INVESTIGACIÓN
Septiembre de 2025: EchoLeak en el asistente corporativo, diez años de APT, claves SSH
Supply chainOT and industrial security
Septiembre de 2025 empieza con EchoLeak, la primera inyección de prompts sin clic explotada en un asistente corporativo en producción. Las actas de ACM CCS traen además una defensa para agentes que usan el ordenador, diez años de campañas APT analizados de forma sistemática, ataques a las firmas SSH de cliente y a datos clínicos k-anonimizados, y secuestro TCP remoto con IP compartidas.
Archivo: reconstrucción escrita en noviembre de 2026
1. EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System
arXiv · Pavan Reddy, Aditya Sanjay Gujral · Seguridad de IA y LLM
En breve: Un solo correo preparado bastaba para que Microsoft 365 Copilot exfiltrara datos, sin ningún clic.
EchoLeak (CVE-2025-32711) es la primera inyección de prompts sin clic explotada en un sistema LLM en producción. Con un solo correo, el ataque eludía el clasificador antiinyección de Microsoft 365 Copilot, la eliminación de enlaces, las imágenes cargadas automáticamente y un proxy de Teams permitido, y exfiltraba datos sin autenticación. El estudio analiza por qué fallaron las defensas.
Por qué importa. Los asistentes conectados al correo y los documentos corporativos son un nuevo vector de brecha: la inyección de prompts es ya una vulnerabilidad de alta gravedad.
2. AgentSentinel: An End-to-End and Real-Time Security Defense Framework for Computer-Use Agents
ACM Conference on Computer and Communications Security · Haitao Hu, Peng Chen, Yanpeng Zhao, Yuqi Chen · Seguridad de IA y LLM
En breve: AgentSentinel retiene las operaciones sensibles de los agentes de ordenador hasta que un control las verifica.
Los agentes que usan el ordenador pueden ejecutar comandos dañinos por error o manipulación. El nuevo benchmark BadComputerUse, con 60 escenarios de ataque, logra de media un 87% de éxito en cuatro LLM avanzados. AgentSentinel intercepta las operaciones sensibles y las suspende hasta que un control compara la tarea con las trazas del sistema; bloquea de media el 79,6% de los ataques.
Por qué importa. Un control que detiene al agente antes de acciones arriesgadas es el tipo de medida que hace asegurable el uso de agentes con acceso a sistemas.
3. ImportSnare: Directed "Code Manual" Hijacking in Retrieval-Augmented Code Generation
ACM Conference on Computer and Communications Security · Kai Ye, Liangcai Su, Chenxiong Qian · Seguridad de IA y LLM
En breve: Documentación envenenada lleva a los asistentes de programación a recomendar dependencias maliciosas.
Los asistentes de programación con RAG consultan manuales externos para escribir mejor código, lo que abre una nueva superficie de ataque. ImportSnare crea documentación envenenada que sube en la búsqueda e induce al LLM a recomendar dependencias maliciosas como «matplotlib_safe». En Python, Rust y JavaScript supera el 50% de éxito con bibliotecas populares como matplotlib y seaborn.
Por qué importa. La confianza de los desarrolladores en las sugerencias de la IA se vuelve una puerta para paquetes maliciosos en la cadena de software corporativa.
4. A Decade-long Landscape of Advanced Persistent Threats: Longitudinal Analysis and Global Trends
ACM Conference on Computer and Communications Security · Shakhzod Yuldoshkhujaev, Mijin Jeon, Doowon Kim, Nick Nikiforakis et al. · Malware y amenazas
En breve: 1.509 informes sobre diez años de APT reconstruyen 603 grupos, los sectores atacados y su relación con eventos como elecciones.
El estudio reúne 1.509 informes públicos sobre amenazas persistentes avanzadas, más de 24.000 páginas de 2014 a 2023, de seis fuentes fiables, e identifica 603 grupos distintos. Con un método que combina reglas y búsqueda con LLM, reconstruye cómo cambiaron actores, vectores y sectores atacados, y la relación de las campañas con eventos como elecciones.
