Seguridad on Antonio Cortés (DrZippie)

Sólo 2 de 25 gestores de paquetes comprueban siempre que el código no ha sido manipulado

Thu, 15 Oct 2026 00:00:00 +0000

Cuando pensamos en ataques a la cadena de suministro de software, casi siempre imaginamos lo mismo: alguien roba la cuenta de quien mantiene un paquete popular y publica una versión con código malicioso. Trail of Bits ha publicado Package managers have an integrity problem, donde Keegan Ryan plantea el siguiente paso: ¿qué pasa si quien queda comprometido es el propio repositorio de paquetes?

La idea es razonable: si se consigue proteger las cuentas de quienes mantienen los paquetes, los atacantes irán a por el siguiente eslabón débil, que son los servidores que distribuyen el código. Para comprobar cuánto aguanta cada ecosistema, han probado 25 de los gestores de paquetes más populares contra un repositorio malicioso que mete código en paquetes legítimos. El resultado no es bueno.

Certificados TLS falsos para Google tras secuestrar tres dominios de país

Thu, 08 Oct 2026 00:00:00 +0000

Google ha contado en su blog que unos atacantes han conseguido certificados HTTPS válidos para varios dominios de Google y de “varias marcas globales y servicios muy usados”. Lo más llamativo es que no ha fallado ninguna autoridad de certificación ni se ha comprometido ningún sistema de Google: los atacantes secuestraron los registros de tres dominios de país, .gh (Ghana), .sl (Sierra Leona) y .as (Samoa Americana), y desde ahí todo lo demás vino solo.

Git 3.0 y el cambio a SHA-256: ¿hace falta migrar todo el ecosistema?

Fri, 02 Oct 2026 00:00:00 +0000

Git 3.0 traerá varios cambios incompatibles, y uno de ellos va a afectar a casi todo el mundo aunque se hable poco de él: los repositorios nuevos usarán SHA-256 en lugar de SHA-1 para identificar commits, árboles y ficheros. Scott Chacon, cofundador de GitHub y GitButler y autor de Pro Git, ha publicado un artículo largo y muy crítico en el que dice que será un cambio carísimo para casi ningún beneficio.

Netlify cambia los isolates de V8 por microVMs en sus Edge Functions

Thu, 01 Oct 2026 00:00:00 +0000

Este blog está alojado en Netlify desde 2019, aunque sólo como HTML estático: Hugo genera las páginas y Netlify las sirve, sin funciones ni nada que se ejecute en el servidor. Aun así, el último artículo de su blog, 5x faster Edge Functions: V8 isolates to Firecracker MicroVMs, cuenta un cambio que me parece importante y que va un poco a contracorriente: han dejado de ejecutar sus Edge Functions en isolates de V8 y ahora cada función corre en su propia microVM Firecracker.

OpenAI se detiene: la pausa en el entrenamiento y la demanda de Florida

Tue, 29 Sep 2026 00:00:00 +0000

La semana pasada escribí dos artículos seguidos sobre los agentes de OpenAI: primero sobre el agente que no aceptaba un no por respuesta en un portal del gobierno australiano, y al día siguiente sobre el enjambre que nadie vigilaba, con todo lo que se había sabido de Hugging Face y de las decenas de instituciones afectadas.

Terminaba ese segundo artículo diciendo que el estándar mínimo era sencillo: cuando tus agentes se escapan, lo cuentas tú, pronto y completo. Esta vez OpenAI ha ido un paso más allá. Según cuenta Ars Technica, ha pausado el entrenamiento interno de sus modelos más capaces.

El enjambre que nadie vigilaba: lo que ya sabemos de los agentes de OpenAI

Sat, 26 Sep 2026 00:00:00 +0000

Ayer escribí sobre el agente de OpenAI que no aceptaba un no por respuesta y se coló en un portal del gobierno australiano. Terminaba diciendo que el daño parecía pequeño y que lo preocupante era la gestión.

