, Dock, SystemUIServer y NotificationCenter: «este comportamiento es exclusivo del malware de interacción forzada y no tiene un caso de uso legítimo».
El resto del conjunto de señales:
security find-generic-password llamado desde un script de shell en lugar de un navegador
osascript generar cuadros de diálogo de contraseña con íconos extraídos de /tmp/
Lecturas masivas de directorios de perfiles del navegador seguidas de tráfico a api.telegram.org
curl canalizado a bash donde termina la URL .jpg, .txt o .css
Creación de LaunchAgent en ~/Library/LaunchAgents/ por un proceso de cáscara, emparejado con launchctl load
Si una Mac comienza a eliminar sus propias aplicaciones y deja un cuadro de contraseña en la pantalla, no escriba la contraseña. Ninguna página de verificación necesita tu Terminal. La verificación de Cloudflare se ejecuta en el navegador, que es su objetivo.
Group-IB dice que se mantenga presionado el botón de encendido hasta que la máquina se apague, luego se inicie en modo seguro, y su paso de cambio al inicio es el Sólo procedimiento Intel. En Apple Silicon, mantenga presionado el botón de encendido hasta que aparezca «Cargando opciones de inicio», seleccione el volumen, luego mantenga presionada la tecla Mayús y haga clic en Continuar en modo seguro.
La limpieza es desigual. Los módulos ladrones descargan sus propios LaunchAgents y falsifican sus marcas de tiempo. ~/Movies para romper el análisis de la línea de tiempo y eliminarse a sí mismos. goyim no lo hace. Siéntese en el bucle, escriba la contraseña, observe cómo regresa el escritorio y lo que queda es una máquina que se ve bien con un shell inverso, ejecutándose como SystemUIServerl fuera de ~/Library/Application Support/iCloudsync.
Los operadores de ClickLock se lanzaron en mayo, un mes después de la vida de la advertencia, y se crearon para pegar. Lo que el informe no dice es si alguno de los objetivos del Grupo IB lo vio alguna vez.
Hacker News ha solicitado a Group-IB el desglose de la versión de macOS detrás de esos objetivos y actualizará esta historia con cualquier respuesta.
