INVESTIGACIÓN
Julio de 2025: Rowhammer en GPU, agentes de correo secuestrados, malware en modelos de IA
Supply chainOT and industrial security
Julio de 2025 lleva Rowhammer a las GPU usadas para IA, con caídas de precisión de hasta el 80%. Los modelos descargados pueden ocultar malware autoextraíble, los agentes que gestionan el correo caen ante un nuevo tipo de inyección de prompts y un agente de IA genera exploits rentables para smart contracts. En móvil, WebView y SDK eluden las protecciones.
Archivo: reconstrucción escrita en noviembre de 2026
1. GPUHammer: Rowhammer Attacks on GPU Memories are Practical
USENIX Security Symposium · Chris S. Lin, Joy Qu, Gururaj Saileshwar · Hardware y canales laterales
En breve: Primer ataque Rowhammer logrado en una GPU dedicada: unos pocos bits alterados hunden la precisión de los modelos.
Rowhammer se había estudiado en CPU y memorias DDR, no en las GDDR de las GPU usadas para aprendizaje automático. GPUHammer reconstruye el mapeo propietario de filas GDDR6, intensifica los accesos y elude las defensas. En una NVIDIA A6000 induce hasta 8 bits alterados en 4 bancos, suficiente para reducir la precisión de los modelos hasta un 80%.
Por qué importa. Las GPU se comparten entre clientes en la nube: un cliente malicioso puede sabotear modelos ajenos sin tocar su software.
2. Do You Trust Your Model? Emerging Malware Threats in the Deep Learning Ecosystem
IEEE Transactions on Dependable and Secure Computing · Dorjan Hitaj, Giulio Pagnotta, Fabio De Gaspari, Sediola Ruko et al. · Malware y amenazas
En breve: MaleficNet 2.0 oculta malware autoextraíble en los parámetros de una red neuronal sin empeorar su rendimiento.
Muchos usan modelos preentrenados de repositorios públicos como si fueran simples datos. MaleficNet 2.0 inserta en los parámetros una carga maliciosa con codificación de espectro ensanchado y corrección de errores: es sigilosa, no empeora el modelo y resiste la eliminación, también en aprendizaje federado. Un prototipo se extrae y ejecuta solo en un framework muy usado.
Por qué importa. Un modelo descargado es software de terceros: requiere las mismas reglas de procedencia y verificación que un ejecutable.
3. Your Mailbox Is Mine: Prompt Injection Attacks Against Real-World LLM Email Agents
arXiv · Jiangrong Wu, Yuhong Nan, Jianliang Wu, Zitong Yao et al. · Seguridad de IA y LLM
En breve: Un nuevo tipo de inyección de prompts secuestra los 63 agentes de correo reales probados, en menos de dos intentos.
Los agentes LLM que gestionan el correo manejan mensajes sensibles y flujos de autenticación. Las inyecciones clásicas funcionan poco contra ellos, con éxito de entre el 4,58% y el 8,13%. ESPI presenta las acciones del atacante como arreglos necesarios para un estado falso del buzón: alcanza un 73,54% de éxito y secuestra las 63 aplicaciones evaluadas con menos de dos intentos.
Por qué importa. El buzón es la llave para restablecer contraseñas y aprobar pagos: un agente que lo gestiona debe tratarse como un usuario con privilegios elevados.
4. Depth Gives a False Sense of Privacy: LLM Internal States Inversion
USENIX Security Symposium · Tian Dong, Yan Meng, Shaofeng Li, Chen, Guoxing et al.
En breve: Los estados internos de un LLM, que se creían irreversibles, permiten reconstruir el prompt, incluso uno médico y largo.
La inferencia colaborativa y las auditorías basadas en neuronas exponen los estados internos de un LLM, que se creían no invertibles. Los autores proponen cuatro ataques de inversión, con y sin acceso a los pesos, y uno que traduce los estados a texto con otro modelo. En seis LLM y datos médicos y de programación, un prompt médico de 4.112 tokens se reconstruye casi a la perfección.
Por qué importa. Enviar solo representaciones intermedias no protege los datos: las arquitecturas que prometen privacidad así deben evaluarse con cautela.
5. AI Agent Smart Contract Exploit Generation
arXiv · Arthur Gervais, Liyi Zhou · Blockchain y DeFi
En breve: Un agente de IA genera exploits verificados para smart contracts vulnerables, hasta 8,59 millones de dólares por ataque.
A1 convierte un LLM en un generador de exploits con seis herramientas específicas y valida cada resultado ejecutándolo sobre estados reales de la blockchain. En 36 contratos vulnerables de Ethereum y Binance Smart Chain acierta en el 63% del benchmark VERITE y extrae hasta 8,59 millones de dólares por exploit. Al atacante le basta un valor de 6.000 dólares; el defensor necesita 60.000.
Por qué importa. El coste de hallar y explotar un fallo se desploma y el de defenderse no: la ventana entre descubrimiento y robo pasa a ser de horas.
6. Tracking Without Borders: Studying the Role of WebViews in Bridging Mobile and Web Tracking
Proceedings on Privacy Enhancing Technologies · Nipuna Weerasekara, José Miguel Moreno, Srdjan Matic, Joel Reardon et al. · Web y móvil
En breve: Las apps Android configuran las WebView para eludir protecciones y rastrear a los usuarios entre apps y web.
