INVESTIGACIÓN
Febrero de 2025: agentes LLM con puertas traseras cifradas, booters que vuelven, Dilithium
Febrero de 2025 está dominado por los agentes LLM: puertas traseras cifradas que eluden las auditorías, una defensa contra la inyección indirecta de prompts, buscadores con IA que citan sitios maliciosos y un agente que compromete una red Active Directory. Fuera de la IA, la incautación de servicios DDoS de pago dura poco y la firma poscuántica Dilithium cede ante un canal lateral.
Archivo: reconstrucción escrita en noviembre de 2026
1. DemonAgent: Dynamically Encrypted Multi-Backdoor Implantation Attack on LLM-based Agent
arXiv · Pengyu Zhu, Zhenhong Zhou, Yuanhe Zhang, Shilinlu Yan et al. · Seguridad de IA y LLM
En breve: Puertas traseras cifradas y fragmentadas en agentes LLM logran casi el 100% de éxito sin ser detectadas.
Las puertas traseras en agentes LLM pueden implantarse mediante consultas de usuarios o la respuesta del entorno, pero las auditorías del razonamiento suelen descubrirlas. DemonAgent cifra dinámicamente la puerta trasera en contenido inocuo y la divide en varios fragmentos. En varios datasets, incluido el nuevo AgentBackdoorEval, el éxito roza el 100% con un 0% de detección.
Por qué importa. Las auditorías del razonamiento no bastan para certificar un agente: quien lo adopta queda expuesto a conductas ocultas difíciles de probar tras un incidente.
Leer el artículo · PDF · Código
2. MELON: Provable Defense Against Indirect Prompt Injection Attacks in AI Agents
arXiv · Kaijie Zhu, Xianjun Yang, Jindong Wang, Wenbo Guo et al. · Seguridad de IA y LLM
En breve: MELON detecta la inyección indirecta de prompts reejecutando el agente con la petición del usuario enmascarada.
En los agentes LLM, instrucciones maliciosas ocultas en los datos que leen las herramientas pueden desviar sus acciones. MELON parte de una observación: si el ataque tiene éxito, la acción siguiente depende más de la tarea maliciosa que de la del usuario. Reejecuta la trayectoria con la petición enmascarada y marca ataque si las acciones coinciden. En AgentDojo supera a las defensas existentes.
Por qué importa. Una defensa sin reentrenamiento que conserva la utilidad es más fácil de adoptar para quien conecta agentes a correo, documentos o pagos.
Leer el artículo · PDF · Código
3. Unsafe LLM-Based Search: Quantitative Analysis and Mitigation of Safety Risks in AI Web Search
USENIX Security Symposium · Zeren Luo, Zifan Peng, Yule Liu, Zhen Sun et al. · Seguridad de IA y LLM
En breve: Siete buscadores con LLM en producción citan a menudo sitios maliciosos incluso con consultas inocuas.
Primera medición del riesgo en siete buscadores con IA en producción, con datos de PhishTank, ThreatBook y LevelBlue. Las respuestas incluyen a menudo URL maliciosas incluso con palabras clave inocuas, y consultar directamente una URL aumenta el riesgo. Dos casos reales muestran que se engañan fácilmente. Una defensa con agentes reduce el riesgo con un 10,7% menos de información.
Por qué importa. Las respuestas de los buscadores con IA parecen verificadas y bajan la guardia: son un nuevo canal de entrega para phishing y estafas.
4. Riddle Me This! Stealthy Membership Inference for Retrieval-Augmented Generation
ACM Conference on Computer and Communications Security · Ali Naseh, Yuefeng Peng, Anshuman Suri, Harsh Chaudhari et al. · Seguridad de IA y LLM
En breve: Treinta preguntas naturales revelan si un documento está en la base de un sistema RAG, sin ser detectadas.
