INVESTIGACIÓN
Abril de 2025: agentes secuestrados vía MCP y herramientas, meteo IA manipulable, XZ
Supply chainOT and industrial security
Abril de 2025 es el mes de los agentes conectados a herramientas externas: MCP permite robar credenciales, un documento malicioso secuestra la elección de herramientas y una nueva defensa entrena un LLM contra la inyección de prompts. Fuera de la IA, se reconstruye la puerta trasera de XZ Utils, se falsean previsiones meteorológicas con IA y SSH poscuántico recibe su primer análisis completo.
Archivo: reconstrucción escrita en noviembre de 2026
1. MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits
arXiv · Brandon Radosevich, John Halloran · Identidad y autenticación
En breve: Servidores MCP maliciosos o mal configurados llevan a los LLM a ejecutar código, abrir accesos remotos y robar credenciales.
El Model Context Protocol estandariza la conexión entre LLM, fuentes de datos y herramientas, y se ha adoptado rápido. Los autores muestran que LLM punteros pueden ser inducidos, con herramientas MCP, a comprometer el sistema del desarrollador mediante ejecución de código, acceso remoto y robo de credenciales. Proponen MCPSafetyScanner, una herramienta con agentes que audita un servidor MCP.
Por qué importa. Cada servidor MCP añadido es una dependencia con acceso a datos y sistemas: debe inventariarse y verificarse como cualquier integración de terceros.
Leer el artículo · PDF · Código
2. Prompt Injection Attack to Tool Selection in LLM Agents
arXiv · Jiawen Shi, Zenghui Yuan, Guiyao Tie, Pan Zhou et al. · Seguridad de IA y LLM
En breve: ToolHijacker introduce un documento malicioso en la biblioteca de herramientas y obliga al agente a elegirlo.
Los agentes LLM eligen herramientas en dos pasos, recuperación y selección, desde una biblioteca de descripciones. ToolHijacker inserta un documento optimizado que lleva al agente a elegir siempre la herramienta del atacante para una tarea fijada, incluso sin conocer modelo ni biblioteca. Supera a los ataques existentes y las defensas probadas, preventivas y de detección, resultan insuficientes.
Por qué importa. Quien publica una herramienta en un catálogo compartido puede secuestrar agentes ajenos: las bibliotecas de herramientas son un punto de ataque a la cadena.
3. DataSentinel: A Game-Theoretic Detection of Prompt Injection Attacks
IEEE Symposium on Security and Privacy · Yupei Liu, Yuqi Jia, Jinyuan Jia, Dawn Song et al. · Seguridad de IA y LLM
En breve: DataSentinel usa la teoría de juegos para entrenar un LLM que detecte incluso la inyección de prompts adaptativa.
Las aplicaciones y agentes basados en LLM están expuestos a la inyección de prompts, y los detectores actuales resisten mal los ataques fuertes, peor aún los adaptativos. DataSentinel plantea el problema como optimización minimax y ajusta un LLM para detectar entradas contaminadas por prompts pensados para evadir la detección. En varios benchmarks y modelos detecta ataques conocidos y adaptativos.
Por qué importa. Un detector que resiste ataques adaptativos es un control concreto que pedir a quien expone LLM a contenido externo, como correos o páginas web.
Leer el artículo · PDF · Código
4. Wolves in the Repository: A Software Engineering Analysis of the XZ Utils Supply Chain Attack
arXiv · Piotr Przymus, Thomas Durieux · Cadena de suministro de software
En breve: La puerta trasera de XZ Utils reconstruida desde GitHub: el ataque explotó el proceso de desarrollo, no solo el código.
El estudio reconstruye la cronología del ataque a XZ Utils (CVE-2024-3094), que introdujo una puerta trasera en una biblioteca de compresión clave para Linux. Los eventos de GitHub revelan un nuevo tipo de ataque a la cadena: aportes útiles a la infraestructura y el mantenimiento, gestión de la comunidad y configuración CI/CD sirvieron para ganar legitimidad y control duradero.
Por qué importa. Los proyectos open source esenciales y con pocos mantenedores son un punto de acumulación para miles de empresas: su salud es un factor de riesgo, no solo su código.
5. The Cost of Performance: Breaking ThreadX with Kernel Object Masquerading Attacks
USENIX Security Symposium · Xinhui Shao, Zhen Ling, Yue Zhang, Huaiyu Yan et al. · Seguridad de sistemas y software
En breve: Una optimización de rendimiento en ThreadX permite eludir los controles del kernel en dispositivos IoT.
Muchos dispositivos IoT usan sistemas de tiempo real. FreeRTOS carece de protecciones esenciales, y Zephyr y ThreadX las tienen pero las implementan de forma distinta. En ThreadX una optimización de rendimiento permite saltarse la verificación de parámetros de las llamadas al sistema: el ataque Kernel Object Masquerading manipula objetos del kernel para alterar datos u obtener privilegios.
Por qué importa. El mismo sistema embebido funciona en muchísimos dispositivos de distintos fabricantes: un fallo de diseño crea una exposición amplia y difícil de corregir.