Por qué importa. Una base histórica sobre actores estatales y sectores atacados ayuda a estimar frecuencias y acumulaciones, y a valorar las exclusiones por ataques de Estado.
5. HADES: Detecting and Investigating Active Directory Attacks via Whole Network Provenance Analytics
IEEE Transactions on Dependable and Secure Computing · Qi Liu, Kaibin Bao, Wajih Ul Hassan, Veit Hagenmeyer · Malware y amenazas
En breve: HADES sigue un ataque a Active Directory de una máquina a otra y supera a un detector comercial.
Active Directory es un objetivo prioritario de los actores APT, y la detección basada en procedencia se queda en una sola máquina. HADES reconstruye los vínculos causales entre máquinas dividiendo la ejecución por sesiones de inicio, y solo se activa cuando un modelo ligero detecta una anomalía de autenticación. Supera a sistemas abiertos populares y a un conocido detector comercial.
Por qué importa. Reconstruir hasta dónde llegó el atacante en la red reduce el tiempo y el coste de la investigación tras un incidente.
6. On the Security of SSH Client Signatures
ACM Conference on Computer and Communications Security · Fabian Bäumer, Marcus Brinkmann, Maximilian Radoy, Jörg Schwenk et al. · Identidad y autenticación
En breve: Entre 31 millones de claves SSH públicas hay cientos débiles, y la clave de PuTTY se recupera con 58 firmas.
Las claves SSH de cliente dan acceso a servidores críticos y repositorios, pero no se pueden escanear como las de servidor. Los autores recogen 31.622.338 claves públicas de GitHub, GitLab y otras fuentes: en enero de 2025 hallan 98 claves demasiado cortas, 139 de aleatoriedad débil y 149 con factores comunes. También muestran que la clave privada de un cliente PuTTY se recupera con 58 firmas.
Por qué importa. Una clave SSH comprometida da acceso directo a servidores y repositorios: la gestión de claves de los desarrolladores debe entrar en los controles de acceso.
7. Off-Path TCP Exploits: PMTUD Breaks TCP Connection Isolation in IP Address Sharing Scenarios
ACM Conference on Computer and Communications Security · Xuewei Feng, Zhaoxi Li, Qi Lecky Li, Ziqiang Wang et al. · Seguridad de sistemas y software
En breve: Con una IP compartida, un atacante externo puede secuestrar las conexiones TCP de otros dispositivos el 70% de las veces.
Path MTU Discovery no se diseñó para direcciones IP compartidas entre varios dispositivos, habituales tras NAT. Un atacante en internet, con un dispositivo cómplice en la misma red, puede observar el valor MTU fijado por el servidor y deducir los números de secuencia de conexiones TCP ajenas. Funciona el 70% de las veces en unos 220 segundos y permite DoS en SSH e inyección en FTP y HTTP.
Por qué importa. Redes compartidas como el Wi-Fi público, los operadores móviles y las oficinas compartidas no aíslan de verdad las conexiones: el riesgo afecta a muchos a la vez.
8. Fingerprinting Deep Packet Inspection Devices by Their Ambiguities
ACM Conference on Computer and Communications Security · Diwen Xue, Armin Huremagic, Wayne Wang, Ram Sundara Raman et al. · Web y móvil
En breve: Las ambigüedades en cómo analizan el tráfico permiten identificar y mapear a distancia los dispositivos DPI.
La censura, la ralentización y la interceptación se extienden porque los dispositivos de inspección profunda de paquetes están al alcance de casi cualquier operador. dMAP aprovecha que cada fabricante interpreta de forma distinta los comportamientos poco especificados de los protocolos: con fuzzing diferencial crea sondas que hacen visibles esas diferencias y agrupa los DPI a escala global.
Por qué importa. Saber dónde se inspecciona o altera el tráfico ayuda a evaluar el riesgo de las comunicaciones corporativas en países con control de red.