Las WebView muestran contenido web dentro de las apps, como anuncios. El primer estudio a gran escala muestra que desarrolladores y SDK las configuran para eludir las protecciones. JavaScript dañino, a menudo distribuido mediante pujas publicitarias en tiempo real sin control, sincroniza cookies, hace fingerprinting y envía identificadores y ubicación sin que el usuario lo sepa.
Por qué importa. Los anuncios de una app pueden recoger datos personales en nombre del editor: un riesgo regulatorio que depende de la cadena publicitaria.
7. KeyDroid: A Large-Scale Analysis of Secure Key Storage in Android Apps
Proceedings on Privacy Enhancing Technologies · Jenny Blessing, Ross Anderson, Alastair R. Beresford · Web y móvil
En breve: El 56% de las apps que declaran datos sensibles no usa el hardware seguro de Android para proteger las claves.
Los móviles modernos ofrecen hardware dedicado para custodiar claves y credenciales aunque el sistema operativo esté comprometido. Analizando 490.119 apps Android y sus declaraciones sobre datos, el estudio halla que el 56% de las que tratan datos sensibles no usa este hardware en absoluto, y solo el 5% usa la forma más robusta, un elemento seguro separado del procesador.
Por qué importa. Proteger las claves es una buena práctica básica: su escaso uso aumenta el impacto del malware móvil, también en apps financieras y de salud.
8. Okay Google, Where’s My Tracker? Security, Privacy, and Performance Evaluation of Google's Find My Device Network
Proceedings on Privacy Enhancing Technologies · Leon Böttger, Alexander Matern, Dennis Arndt, Matthias Hollick · Web y móvil
En breve: La red Encontrar mi dispositivo de Google, activa por defecto en Android, presenta fallos de seguridad y privacidad.
Desde abril de 2024 la red Find My Device de Google usa miles de millones de dispositivos Android para localizar rastreadores y auriculares perdidos, y está activa por defecto. Google promete cifrado de extremo a extremo y privacidad, pero el sistema solo está especificado en parte. Los autores reconstruyen lo propietario y hallan de denegación de servicio y un posible ataque de vinculación.
Por qué importa. Las redes de localización activas en miles de millones de teléfonos son infraestructura compartida: un fallo de diseño afecta a todos a la vez.
9. OTP-Hunter: An App-Based Fuzzing Framework to Discover One Time Password Vulnerabilities
IEEE Transactions on Dependable and Secure Computing · Futai Zou, Zehui Zhang, Yuzong Hu · Identidad y autenticación
En breve: OTP-Hunter halla 68 fallos en las contraseñas de un solo uso de 59 apps IoT, con toma remota de dispositivos.
Las contraseñas de un solo uso verifican la identidad en registro, acceso y recuperación, pero mal implementadas permiten envío masivo de SMS o correos, fuerza bruta y elusión. OTP-Hunter combina análisis estático y dinámico dentro de las apps, sin descifrar sus protocolos. En 59 apps IoT halla 68 vulnerabilidades que permiten controlar dispositivos conociendo solo el número de teléfono.
Por qué importa. Un OTP débil anula el segundo factor: para quien fabrica dispositivos conectados es un riesgo de responsabilidad frente a miles de clientes.
Las tendencias del mes
Seguridad de IA y LLM
235 artículos del mes sobre este tema
Con 235 de 1.244 artículos, la seguridad de la IA sigue siendo el primer tema, y julio la toca en todos los niveles. El hardware de las GPU se altera con Rowhammer, los modelos descargados pueden llevar malware oculto, los estados internos revelan los prompts y los agentes de correo ejecutan acciones del atacante. La cadena de la IA debe evaluarse entera, del chip al agente.
Artículos citados:
- Your Mailbox Is Mine: Prompt Injection Attacks Against Real-World LLM Email Agents
- Do You Trust Your Model? Emerging Malware Threats in the Deep Learning Ecosystem
- Depth Gives a False Sense of Privacy: LLM Internal States Inversion
- GPUHammer: Rowhammer Attacks on GPU Memories are Practical
Web y móvil
36 artículos del mes sobre este tema
Las actas de PETS y otros trabajos miden el móvil a gran escala. Las WebView eluden las protecciones de Android para rastrear, más de la mitad de las apps con datos sensibles no usa el hardware seguro, la red de localización de Google tiene fallos de diseño y las contraseñas de un solo uso de las apps IoT se eluden. Las defensas existen, pero a menudo no se adoptan.
Artículos citados:
- Tracking Without Borders: Studying the Role of WebViews in Bridging Mobile and Web Tracking
- KeyDroid: A Large-Scale Analysis of Secure Key Storage in Android Apps
- Okay Google, Where’s My Tracker? Security, Privacy, and Performance Evaluation of Google's Find My Device Network
- OTP-Hunter: An App-Based Fuzzing Framework to Discover One Time Password Vulnerabilities
Blockchain y DeFi
31 artículos del mes sobre este tema
En los smart contracts, la IA cambia la economía del ataque. Un agente que genera y verifica exploits por sí solo halla fallos reales y los hace rentables con solo unos miles de dólares en juego, mientras la defensa necesita diez veces más recursos. La rapidez de corrección se vuelve decisiva.
Artículos citados:
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 1244.