Veinticuatro horas después, la historia es bastante más grande. Han salido dos cosas a la vez: OpenAI ha reconocido que no fue un caso aislado, y un grupo de investigadores independientes ha publicado la reconstrucción más detallada hasta la fecha del ataque de sus agentes a Hugging Face. Juntas cuentan una historia que merece una segunda parte.

Cifrado a dos velocidades: Apple, el Reino Unido y la puerta trasera que nadie puede confirmar

Fri, 25 Sep 2026 00:00:00 +0000

Esta mañana me encontré con un artículo de Macanorak que empieza con un ejemplo muy sencillo y que me ha tenido un buen rato dándole vueltas.

Alice y Bill viven en el Reino Unido. Tienen el mismo iPhone, usan iCloud y pagan a Apple exactamente lo mismo. Alice tiene activada la Protección de datos avanzada (Advanced Data Protection, ADP), así que la mayor parte de su iCloud está cifrado de extremo a extremo. Bill no la tiene, y no puede activarla.

El agente que no aceptaba un no por respuesta

Fri, 25 Sep 2026 00:00:00 +0000

El primer ministro australiano, Anthony Albanese, ha contado esta semana en Nueva York que su gobierno está investigando un incidente de junio: un agente de OpenAI accedió a ficheros no públicos del portal de estadísticas de Medicare, y posiblemente a otros tres portales de datos sanitarios federales y estatales.

No lo hizo ningún grupo de hackers ni un gobierno extranjero. Fue un agente interno de OpenAI, durante una evaluación, al que le habían pedido algo tan inocente como investigar en internet el gasto público en medicamentos.

La letra pequeña sí tenía dientes: lo que trae la EU Kids Act y el problema que sigue sin resolver

Thu, 17 Sep 2026 00:00:00 +0000

Ayer cerré el artículo sobre el anuncio de von der Leyen con una frase que era medio pregunta medio apuesta:

“La parte que de verdad me interesa de la EU Kids Act no es la edad. Es si la obligación de safe design para el tramo 15-18 acaba teniendo dientes o se queda en una declaración de principios.”

Hoy la Comisión ha presentado el texto en Estrasburgo, von der Leyen acompañada de Henna Virkkunen. Ya hay letra pequeña.

La UE pone edad mínima a las redes: lo que la EU Kids Act arregla y lo que deja igual

Wed, 16 Sep 2026 00:00:00 +0000

Ayer publiqué un artículo sobre IA, menores y verificación de edad a raíz del informe de Common Sense Media sobre Perplexity. La tesis era que la casilla de la edad es un fallo doble: falseable hacia fuera e inútil hacia dentro, porque los productos recogen el dato y no lo usan para cambiar nada.

Hoy, Ursula von der Leyen ha anunciado en su discurso del Estado de la Unión en Estrasburgo una propuesta que va justo a por ese problema. El timing es tan bueno que casi da pudor.

La edad que nadie comprueba: IA, menores y una casilla que no protege a nadie

Tue, 15 Sep 2026 00:00:00 +0000

Common Sense Media publicó hoy su evaluación de riesgo de Perplexity, y el veredicto es el más duro de su escala: riesgo inaceptable. Alto o inaceptable en los ocho principios que evalúan, y fallo en cuatro de las cinco “líneas rojas” de daño grave que probaron.

Podría escribir el artículo sobre Perplexity. Sería fácil, porque el informe completo tiene munición de sobra: 1.200 búsquedas, una auditoría de más de 1.000 citas, capturas de pantalla incómodas. Pero creo que sería el artículo equivocado.

151 millones de conversaciones: cuando copiar un modelo es más barato que entrenarlo

Fri, 11 Sep 2026 00:00:00 +0000

Anthropic publicó ayer su informe de inteligencia de amenazas de septiembre, que recoge lo que detectó y cortó entre diciembre de 2025 y agosto de 2026. Son siete áreas —ciberoperaciones, influencia, vigilancia, fraude, armas biológicas, armas convencionales y destilación— y da para varios artículos.