9. Exposing Privacy Risks in Anonymizing Clinical Data: Combinatorial Refinement Attacks on k-Anonymity Without Auxiliary Information
ACM Conference on Computer and Communications Security · Somiya Chhillar, Mary Kirtley Righi, Rebecca Sutter, Evgenios M. Kornaropoulos · Privacidad
En breve: Los datos clínicos k-anonimizados con ARX revelan valores sensibles incluso sin información externa.
La k-anonimidad sigue muy extendida por su sencillez y su encaje normativo, y se defiende que sin información externa es inatacable. Los Combinatorial Refinement Attacks lo desmienten: explotan cómo ARX, software abierto común en el ámbito clínico, optimiza la anonimización. Con datos reales de una red de clínicas gratuitas, la privacidad prometida no se cumple.
Por qué importa. Datos considerados anónimos pueden seguir siendo datos personales: quien los comparte apoyándose en la k-anonimidad sigue expuesto a sanciones.
10. Asymmetry Vulnerability and Physical Attacks on Online Map Construction for Autonomous Driving
ACM Conference on Computer and Communications Security · Yang Lou, Haibo Hu, Qun Song, Qian Xu et al. · Sistemas ciberfísicos e IoT
En breve: Obstáculos y parches dirigidos engañan los mapas que construyen los coches autónomos y hacen inalcanzables muchas rutas.
Los coches autónomos construyen cada vez más los mapas de alta definición con sus propios sensores. El estudio descubre que estos modelos tienden a prever carreteras simétricas: en bifurcaciones e incorporaciones dibujan un borde recto inexistente. Explotándolo con cegamiento de cámaras y parches adversarios, el ataque deja inalcanzable hasta el 44% de las rutas objetivo.
Por qué importa. Un fallo del modelo se explota con medios físicos simples: para la responsabilidad del fabricante cuenta la robustez, no solo la precisión media.
Las tendencias del mes
Seguridad de IA y LLM
312 artículos del mes sobre este tema
Con 312 de 1.708 artículos, la seguridad de la IA sigue siendo el primer tema, y septiembre trae el primer caso real de gran impacto. EchoLeak demuestra que la inyección de prompts en un asistente corporativo puede exfiltrar datos con un solo correo. Los agentes que usan el ordenador caen de media en el 87% de los ataques de prueba, y la documentación envenenada lleva a sugerir paquetes maliciosos.
Artículos citados:
- EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System
- AgentSentinel: An End-to-End and Real-Time Security Defense Framework for Computer-Use Agents
- ImportSnare: Directed "Code Manual" Hijacking in Retrieval-Augmented Code Generation
Seguridad de red
55 artículos del mes sobre este tema
Tres trabajos de CCS miran los cimientos de la red. Cientos de claves SSH públicas son débiles y un cliente popular pierde la clave privada a través de las firmas, las IP compartidas rompen el aislamiento de las conexiones TCP y los dispositivos DPI que censuran o interceptan el tráfico se pueden mapear a distancia. Son riesgos de infraestructura que afectan a muchas organizaciones a la vez.
Artículos citados:
- On the Security of SSH Client Signatures
- Off-Path TCP Exploits: PMTUD Breaks TCP Connection Isolation in IP Address Sharing Scenarios
- Fingerprinting Deep Packet Inspection Devices by Their Ambiguities
Malware y amenazas
51 artículos del mes sobre este tema
Llegan dos aportaciones útiles sobre actores estatales. Diez años de informes APT reconstruyen 603 grupos y muestran cómo cambian sectores y vectores en torno a eventos como las elecciones, mientras HADES sigue los ataques a Active Directory de una máquina a otra. La evaluación del riesgo necesita ambas cosas: frecuencia histórica y capacidad de medir el alcance de un incidente.
Artículos citados:
- A Decade-long Landscape of Advanced Persistent Threats: Longitudinal Analysis and Global Trends
- HADES: Detecting and Investigating Active Directory Attacks via Whole Network Provenance Analytics
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 1708.