INVESTIGACIÓN
Enero de 2025: plugins de LLM troyanizados, LiDAR engañado en marcha, IoT atacado vía Tor
Supply chainOT and industrial security
Enero de 2025 trae las actas de NDSS. Los adaptadores de modelos abiertos pueden ocultar troyanos y la caché compartida de los servidores LLM filtra los prompts de otros usuarios. El LiDAR de un coche autónomo se engaña a 60 km/h desde 110 metros, los atacantes usan Tor contra dispositivos IoT sin nube y el CSS basta para identificar navegadores y correo.
Archivo: reconstrucción escrita en noviembre de 2026
1. The Philosopher's Stone: Trojaning Plugins of Large Language Models
Network and Distributed System Security Symposium · Tian Dong, Minhui Xue, Guoxing Chen, Rayne Holland et al. · Seguridad de IA y LLM
En breve: Un adaptador LoRA infectado hace que un LLM genere contenido elegido por el atacante y use herramientas de forma maliciosa.
Los modelos abiertos se especializan con adaptadores de bajo rango que cualquiera puede descargar. Dos ataques nuevos, POLISHED y FUSION, crean adaptadores troyanos que, ante un disparador, hacen que el LLM genere contenido elegido o use herramientas: un agente comprometido instala malware o lanza spear phishing. La utilidad se mantiene y ninguna de las tres defensas probadas es del todo eficaz.
Por qué importa. Un adaptador descargado de un repositorio público es código de terceros: quien lo integra en un agente con herramientas hereda su comportamiento.
2. I Know What You Asked: Prompt Leakage via KV-Cache Sharing in Multi-Tenant LLM Serving
Network and Distributed System Security Symposium · Guanlong Wu, Zheng Zhang, Jianyu Niu, Weili Wang et al. · Hardware y canales laterales
En breve: Compartir la caché KV en servidores LLM multiusuario permite reconstruir los prompts ajenos.
Frameworks como vLLM y SGLang comparten entre usuarios la caché Key-Value para secuencias de tokens idénticas, ahorrando memoria y cálculo. El primer estudio sobre los riesgos del servicio LLM multiusuario muestra que este mecanismo abre un canal lateral: el ataque PROMPTPEEK reconstruye prompts de otros usuarios en tres escenarios con distinto conocimiento del atacante.
Por qué importa. Una optimización de rendimiento se convierte en una fuga de datos entre clientes del mismo servicio: los entornos multiusuario deben evaluarse como frontera de seguridad.
3. Membership Inference Attacks Against Vision-Language Models
USENIX Security Symposium · Yuke Hu, Zheng Li, Zhihao Liu, Yang Zhang et al. · Seguridad de IA y LLM
En breve: Bastan 5 muestras para saber si unos datos se usaron para entrenar un modelo de visión y lenguaje.
Los datos de instruction tuning de los modelos de visión y lenguaje pueden contener información sensible o no autorizada. El primer estudio de inferencia de pertenencia en estos modelos aprovecha la sensibilidad de las respuestas a la temperatura sobre un conjunto de muestras. Cuatro métodos cubren distintos niveles de conocimiento y logran un AUC superior a 0,8 en LLaVA con 5 muestras.
Por qué importa. La técnica sirve tanto al atacante como al auditor: permite comprobar si datos propios o confidenciales acabaron en el entrenamiento de un modelo.
4. On the Realism of LiDAR Spoofing Attacks against Autonomous Driving Vehicle at High Speed and Long Distance
Network and Distributed System Security Symposium · Takami Sato, Ryō Suzuki, Yuki Hayakawa, Kazuma Ikeda et al. · Sistemas ciberfísicos e IoT
En breve: Primer spoofing de LiDAR contra un vehículo autónomo a 60 km/h, lanzado desde 110 metros.
Los ataques de spoofing al LiDAR solo se habían probado en entornos controlados. El sistema MVS detecta y sigue al vehículo, apunta el láser automáticamente e inyecta pulsos falsos; el nuevo ataque A-HFR elimina objetos incluso frente a LiDAR con huella de pulsos. Es el primer spoofing logrado contra un vehículo a 60 km/h, con el ataque lanzado desde 110 metros.
