INVESTIGACIÓN
Septiembre de 2024: agentes web manipulables, vishing automático, post-cuántico atacado
Septiembre de 2024 marca el paso de la seguridad de la IA de los modelos a los agentes: páginas web que roban datos personales a los agentes y una defensa basada en el control de flujos. La ingeniería social se automatiza con llamadas guiadas por un LLM, y un estudio de campo relativiza la formación antiphishing. En post-cuántico, ataques por inyección de fallos golpean ML-KEM y ML-DSA.
Archivo: reconstrucción escrita en noviembre de 2026
1. EIA: Environmental Injection Attack on Generalist Web Agents for Privacy Leakage
arXiv · Zeyi Liao, Lingbo Mo, Chejian Xu, Mintong Kang et al. · Seguridad de IA y LLM
En breve: Contenido oculto en un sitio engaña a los agentes web y sustrae los datos personales de los usuarios.
El artículo estudia los riesgos de privacidad de los agentes web generalistas en sitios comprometidos. El ataque EIA inserta en la página contenido adaptado al entorno en que opera el agente. En 177 pasos reales con datos personales, roba datos concretos hasta el 70% de las veces y la petición completa del usuario en el 16%. Es difícil de detectar y un prompt de sistema defensivo no basta.
Por qué importa. Un agente que reserva o rellena formularios por el usuario se convierte en un canal de fuga de datos: basta con que visite una página manipulada.
2. System-Level Defense against Indirect Prompt Injection Attacks: An Information Flow Control Perspective
arXiv · Fangzhou Wu, Ethan Cecchetti, Chaowei Xiao · Métodos formales
En breve: Una defensa a nivel de sistema contra la prompt injection indirecta, basada en el control de flujos de información.
En los sistemas LLM la salida de cada paso alimenta el siguiente: una entrada maliciosa de cualquier fuente puede secuestrar la ejecución. El sistema "f-secure" genera planes estructurados y ejecutables y un monitor mantiene la entrada no fiable fuera de la planificación. Modelos formales y benchmarks muestran una protección robusta sin perder funcionalidad. El código es público.
Por qué importa. Traslada la defensa del filtrado de prompts a la arquitectura: es el tipo de control que conviene buscar en agentes con acceso a datos o pagos.
Leer el artículo · PDF · Código
3. The Early Bird Catches the Leak: Unveiling Timing Side Channels in LLM Serving Systems
IEEE Transactions on Information Forensics and Security · Linke Song, Zixuan Pang, Wenhao Wang, Zihao Wang et al. · Seguridad de sistemas y software
En breve: Las cachés de los servicios LLM compartidos filtran, por los tiempos de respuesta, los prompts de sistema y los de otros usuarios.
Los autores descubren nuevos canales laterales temporales en servicios LLM multiusuario, debidos a cachés compartidas y a la memoria GPU. Midiendo tiempos y clasificando aciertos en la caché KV y la caché semántica, un atacante deduce prompts privados con alta precisión. Una búsqueda token a token reconstruye prefijos compartidos. Pruebas black-box en servicios populares confirman el riesgo.
Por qué importa. Las optimizaciones de rendimiento de los proveedores de LLM se convierten en un riesgo de confidencialidad para los clientes que comparten infraestructura.
4. Models Are Codes: Towards Measuring Malicious Code Poisoning Attacks on Pre-trained Model Hubs
arXiv · Jian Zhao, Shenao Wang, Yanjie Zhao, Xinyi Hou et al. · Cadena de suministro de software
En breve: Primer estudio sistemático del código malicioso oculto en modelos y conjuntos de datos de Hugging Face.
Los modelos preentrenados también son código: algunos formatos lo ejecutan al cargarse. El artículo clasifica los formatos vulnerables y propone MalHug, que combina deserialización, análisis de flujo de datos y patrones heurísticos. En tres meses en un espejo interno de una gran fintech revisó más de 705.000 modelos y 176.000 conjuntos de datos y halló 91 modelos y 9 scripts de carga maliciosos.
Por qué importa. Descargar un modelo de un hub público equivale a ejecutar código de terceros: un nuevo eslabón de la cadena de suministro de software.
5. DarkGram: A Large-Scale Analysis of Cybercriminal Activity Channels on Telegram
USENIX Security Symposium · Sayak Saha Roy, Elham Pourabbas Vafa, Kobra Khanmohammadi, Shirin Nilizadeh · Seguridad de sistemas y software
En breve: 339 canales de Telegram del cibercrimen, seguidos por 23,8 millones de usuarios, analizados a gran escala.
DarkGram, un clasificador basado en BERT con un 96% de precisión, analiza 53.605 publicaciones de febrero a mayo de 2024. Circulan credenciales comprometidas, malware, kits de exploits y estafas, a menudo gratis para atraer clientes de pago. Los canales atacan también a sus suscriptores: el 28,1% de los enlaces es phishing y el 38% de los ejecutables lleva malware. Tras los cierres migran rápido.
Por qué importa. Muestra lo fácil y rentable que es el mercado de credenciales y herramientas de ataque, y lo poco que logran los cierres de canales.
6. On the Feasibility of Fully AI-automated Vishing Attacks
arXiv · João Figueiredo, Afonso Carvalho, Daniel Castro, Daniel Gonçalves et al. · Seguridad de sistemas y software
En breve: Un sistema de vishing totalmente automático, guiado por un LLM, convence a muchas personas de revelar datos sensibles.
ViKing combina un LLM con síntesis y reconocimiento de voz, todo con tecnología pública, para realizar llamadas fraudulentas. En un experimento controlado con 240 participantes convenció a muchos de revelar información sensible, incluso a quienes habían sido advertidos del riesgo. Las conversaciones se consideraron en general realistas.