6. Adversarial Observations in Weather Forecasting
ACM Conference on Computer and Communications Security · Erik Imgrund, Thorsten Eisenhofer, Konrad Rieck · Sistemas ciberfísicos e IoT
En breve: Alterar menos del 0,1% de las observaciones basta para que un modelo de IA prevea huracanes inexistentes.
Los sistemas de previsión meteorológica con IA, como GenCast, están sustituyendo a los métodos tradicionales. Un nuevo ataque a los modelos de difusión autorregresivos introduce perturbaciones indistinguibles del ruido natural en menos del 0,1% de las medidas, el equivalente a un satélite. Basta para falsear las previsiones e inventar huracanes, olas de calor y lluvias intensas.
Por qué importa. Las previsiones guían decisiones operativas y modelos catastróficos: su integridad se vuelve una cuestión de seguridad con efectos más allá del ciberespacio.
7. Making Acoustic Side-Channel Attacks on Noisy Keyboards Viable with LLM-Assisted Spectrograms' "Typo" Correction
USENIX WOOT Conference on Offensive Technologies · Seyyed Ali Ayati, Park, Jin Hyun, Cai, Yichen, Marcus Felipe Botacin · Hardware y canales laterales
En breve: Visual Transformers y LLM hacen viable robar lo tecleado a partir del sonido del teclado, incluso con ruido.
Los micrófonos omnipresentes aumentan el riesgo de ataques acústicos que deducen las teclas por su sonido, pero los modelos resistían mal el ruido. El estudio combina Visual Transformers, que aprovechan el contexto de secuencias largas, con LLM que corrigen los errores de reconocimiento según el sentido de la frase. Es el primer enfoque de este tipo y hace el ataque más práctico.
Por qué importa. Las videollamadas y los dispositivos con micrófono se vuelven un canal para capturar contraseñas y textos confidenciales: el riesgo alcanza al teletrabajo.
8. Post-quantum Cryptographic Analysis of SSH
IEEE Symposium on Security and Privacy · Benjamin Benčina, Benjamin Dowling, Varun Maram, Keita Xagawa · Criptografía poscuántica
En breve: Primer análisis criptográfico completo de SSH poscuántico, incluidos los ataques «recoge ahora, descifra después».
SSH fue de los primeros protocolos en adoptar un intercambio de claves híbrido resistente a la computación cuántica, por defecto en OpenSSH desde abril de 2022, pero faltaba un análisis del protocolo completo. Los autores amplían el modelo ACCE para incluir los ataques «recoge ahora, descifra después», prueban la seguridad de SSH y analizan Streamlined NTRU Prime, usado por OpenSSH y TinySSH.
Por qué importa. Los datos interceptados hoy pueden descifrarse mañana: saber que SSH híbrido resiste da una base concreta a los planes de migración poscuántica.
9. Clubcards for the WebPKI: smaller certificate revocation tests in theory and practice
IEEE Symposium on Security and Privacy · John M. Schanck
En breve: Las clubcards comprimen el estado de revocación de los certificados web en 6,7 MB, ya por defecto en Firefox Nightly.
CRLite distribuye a los navegadores el estado de revocación de los certificados de forma compacta y respetuosa con la privacidad. Una nueva estructura, la clubcard, codifica más de 8 millones de revocaciones entre 900 millones de certificados válidos en 6,7 MB, un 54% menos que el diseño original, con actualizaciones cada seis horas de unos 26,8 kB. Es el control por defecto de Firefox Nightly.
Por qué importa. Un control de revocación que funciona acorta el plazo en que un certificado robado sirve para suplantar un sitio.
Las tendencias del mes
Seguridad de IA y LLM
233 artículos del mes sobre este tema
Con 233 de 1.400 artículos, la seguridad de la IA sigue siendo el primer tema, y el punto débil pasa a las conexiones de los agentes. Los servidores MCP y las bibliotecas de herramientas son nuevas dependencias de las que el agente recibe instrucciones: un servidor malicioso lleva al robo de credenciales y un documento optimizado secuestra la elección de herramientas. Los detectores mejoran, pero no frenan a ToolHijacker.
Artículos citados:
- MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits
- Prompt Injection Attack to Tool Selection in LLM Agents
- DataSentinel: A Game-Theoretic Detection of Prompt Injection Attacks
Seguridad de sistemas y software
39 artículos del mes sobre este tema
Dos trabajos muestran cómo las decisiones de desarrollo crean exposición amplia. En XZ Utils el atacante usó el propio proceso open source, con aportes útiles y años de paciencia, para llegar a una biblioteca presente en casi todo sistema Linux. En ThreadX una optimización de rendimiento abre un fallo en un sistema instalado en muchísimos dispositivos IoT.
Artículos citados:
- Wolves in the Repository: A Software Engineering Analysis of the XZ Utils Supply Chain Attack
- The Cost of Performance: Breaking ThreadX with Kernel Object Masquerading Attacks
Criptografía poscuántica
45 artículos del mes sobre este tema
El poscuántico trae una buena noticia: el primer análisis completo de SSH híbrido, por defecto en OpenSSH desde 2022, demuestra su seguridad incluso frente a quien intercepta hoy para descifrar mañana. Para planificar la migración es una referencia concreta sobre un protocolo usado en toda la administración de sistemas.
Artículos citados:
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 1400.