INVESTIGACIÓN
Octubre de 2024: agentes LLM a prueba, nube cifrada frágil, datos de DDoS discordantes
Octubre de 2024 trae los primeros benchmarks amplios sobre la seguridad de los agentes LLM: los ataques suelen tener éxito y las defensas aguantan poco. En criptografía aplicada, cuatro de cinco servicios de nube cifrada muestran fallos graves y los compiladores anulan las protecciones constant-time. Un estudio compara datos de industria y academia sobre DDoS y halla visiones divergentes.
Archivo: reconstrucción escrita en noviembre de 2026
1. Agent Security Bench (ASB): Formalizing and Benchmarking Attacks and Defenses in LLM-based Agents
arXiv · Hanrong Zhang, Jingyuan Huang, Kai Mei, Yifei Yao et al. · Seguridad de IA y LLM
En breve: Un benchmark amplio muestra que los agentes LLM caen ante muchos ataques y que las defensas actuales sirven de poco.
Agent Security Bench abarca 10 escenarios, entre ellos finanzas y comercio electrónico, más de 400 herramientas y 27 métodos de ataque y defensa, probados en 13 modelos. Prompt injection, envenenamiento de memoria y una nueva puerta trasera en la planificación afectan a cada fase del agente. La tasa media de éxito más alta llega al 84,3% y las 11 defensas probadas son poco eficaces.
Por qué importa. Ofrece una medida común del riesgo de los agentes, útil para evaluar a quien les da herramientas, datos y memoria.
Leer el artículo · PDF · Código
2. Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems
arXiv · Donghyun Lee, Mo Tiwari · Seguridad de IA y LLM
En breve: En los sistemas multiagente un prompt malicioso se replica de un agente a otro, como un virus.
Hasta ahora se estudiaban LLM aislados. Prompt Infection muestra una inyección entre LLM: el prompt malicioso se autorreplica entre agentes conectados y se propaga en silencio, con robo de datos, estafas, desinformación y caídas. Los sistemas probados están muy expuestos aunque los agentes no compartan todas sus comunicaciones. La defensa LLM Tagging reduce mucho la propagación.
Por qué importa. Un solo contenido malicioso puede extenderse por toda la automatización de una empresa: un riesgo sistémico, no puntual.
3. SecAlign: Defending Against Prompt Injection with Preference Optimization
ACM Conference on Computer and Communications Security · Sizhe Chen, Arman Serikuly Zharmagambetov, Saeed Mahloujifar, Kamalika Chaudhuri et al. · Seguridad de IA y LLM
En breve: Entrenar al modelo para preferir la respuesta segura reduce el éxito de la prompt injection por debajo del 10%.
SecAlign crea un conjunto de datos con entradas inyectadas, respuestas seguras que siguen la instrucción legítima y respuestas inseguras que siguen la inyectada, y aplica optimización de preferencias. Es el primer método conocido que deja varias prompt injection por debajo del 10% de éxito, incluso ante ataques más sofisticados que los del entrenamiento, con una utilidad similar.
Por qué importa. Muestra que la resistencia a la prompt injection puede mejorarse en el propio modelo: un punto que preguntar a los proveedores.
Leer el artículo · PDF · Código
4. End-to-End Encrypted Cloud Storage in the Wild: A Broken Ecosystem
ACM Conference on Computer and Communications Security · Jonas Hofmann, Kien Tuong Truong
En breve: Cuatro de cinco servicios de nube con cifrado de extremo a extremo tienen fallos criptográficos graves.
Los autores analizan Sync, pCloud, Icedrive, Seafile y Tresorit, con más de 22 millones de usuarios en total, suponiendo un servidor malicioso. Cuatro tienen vulnerabilidades graves: el servidor puede insertar archivos en el almacenamiento cifrado, alterar sus datos y a veces leer el contenido. Muchos ataques afectan igual a varios proveedores, señal de errores de diseño comunes.
Por qué importa. El cifrado de extremo a extremo declarado por un proveedor no es una garantía por sí solo: las promesas comerciales no siempre resisten el análisis.
5. Breaking Bad: How Compilers Break Constant-Time Implementations
arXiv · Moritz Schneider, Daniele Lain, Ivan Puddu, Nicolas Dutly et al. · Hardware y canales laterales
En breve: Las optimizaciones de los compiladores rompen las defensas constant-time incluso en las bibliotecas criptográficas más blindadas.
El código constant-time evita operaciones dependientes de secretos para resistir ataques de tiempo, pero la protección solo vale si sobrevive a la compilación. Con una herramienta nueva analizan dinámicamente 44.604 objetivos en seis arquitecturas, de x86-64 a RISC-V. Hallan operaciones dependientes de secretos introducidas por el compilador en algunas de las bibliotecas más reputadas.
Por qué importa. La seguridad declarada de una biblioteca depende también de cómo se compila: un eslabón a menudo ignorado.
6. The Age of DDoScovery: An Empirical Comparison of Industry and Academic DDoS Assessments
arXiv · Raphael Hiesgen, Marcin Nawrocki, Marinho Pilla Barcellos, Daniel Kopp et al. · Seguridad de red
En breve: Industria y academia ven tendencias distintas en los ataques DDoS: depende de fuentes, puntos de observación y métodos.
Un estudio conjunto analiza 24 informes del sector de 2022 y diez conjuntos de datos industriales y académicos de 2019 a 2023, sobre ataques directos y de reflexión-amplificación. Un método nuevo cruza una lista de objetivos con los datos privados de las empresas y revela los puntos ciegos de las fuentes académicas. Las discrepancias dependen de fuentes, puntos de vista, métodos y parámetros.