Por qué importa. El coste de una campaña de fraude telefónico se desploma: más intentos de robo de credenciales y fraude en pagos con los mismos atacantes.
7. Content, Nudges and Incentives: A Study on the Effectiveness and Perception of Embedded Phishing Training
ACM Conference on Computer and Communications Security · Daniele Lain, Tarek Jost, Siniša Matetić, Kari Kostiainen et al.
En breve: La formación antiphishing integrada funciona como recordatorio, no por sus contenidos, que casi nadie lee.
Un estudio a gran escala sobre los empleados de una empresa colaboradora descompone la formación que recibe quien cae en una simulación de phishing. El efecto procede del recordatorio periódico de la amenaza, no del material, poco consultado por falta de tiempo y utilidad percibida. Aplazar la formación es tan eficaz como la práctica actual y los premios no mejoran los resultados.
Por qué importa. Valorar la mera existencia de un programa de formación dice poco: cuentan la frecuencia de las simulaciones y los resultados medidos.
8. Mind the Faulty Keccak: A Practical Fault Injection Attack Scheme Apply to All Phases of ML-KEM and ML-DSA
IACR Cryptology ePrint Archive · Yuxuan Wang, Jintong Yu, Shipei Qu, Xiaolin Zhang et al. · Criptografía poscuántica
En breve: Fallos inducidos en Keccak permiten recuperar claves y falsificar firmas en ML-KEM y ML-DSA.
Keccak es el hash que ML-KEM y ML-DSA usan para derivar información sensible. Interrumpiendo sus bucles mediante inyección de fallos, los autores construyen seis ataques a ML-KEM y cinco a ML-DSA: recuperación de clave, falsificación de firmas y elusión de la verificación, en todas las fases. En Cortex-M0+, M3, M4 y M33, con equipo barato, el fallo se logra en el 89,5% de los casos.
Por qué importa. La migración post-cuántica en dispositivos embebidos exige contramedidas físicas, no solo adoptar los estándares del NIST.
9. The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach
arXiv · Giacomo Benedetti, Serena Cofano, Alessandro Brighente, Mauro Conti · Cadena de suministro de software
En breve: Los SBOM de las herramientas actuales suelen ser incompletos y dejan pasar vulnerabilidades conocidas en proyectos Python.
El SBOM, la lista de componentes de un software, debería dar transparencia a la cadena de suministro. El artículo analiza por primera vez cómo los errores de los generadores de SBOM impiden a las herramientas posteriores encontrar vulnerabilidades. Las causas están sobre todo en la identificación de componentes y dependencias; la propuesta, PIP-sbom, es más precisa que las mejores herramientas.
Por qué importa. Un SBOM no es una garantía por sí mismo: su calidad decide si las vulnerabilidades de los componentes se ven de verdad.
10. You Might Have Known It Earlier: Analyzing the Role of Underground Forums in Threat Intelligence
Research in Attacks, Intrusions and Defenses · Tommaso Paladini, Lara Ferro, Mario Polino, Stefano Zanero et al. · Malware y amenazas
En breve: En veinte años los foros underground anticiparon los informes de seguridad en más del 60% de las amenazas, pero la ventaja se reduce.
Los autores analizan 88 millones de mensajes de foros de hackers y 75.000 artículos en veinte años, comparando las fechas de las entidades extraídas. Las discusiones en los foros preceden a los informes oficiales en más del 60% de las entidades. Desde 2012, sin embargo, la ventaja disminuye, quizá por más vigilancia o el paso a otros canales, aunque en los foros sigue circulando malware nuevo.
Por qué importa. La inteligencia de amenazas debe seguir a los actores allí donde se trasladan, por ejemplo a los canales de mensajería, para avisar a tiempo.
Las tendencias del mes
Seguridad de IA y LLM
134 artículos del mes sobre este tema
La seguridad de la IA es ya uno de los temas más frecuentes del mes. El centro de gravedad pasa de los modelos aislados a los sistemas que los rodean: agentes web que actúan en sitios, pipelines que encadenan pasos, infraestructuras compartidas entre clientes. Los ataques explotan el entorno, es decir, páginas manipuladas y cachés comunes, más que el modelo. Para quien asegura, la pregunta útil es cómo usa una empresa los agentes y con qué permisos, no solo qué modelo adopta.
Artículos citados:
- EIA: Environmental Injection Attack on Generalist Web Agents for Privacy Leakage
- System-Level Defense against Indirect Prompt Injection Attacks: An Information Flow Control Perspective
- The Early Bird Catches the Leak: Unveiling Timing Side Channels in LLM Serving Systems
Factor humano
27 artículos del mes sobre este tema
Dos trabajos miran el factor humano desde lados opuestos. En el ataque, llamadas fraudulentas guiadas por un LLM convencen incluso a personas advertidas del riesgo. En la defensa, la formación antiphishing integrada funciona como recordatorio periódico más que como enseñanza. Juntos indican que la ingeniería social se abarata y escala, mientras los controles basados en la concienciación tienen límites medibles. Siguen siendo decisivos los controles de proceso, como la doble verificación de pagos.
Artículos citados:
- On the Feasibility of Fully AI-automated Vishing Attacks
- Content, Nudges and Incentives: A Study on the Effectiveness and Perception of Embedded Phishing Training
Criptografía poscuántica
27 artículos del mes sobre este tema
En agosto de 2024 el NIST publicó los estándares ML-KEM y ML-DSA, y en septiembre la investigación ya se centra en sus implementaciones. Los ataques por inyección de fallos en Keccak, el hash que usan ambos esquemas, muestran que en microcontroladores baratos se pueden recuperar claves y falsificar firmas. La lección para la migración es que elegir el algoritmo es solo el primer paso: la protección física de los dispositivos pesa tanto como el estándar.
Artículos citados:
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 1213.