Pero hay una sección que se lleva los titulares con razón, y es la última: laboratorios chinos usando Claude, a escala industrial, para entrenar sus propios modelos.

Analizando el aislamiento de filesystems en contenedores para cargas multi-tenant

Fri, 13 Feb 2026 00:00:00 +0000

Recientemente me encontré con un análisis técnico excepcionalmente denso sobre seguridad de contenedores que merece la pena ser compartido. El autor empezó con una hipótesis simple: el aislamiento de filesystems de los contenedores debería ser suficiente para cargas de trabajo multi-tenant sin necesidad de máquinas virtuales, si se entiende suficientemente bien qué está pasando a nivel de syscall.

Después de una investigación exhaustiva, la conclusión es más incómoda de lo que esperaba: los valores por defecto te protegen bien, pero en el momento que empiezas a usar características “avanzadas” como la propagación de montajes bidireccional o el reetiquetado de SELinux, estás a un paso de entregarle las llaves de tu host a un atacante.

Vercel Sandbox: ¿Ejecutar código PHP, Node y Go de forma segura?

Mon, 02 Feb 2026 00:00:00 +0000

Vercel ha anunciado la disponibilidad general de Vercel Sandbox, una capa de ejecución diseñada específicamente para agentes de IA. Pero más allá del hype de los agentes, hay una pregunta interesante: ¿puede servirnos para ejecutar código de forma segura en diferentes lenguajes como PHP, Node o Go?

¿Qué es Vercel Sandbox?

Vercel Sandbox proporciona microVMs Linux bajo demanda. Cada sandbox está aislado, con su propio sistema de archivos, red y espacio de procesos. Obtienes acceso sudo, gestores de paquetes y la capacidad de ejecutar los mismos comandos que ejecutarías en una máquina Linux.

Cloudflare vuelve a innovar: autenticación criptográfica para bots (el fin de los user-agents falsos)

Wed, 02 Jul 2025 00:00:00 +0000

El problema que todos conocemos (pero fingimos que no existe)

Como persona que gestiona infraestructuras web desde hace décadas, he visto demasiados bots fingiendo ser lo que no son. User-Agent: “Mozilla/5.0 (Windows NT 10.0; Win64; x64)” cuando en realidad es un scraper chino aspirando tu contenido a las 3 de la mañana.

Los métodos tradicionales para identificar bots legítimos han sido, seamos honestos, patéticos:

Rangos de IP: Que cambian, se comparten, o se spoofean
Headers User-Agent: Que cualquiera puede falsificar en una línea de código
Reverse DNS: Que funciona hasta que no funciona

Hoy Cloudflare anunció que está integrando HTTP Message Signatures directamente en su programa Verified Bots. Y después de leer los detalles técnicos, tengo que admitir algo: esto puede cambiar las reglas del juego definitivamente.

¿ Quién se la cuela a quién ?

Mon, 04 Jan 2010 00:00:00 +0000

En la web de El Mundo, tenemos un artículo con un titular que dice: “Mr. Bean ‘se cuela’ en la web oficial de la presidencia española“.

Este artículo, sin duda, es un ejemplo de la falta de rigor, y amarillismo “tecnológico” que nos inunda.

Ver las 10 IPs con más acceso

Fri, 15 May 2009 00:00:00 +0000

Una “receta” para tener a mano:

cat fichero.log  |
 \ awk '{print $1}' |
 \ sort |
 \ uniq -c |
 \ sort -n |
 \ tail -10

Que hacer ante un desastre

Mon, 23 Mar 2009 00:00:00 +0000

Siempre he dicho: ” hay dos tipos de personas: Los que han perdido datos y los que aún no“. Ante este panorama tratamos de hacer todo lo que está en nuestra mano para salvaguardar toda la información que tenemos en los ordenadores de la forma más segura.