Los sistemas RAG no modifican los pesos del modelo, pero los documentos recuperados entran en el contexto y pueden filtrarse. El Interrogation Attack formula preguntas naturales que solo pueden responderse si el documento objetivo está presente: bastan 30 consultas, por menos de 0,02 dólares por documento. Detectores simples descubren los ataques anteriores hasta unas 76 veces más.
Por qué importa. Saber que un documento está en la base de un asistente corporativo ya puede ser una fuga de información confidencial, con un coste de ataque mínimo.
5. Can LLMs Hack Enterprise Networks? Autonomous Assumed Breach Penetration-Testing Active Directory Networks
arXiv · Andreas Happe, Jürgen Cito · Identidad y autenticación
En breve: Un sistema autónomo basado en LLM compromete cuentas en una red Active Directory de prueba.
El pentesting empresarial es caro y está limitado por la escasez de expertos. Un prototipo usa LLM para simular de forma autónoma un Assumed Breach y compromete cuentas en el banco de pruebas Active Directory GOAD. Con cinco modelos, el sistema adapta estrategias, analiza apps web y datos no estructurados, genera contraseñas plausibles y se autocorrige, a menor coste que un profesional.
Por qué importa. Baja el coste de un ataque interno a una red Windows: el escenario de compromiso de Active Directory debe revisarse en frecuencia, no solo en gravedad.
6. Assessing the Aftermath: the Effects of a Global Takedown against DDoS-for-hire Services
USENIX Security Symposium · Anh V. Vu, Ben Collier, Daniel R. Thomas, John Kristoff et al. · Seguridad de red
En breve: La incautación global de servicios DDoS de pago reduce los ataques, pero los sitios vuelven en uno o dos días.
Desde diciembre de 2022, policías de varios países atacan los servicios DDoS de pago con dos oleadas de incautaciones y dominios engañosos. Más de la mitad de los sitios de la primera oleada vuelve en una mediana de un día y todos los de la segunda en dos, pero con un 80-90% menos de visitas. La primera oleada reduce el volumen global de ataques un 20-40%; la segunda, apenas.
Por qué importa. Las operaciones policiales reducen el riesgo DDoS solo por poco tiempo: la frecuencia esperada no debe rebajarse de forma duradera tras una incautación.
7. MANTIS: Detection of Zero-Day Malicious Domains Leveraging Low Reputed Hosting Infrastructure
IEEE Symposium on Security and Privacy · Fatih Deniz, Mohamed Nabeel, Ting Yu, Issa M. Khalil
En breve: MANTIS detecta dominios maliciosos recién registrados observando la infraestructura de hosting reutilizada.
Los atacantes usan dominios desechables, a menudo inactivos cuando se detectan o protegidos con cloaking y captcha. Como reutilizan la misma infraestructura de hosting, MANTIS construye un grafo de red que la vincula y reconoce nuevos dominios maliciosos sin analizar su contenido. Logra una precisión del 99,7% y un recall del 86,9%, con un 0,1% de falsos positivos.
Por qué importa. Bloquear dominios en sus primeras horas reduce la exposición a phishing y malware justo cuando las listas tradicionales siguen vacías.
8. URL Inspection Tasks: Helping Users Detect Phishing Links in Emails
USENIX Security Symposium · Daniele Lain, Yoshimichi Nakatsuka, Kari Kostiainen, Gene Tsudik et al. · Factor humano
En breve: Pequeñas pruebas sobre la URL antes de abrir un enlace reducen el éxito del phishing por correo.
El phishing triunfa sobre todo por falta de atención, más que de formación. El estudio propone tareas breves, inspiradas en los CAPTCHA, antes de abrir un enlace: elegir la URL correcta de una lista, resaltar el dominio o reescribirlo. En un estudio en línea con 2.673 participantes de tres culturas y alfabetos, las tareas reducen de forma significativa el phishing logrado.
Por qué importa. Frenar al usuario en el momento del clic funciona mejor que más formación: es un control concreto a valorar entre las medidas contra el fraude por correo.