Por qué importa. El riesgo físico de los sensores de conducción autónoma sale del laboratorio: importa para evaluar flotas y la responsabilidad de los fabricantes.
5. TORCHLIGHT: Shedding LIGHT on Real-World Attacks on Cloudless IoT Devices Concealed within the Tor Network
USENIX Security Symposium · Y. C. Pan, Zhen Ling, Yue Zhang, Hongze Wang et al. · Privacidad
En breve: Doce meses de tráfico Tor revelan 45 fallos explotados en IoT sin nube, 29 de ellos zero-day.
Los dispositivos IoT sin nube están expuestos directamente a internet. Al notar mucho tráfico Tor dirigido a ellos, los autores crean TORCHLIGHT, que filtra el tráfico y usa LLM para identificar amenazas. En 12 meses y 26 TB analizados halla 45 vulnerabilidades, 29 de ellas zero-day con 25 CVE, que afectan a unos 12,7 millones de dispositivos en 148 países.
Por qué importa. La explotación de zero-day en IoT ya está en marcha y oculta tras el anonimato: las estimaciones de exposición basadas solo en CVE conocidas son incompletas.
6. Hidden and Lost Control: on Security Design Risks in IoT User-Facing Matter Controller
Network and Distributed System Security Symposium · Haoqiang Wang, Yiwei Fang, Yichen Liu, Ze Jin et al. · Sistemas ciberfísicos e IoT
En breve: Fallos de diseño en los controladores Matter quitan a los usuarios el control de la casa inteligente.
Matter es el estándar que unifica la casa inteligente. El estudio identifica una nueva clase de fallos de diseño, UMCCI, en las interfaces con que el usuario controla y vigila los dispositivos Matter. Una herramienta automática, apoyada por un LLM para analizar la UI, los detecta sin hardware; ataques de prueba en 11 dispositivos de 8 fabricantes confirman que son prácticos y comunes.
Por qué importa. Un estándar de interoperabilidad replica los errores en muchos fabricantes a la vez: el fallo pasa a ser de cadena, no de un solo dispositivo.
7. CounterSEVeillance: Performance-Counter Attacks on AMD SEV-SNP
Network and Distributed System Security Symposium · Stefan Gast, Hannes Weissteiner, Robin Leander Schröder, Daniel Gruss · Hardware y canales laterales
En breve: Los contadores de rendimiento filtran secretos de las VM confidenciales AMD SEV-SNP, incluso parcheadas.
SEV-SNP promete confidencialidad a las VM incluso en hosts compartidos. CounterSEVeillance muestra que 228 eventos de contadores de rendimiento son visibles para un hipervisor malicioso y los lee instrucción a instrucción, recuperando el resultado de saltos dependientes de secretos. En sistemas parcheados extrae una clave RSA-4096 de una sola firma Mbed TLS en menos de 8 minutos.
Por qué importa. La computación confidencial se vende como protección frente al proveedor cloud: estos canales laterales limitan esa garantía y deben figurar en los contratos.
8. The Skeleton Keys: A Large Scale Analysis of Credential Leakage in Mini-apps
Network and Distributed System Security Symposium · Yizhe Shi, Min Yang, Kangwei Zhong, Guangliang Yang et al. · Identidad y autenticación
En breve: Las credenciales de mini-apps en 21 super-apps pueden filtrarse y abrir pagos y datos sensibles.
Las super-apps delegan en los servidores de las mini-apps servicios sensibles, como pagos y analítica, protegidos por credenciales. El primer estudio sistemático del mecanismo halla 21 plataformas populares con siete tipos de credenciales, expuestas a filtraciones por usuarios maliciosos. La herramienta KeyMagnet evalúa el impacto de las credenciales filtradas en plataformas y servidores.
Por qué importa. En el ecosistema app-in-app, la credencial expuesta de un solo desarrollador puede dar acceso a pagos y datos de muchos usuarios.
