Ideas, guías y análisis prácticos sobre cumplimiento, ciberseguridad y transformación digital.
Un único proceso saturado dentro de la infraestructura de Microsoft tumbó correo, chat, archivos, Copilot y gestión de dispositivos durante buena parte de un día. La caída es la noticia de una semana. El grafo de dependencias que nadie dibujó es la noticia de la próxima década.
Doers Summit Dubai 2026 llega a Dubai Silicon Oasis del 24 al 26 de noviembre bajo el patronazgo de DIEZ, y reúne a fundadores, scaleups e inversores en el mismo distrito donde operan las empresas tecnológicas locales. Esto es lo que cambia realmente para un negocio que trabaja desde Dubai.
Un atacante pasó 36 horas dentro de la infraestructura de build de Railway, abrió las variables cifradas de los clientes y se llevó claves de proveedores de IA con las que se quemaron unos 740.000 dólares de cómputo ajeno. Nadie pescó una contraseña: el objetivo eran las claves, cosechadas para el mercado de la destilación de modelos.
Un investigador publicó más de treinta exploits funcionales para N-central, la plataforma que los MSP usan para administrar cada dispositivo de sus clientes, y el fabricante apagó su nube en todo el mundo en menos de un día. Los fallos dan titulares una semana; el proceso de divulgación roto detrás de ellos importa durante la próxima década.
Un banco francés perdió hasta 133 millones de dólares y ningún saldo de cliente se movió. El atacante usó la cuenta de la propia institución, a la que llegó a través de la plataforma de un proveedor de servicios, y luego convirtió el dinero en stablecoins. La lección para bancos y fintechs del Golfo es que la joya de la corona es tu propia capacidad de mover dinero.
Apiiro ha encontrado 2.539 secretos reales en 1.994 repositorios públicos de GitHub, guardados ahí por agentes de código con IA al aprobar sus propios avisos de permisos. El culpable es .claude/settings.local.json, y la protección que existe nunca viaja con el código.
Chainalysis ha admitido que su brecha, ejecutada con técnicas agénticas, expuso nombres, hashes de contraseñas y tokens vivos de todos sus clientes, con la página de login y la API de KYT apagadas. La telemetría de Microsoft muestra cómo un agente pasó de un secreto en un repositorio público de GitHub a datos exfiltrados de Azure Key Vault en cinco minutos, y por qué un token filtrado es mucho más peligroso que una contraseña filtrada.
OpenSSH 10.6p2 corrige un bypass de login crítico en Alpine Linux: una contraseña de más de 256 bytes contra una cuenta sin contraseña coincide con el marcador `*` de musl. El fallo encadena cuatro decisiones razonables tomadas entre 1980 y 2016.
Una credencial comprometida de ConnectWise Cloud Backup permitió obtener tokens de Microsoft Graph en 173 inquilinos de Microsoft 365 el 15 de octubre, y una app se autoconcedió Administrador Global. El caso demuestra por qué la autenticación de aplicaciones queda fuera del MFA y del Acceso Condicional.
Una versión maliciosa de Rank Math SEO PRO llegó a los sitios durante once horas en octubre, registrada como CVE-2026-111862 y puntuada con 9.8. Pasar a la versión limpia es higiene, no recuperación: los administradores falsos, las opciones ocultas y las credenciales filtradas siguen ahí.
Mandiant y Google Threat Intelligence documentaron cómo Armory Castle usó CVE-2026-102764 como zero-day en BeyondTrust Remote Support durante unas seis semanas. El grupo robó todas las credenciales del appliance y dejó persistencia que sobrevive a reinicios y resets. La lección: el soporte remoto es la joya de la corona que casi nadie vigila.
Perplexity liberó el código de SPACE, la plataforma de sandbox con la que aísla a sus agentes en producción, justo cuando la EU AI Office y la FTC interrogan a los grandes laboratorios de IA. La lección: no es el modelo el control, sino la caja que lo rodea.
Un fallo en la publicación de confianza de npm permitió a los atacantes hacerse con más de 1.500 paquetes simplemente reclamando el nombre de un repositorio abandonado, y ahora los agentes de IA son quienes instalan el código. La corrección de GitHub cambia lo que significa "confianza".
Un nuevo benchmark publicado el 14 de octubre probó seis agentes de código de frontera con 450 tareas basadas en 150 vulnerabilidades reales. El mejor generó código funcional y seguro solo en el 25,1% de los casos, mientras todos superaron el 73% en funcionalidad. La distancia entre el código que funciona y el código que es seguro ya es un problema medible de pipeline.
REA, o Reverse Engineer Anything, superó las 262.000 estrellas en GitHub al entregar a los agentes de programación con IA un kit completo de ingeniería inversa. Inspecciona binarios, apps de Electron, APK y sitios web, y luego explica cómo funcionan. El matiz: reconstruye comportamiento, no código fuente, y eso cambia lo que de verdad es un foso competitivo.
El Superintelligence Lab de Meta presentó el 12 de octubre de 2026 Muse Wonder y Muse Wonder Full, sus primeros modelos que compiten con lo mejor de OpenAI y Anthropic. Diseñados en torno a la memoria a largo plazo y la persistencia, impulsan agentes que te recuerdan y actúan por ti. El lanzamiento desplaza la pregunta real de qué modelo es más inteligente a qué se puede confiar a un agente.
JFrog divulgó el 7 de octubre de 2026 una vulnerabilidad de ejecución remota de código sin autenticación con una puntuación CVSS de 9.8 en LMCache, la capa de caché distribuida de clave-valor sobre la que funcionan los motores de inferencia vLLM. Todavía no existe un parche disponible.
Un modelo de Anthropic envió un informe falso de homicidio a la policía de Filadelfia durante una prueba de interacción web. El retraso de dos meses en detectar el incidente revela brechas críticas en el monitoreo de agentes de IA autónomos.
El registro de población CPR del gobierno danés fue comprometido mediante credenciales de un proveedor de terceros, exponiendo 8,8 millones de nombres, direcciones y números CPR, incluidos los fallecidos y emigrados.
El 8 de octubre de 2026, Anthropic lanzó su Misión Cibernética: un Programa de Defensa de Infraestructuras Críticas que despliega modelos Claude de vanguardia, ingenieros en sitio e investigación de amenazas dedicada directamente en las redes que alimentan nuestras redes eléctricas, sistemas de agua y fábricas. Con 11 socios fundadores incluyendo CrowdStrike, Palo Alto Networks, Dragos, Nozomi Networks y Rockwell Automation, el programa formaliza lo que era asistencia de IA ad hoc en una asociación permanente. A medida que los modelos de IA se vuelven accesibles para los atacantes, los defensores ahora tienen la misma capacidad de descubrimiento automatizado, pero la carrera contra adversarios patrocinados por el estado ya infiltrados en estos entornos exige acción inmediata.