Por qué importa. Las estadísticas de DDoS para estimar frecuencia y gravedad no son neutrales: hay que leerlas sabiendo de qué observatorio proceden.
7. Characterizing the MrDeepFakes Sexual Deepfake Marketplace
arXiv · Catherine Han, Anne Li, Deepak Kumar, Zakir Durumeric · Políticas, derecho y sociedad
En breve: Analizado el principal mercado de deepfakes sexuales: normas apenas aplicadas y nuevas tácticas para obtener recursos.
El artículo describe de forma sistemática MrDeepFakes, el mercado más conocido de compraventa de deepfakes sexuales: su economía, las personas atacadas y los debates sobre cómo crearlos, que reflejan el estado del arte. Hallan una aplicación escasa de las normas, como limitarse a famosos, motivaciones no documentadas y tácticas nuevas para obtener recursos de cálculo.
Por qué importa. Para las coberturas reputacionales y de responsabilidad, los deepfakes son un mercado organizado, no un fenómeno marginal.
8. Persistent Pre-Training Poisoning of LLMs
arXiv · Yiming Zhang, Javier Rando, Ivan Evtimov, Jianfeng Chi et al.
En breve: Envenenar el 0,1% de los datos de preentrenamiento basta para dejar efectos que sobreviven al ajuste fino.
Los LLM se entrenan con texto extraído de la web, que un atacante puede envenenar. Preentrenan desde cero modelos de 600 a 7.000 millones de parámetros con cuatro objetivos: denegación de servicio, manipulación de creencias, jailbreak y robo del prompt. Con el 0,1% de datos envenenados, tres de cuatro ataques persisten tras el alineamiento; la denegación de servicio necesita el 0,001%.
Por qué importa. La procedencia de los datos de entrenamiento se convierte en un riesgo para quien integra modelos de terceros en sus procesos.
9. OT-PCA: New Key-Recovery Plaintext-Checking Oracle Based Side-Channel Attacks on HQC with Offline Templates
IACR Transactions on Cryptographic Hardware and Embedded Systems · Haiyue Dong, Qian Guo · Hardware y canales laterales
En breve: Un nuevo ataque de canal lateral contra HQC recupera la clave con muchas menos consultas al dispositivo.
OT-PCA usa el decodificador público de HQC para crear plantillas offline que extraen información de cientos de posiciones secretas con una sola consulta. Las llamadas necesarias bajan 2,4 veces en hqc-128 y más en niveles superiores; con un oráculo preciso al 95% la reducción llega a 7,6. El análisis de consumo en un Cortex-M4 confirma su viabilidad práctica.
Por qué importa. También los esquemas post-cuánticos camino de la estandarización necesitan protección frente a canales laterales antes de desplegarse.
10. Zero day ransomware detection with Pulse: Function classification with Transformer models and assembly language
Computers & Security · Matthew Gaber, Mohiuddin Ahmed, Helge Janicke · Malware y amenazas
En breve: Un modelo Transformer reconoce ransomware nunca visto a partir de su código ensamblador.
Pulse usa las instrucciones ensamblador del ransomware capturadas por Peekaboo, una herramienta que supera la evasión. Siguen la ley de Zipf como el lenguaje natural, algo adecuado para los Transformer. Al eliminar toda función común entre muestras de prueba y entrenamiento, el modelo reconoce el comportamiento malicioso solo por el contexto, con alta precisión.
Por qué importa. Detectar ransomware nuevo antes del cifrado es donde un control reduce de verdad el daño.
Las tendencias del mes
Seguridad de IA y LLM
254 artículos del mes sobre este tema
Con 254 artículos clasificados, la seguridad de la IA es el tema más amplio del mes, casi el doble que en septiembre. Llegan las primeras herramientas de medida comunes, como Agent Security Bench, y los primeros escenarios sistémicos, con prompts que se propagan entre agentes como un virus. Las defensas más prometedoras actúan sobre el entrenamiento, pero el envenenamiento del preentrenamiento muestra que el riesgo puede entrar en el origen.
Artículos citados:
- Agent Security Bench (ASB): Formalizing and Benchmarking Attacks and Defenses in LLM-based Agents
- Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems
- SecAlign: Defending Against Prompt Injection with Preference Optimization
- Persistent Pre-Training Poisoning of LLMs
Criptografía
196 artículos del mes sobre este tema
El hilo común de la criptografía aplicada es la distancia entre promesa y realidad. Servicios de nube cifrada con millones de usuarios no resisten a un servidor malicioso, y las defensas constant-time escritas con cuidado quedan anuladas por el compilador. En ambos casos el algoritmo es sólido, la implementación no. Para quien evalúa un riesgo, una declaración de cifrado dice poco sin verificación independiente.
Artículos citados:
- End-to-End Encrypted Cloud Storage in the Wild: A Broken Ecosystem
- Breaking Bad: How Compilers Break Constant-Time Implementations
Criptografía poscuántica
37 artículos del mes sobre este tema
Tras ML-KEM y ML-DSA, la atención se extiende a HQC, el esquema basado en códigos que el NIST eligió después, en marzo de 2025, como segundo mecanismo de encapsulamiento. Un ataque de canal lateral reduce mucho el trabajo para recuperar su clave en un microcontrolador. La investigación se adelanta así a las implementaciones: quien planifica la migración puede exigir contramedidas desde las primeras versiones.
Artículos citados:
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 1491.