9. Cascading Spy Sheets: Exploiting the Complexity of Modern CSS for Email and Browser Fingerprinting
Network and Distributed System Security Symposium · Leon Trampert, Daniel Weber, Lukas Gerlach, Christian Rossow et al. · Web y móvil
En breve: Solo con CSS, sin JavaScript, se distingue el 98% de combinaciones navegador-sistema, también en el correo.
Los navegadores centrados en la privacidad, como Tor, y los clientes de correo desactivan JavaScript para limitar el rastreo. Tres técnicas basadas en container queries, funciones aritméticas y selectores complejos de CSS deducen aplicación, sistema y hardware: distinguen el 97,95% de 1.176 combinaciones y funcionan en 8 de 21 clientes de correo. Se proponen dos defensas.
Por qué importa. El rastreo llega al correo HTML, donde se creía excluido: importa a quien evalúa el riesgo de privacidad de comunicaciones y campañas.
10. Revisiting Concept Drift in Windows Malware Detection: Adaptation to Real Drifted Malware with Minimal Samples
Network and Distributed System Security Symposium · Adrian Shuai Li, Arun Iyengar, Ashish Kundu, Elisa Bertino et al. · Malware y amenazas
En breve: Aprender rasgos estables en el tiempo ayuda a detectar el malware de Windows que evoluciona.
El malware cambia y los clasificadores entrenados fallan con muestras nuevas. Las técnicas de reentrenamiento actuales no bastan cuando hay pocas muestras recientes. El método propuesto usa redes neuronales de grafos y adaptación de dominio adversaria para aprender de los grafos de control rasgos que se mantienen estables, y mejora la detección en benchmarks y en malware real de 2024.
Por qué importa. Un detector que se degrada sin avisar da falsa seguridad: la solidez en el tiempo es un criterio que exigir a los proveedores de defensa.
Las tendencias del mes
Seguridad de IA y LLM
282 artículos del mes sobre este tema
Con 282 artículos, la seguridad de la IA vuelve a ser el tema más amplio, y la atención pasa de la respuesta del modelo a su cadena de suministro y a su servicio. Los adaptadores descargables pueden llevar troyanos, la caché compartida de los servidores revela prompts ajenos y bastan pocas muestras para saber si unos datos se usaron en el entrenamiento.
Artículos citados:
- The Philosopher's Stone: Trojaning Plugins of Large Language Models
- I Know What You Asked: Prompt Leakage via KV-Cache Sharing in Multi-Tenant LLM Serving
- Membership Inference Attacks Against Vision-Language Models
Sistemas ciberfísicos e IoT
83 artículos del mes sobre este tema
Los sistemas físicos y domésticos salen del laboratorio. El spoofing de LiDAR funciona en un vehículo en marcha, los atacantes ya explotan zero-day contra IoT sin nube ocultos tras Tor, y el estándar Matter propaga los mismos fallos de diseño entre fabricantes. Para evaluar el riesgo, la acumulación entre dispositivos iguales pesa más que una sola vulnerabilidad.
Artículos citados:
- On the Realism of LiDAR Spoofing Attacks against Autonomous Driving Vehicle at High Speed and Long Distance
- TORCHLIGHT: Shedding LIGHT on Real-World Attacks on Cloudless IoT Devices Concealed within the Tor Network
- Hidden and Lost Control: on Security Design Risks in IoT User-Facing Matter Controller
Web y móvil
75 artículos del mes sobre este tema
En la web y el móvil, las defensas que se daban por hechas ceden en puntos inesperados. Desactivar JavaScript ya no frena el fingerprinting, que llega al correo solo con CSS, y en las super-apps las credenciales que protegen pagos y datos pueden filtrarse desde las mini-apps.
Artículos citados:
- Cascading Spy Sheets: Exploiting the Complexity of Modern CSS for Email and Browser Fingerprinting
- The Skeleton Keys: A Large Scale Analysis of Credential Leakage in Mini-apps
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 2656.