9. Rejected Signatures' Challenges Pose New Challenges: Key Recovery of CRYSTALS-Dilithium via Side-Channel Attacks
IACR Transactions on Cryptographic Hardware and Embedded Systems · Yuanyuan Zhou, Weijia Wang, Yiteng Sun, Yu Yu · Criptografía poscuántica
En breve: Las firmas rechazadas de Dilithium revelan la clave privada en segundos o minutos mediante un canal lateral.
En las firmas sobre retículos como ML-DSA/Dilithium, el muestreo con rechazo hace las firmas independientes del secreto. Los autores convierten la fuga de las firmas rechazadas en un problema de programación lineal entera y recuperan la clave privada en los tres niveles de seguridad, en segundos o minutos y con un 100% de éxito. La información necesaria se extrae de una sola traza.
Por qué importa. La migración a la criptografía poscuántica traslada el riesgo a la implementación: dispositivos y módulos de firma deben verificarse también frente a canales laterales.
10. Chronus: Understanding and Securing the Cutting-Edge Industry Solutions to DRAM Read Disturbance
arXiv · Oğuzhan Canpolat, A. Giray Yağlıkçı, Geraldo F. Oliveira, Ataberk Olgun et al. · Hardware y canales laterales
En breve: La protección contra RowHammer integrada en las nuevas DRAM tiene costes y puntos débiles; Chronus los reduce.
El primer análisis riguroso de PRAC, la defensa contra el read disturbance integrada en los chips DRAM más recientes, mide su seguridad, rendimiento, energía y coste. PRAC ralentiza los accesos y, para resistir el wave attack, debe configurarse con umbrales muy bajos, con costes prohibitivos en chips futuros. Chronus actualiza los contadores en paralelo y regula los refrescos, con coste casi nulo.
Por qué importa. RowHammer sigue siendo un riesgo de plataforma compartido entre clientes cloud: las defensas de hardware deben evaluarse por su eficacia real, no por figurar en la ficha.
Leer el artículo · PDF · Código
Las tendencias del mes
Seguridad de IA y LLM
276 artículos del mes sobre este tema
Con 276 de 1.465 artículos del mes, la seguridad de la IA se centra en los agentes y en los sistemas que leen fuentes externas. Las puertas traseras se ocultan a las auditorías, las instrucciones maliciosas llegan por los datos que leen las herramientas, los buscadores con IA citan sitios maliciosos y las bases de los RAG revelan lo que contienen. Las defensas existen, pero van por detrás.
Artículos citados:
- DemonAgent: Dynamically Encrypted Multi-Backdoor Implantation Attack on LLM-based Agent
- MELON: Provable Defense Against Indirect Prompt Injection Attacks in AI Agents
- Unsafe LLM-Based Search: Quantitative Analysis and Mitigation of Safety Risks in AI Web Search
- Riddle Me This! Stealthy Membership Inference for Retrieval-Augmented Generation
Seguridad de red
36 artículos del mes sobre este tema
Dos trabajos miran la infraestructura de los atacantes. La incautación de servicios DDoS de pago reduce los ataques solo por poco, porque los sitios vuelven en uno o dos días, mientras que la reutilización del mismo hosting permite bloquear dominios maliciosos recién nacidos. En ambos casos importa más la rapidez de reacción que un golpe aislado.
Artículos citados:
- Assessing the Aftermath: the Effects of a Global Takedown against DDoS-for-hire Services
- MANTIS: Detection of Zero-Day Malicious Domains Leveraging Low Reputed Hosting Infrastructure
Criptografía poscuántica
41 artículos del mes sobre este tema
Mientras ML-DSA entra en los estándares, la investigación pasa del algoritmo a la implementación. Las firmas rechazadas de Dilithium, hasta ahora consideradas inocuas, bastan para reconstruir la clave privada con una sola traza de canal lateral: cumplir el estándar no garantiza por sí solo la seguridad del dispositivo.
Artículos citados:
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 1465.