INVESTIGACIÓN
Octubre de 2025: ataques vía MCP, puertas traseras al cuantizar, malware que burla Gmail
Octubre de 2025 pone a prueba a los agentes de IA: un benchmark mide doce ataques a través del Model Context Protocol, y la cuantización basta para ocultar una puerta trasera en un modelo. Trece bytes desvían el malware en el filtro de Gmail. Completan el mes la firma de modelos en GPU, los LLM frente a actualizaciones npm maliciosas y la amplificación mediante reenviadores DNS.
Archivo: reconstrucción escrita en noviembre de 2026
1. MCP Security Bench (MSB): Benchmarking Attacks Against Model Context Protocol in LLM Agents
arXiv · Dongsen Zhang, Zekun Li, Xu Luo, Xuannan Liu et al.
En breve: MSB mide cómo resisten nueve agentes LLM doce ataques que llegan a través de herramientas MCP.
El Model Context Protocol estandariza cómo los agentes descubren y llaman a herramientas externas, pero amplía la superficie de ataque. MSB clasifica doce ataques, desde colisiones de nombres hasta instrucciones ocultas en las descripciones, y los ejecuta con herramientas reales: 2.000 casos en nueve agentes, 10 dominios y 405 herramientas. Los modelos más capaces son los más vulnerables.
Por qué importa. Cada herramienta conectada a un agente es una puerta de entrada: quien adopte MCP debe tratar catálogos y descripciones como código de terceros.
Leer el artículo · PDF · Código
2. Rounding-Guided Backdoor Injection in Deep Learning Model Quantization
arXiv · Xiangxiang Chen, Peixin Zhang, Jun Sun, Wenhai Wang et al. · Seguridad de IA y LLM
En breve: QuRA implanta una puerta trasera solo eligiendo cómo se redondean los pesos al cuantizar el modelo.
La cuantización comprime los modelos para que funcionen en dispositivos con pocos recursos. QuRA no envenena datos ni entrenamiento: elige los pesos críticos y optimiza su dirección de redondeo, amplificando la puerta trasera entre capas sin perder precisión. Logra un éxito cercano al 100% en la mayoría de los casos y se adapta para eludir las defensas existentes.
Por qué importa. Un modelo limpio puede volverse malicioso al comprimirlo: quien usa versiones cuantizadas de terceros hereda un riesgo difícil de ver.
Leer el artículo · PDF · Código
3. Evaluating the Robustness of a Production Malware Detection System to Transferable Adversarial Attacks
ACM Conference on Computer and Communications Security · Milad Nasr, Yanick Fratantonio, Luca Invernizzi, Ange Albertini et al. · Malware y amenazas
En breve: Cambiando 13 bytes, un malware engaña al modelo que clasifica los adjuntos de Gmail en el 90% de los casos.
La cadena antimalware de Gmail usa Magika, un modelo de código abierto que reconoce el tipo de archivo y envía cada muestra a un clasificador especializado. Los ejemplos adversarios que engañan a Magika llevan el malware al detector equivocado: con 13 bytes la evasión funciona en el 90% de los casos. La defensa propuesta, ya en producción, baja el éxito al 20% incluso con 50 bytes.
Por qué importa. Un solo componente de aprendizaje automático puede abrir una brecha en toda la defensa: las pruebas adversarias deben cubrir la cadena completa.
4. Sentry: Authenticating Machine Learning Artifacts on the Fly
ACM Conference on Computer and Communications Security · Andrew Gan, Zahra Ghodsi · Criptografía poscuántica
En breve: Sentry firma y verifica conjuntos de datos y modelos directamente en la GPU mientras se cargan.
Los sistemas de aprendizaje automático dependen de datos y modelos descargados de terceros, que pueden envenenarse antes de llegar. Los hashes y las firmas ayudarían, pero pesan demasiado para artefactos tan grandes y no funcionan en GPU. Sentry vincula las firmas a la identidad del desarrollador y verifica los artefactos al entrar en la memoria de la GPU, con árboles de Merkle acelerados.
Por qué importa. Verificar la procedencia de modelos y datos es el primer control frente a los ataques a la cadena de suministro de la IA.
5. Evaluating LLM-Based Detection of Malicious Package Updates in npm
Research in Attacks, Intrusions and Defenses · Elizabeth Wyss, Dominic Tassio, Lorenzo De Carli, Drew Davidson · Cadena de suministro de software
En breve: Con el pre y posprocesado adecuados, un LLM detecta las 209 actualizaciones npm maliciosas de la prueba.
Comprometer la actualización de un paquete npm permite distribuir malware a desarrolladores y usuarios finales. Los autores evalúan los LLM como detectores: reducen el código antes de pasarlo al modelo e interpretan las respuestas para clasificarlas. El método funciona a escala de todo el registro y el mejor modelo marca 209 de 209 muestras maliciosas históricas.
Por qué importa. Los ataques a actualizaciones de paquetes afectan a muchas empresas a la vez: un filtro automático eficaz reduce el riesgo de acumulación.
6. Forward to Hell? On the Potentials of Misusing Transparent DNS Forwarders in Reflective Amplification Attacks
ACM Conference on Computer and Communications Security · Maynard Koch, Florian Dolzmann, Thomas C. Schmidt, Matthias Wählisch · Seguridad de red
En breve: Los reenviadores DNS transparentes convierten grandes resolvers públicos en amplificadores de DDoS.
Los reenviadores DNS transparentes pasan las consultas a resolvers recursivos abiertos sin reescribir la dirección de origen. Así, los grandes resolvers anycast participan sin querer en ataques de amplificación reflejada. Los reenviadores eluden los límites de tasa, escalan hasta 14 veces gracias al anycast y permiten saltar las reglas de cortafuegos que protegen a los resolvers.
Por qué importa. Un componente de red extendido y olvidado alimenta DDoS a gran escala: las caídas afectan a muchos clientes a la vez.
7. Active Attack Resilience in 5G: A New Take on Authentication and Key Agreement
Research in Attacks, Intrusions and Defenses · Nazatul Haque Sultan, Xinlong Guan, Josef Pieprzyk, Wei Ni et al. · Seguridad de red
En breve: Una variante de 5G-AKA sin números de secuencia y con secreto hacia adelante, compatible con las SIM actuales.
5G-AKA, el protocolo de autenticación del 5G, protege frente a atacantes pasivos pero es vulnerable a los activos. Depende de números de secuencia que deben estar sincronizados y no ofrece secreto hacia adelante: si se filtran las claves a largo plazo, el tráfico pasado queda expuesto. Los autores proponen una versión sin estado, compatible con SIM y redes existentes, ampliada con ese secreto.
Por qué importa. El 5G sostiene cada vez más infraestructuras críticas: una autenticación más sólida reduce el riesgo de interceptación y suplantación.
8. DPA-Style Attacks on HQC
IACR Transactions on Cryptographic Hardware and Embedded Systems · Zhuo Huang, Weijia Wang, Xiaogang Zhou, Yu Yu · Criptografía poscuántica
En breve: Bastan 50 trazas de consumo para extraer de un microcontrolador la clave de HQC, el nuevo estándar poscuántico.
HQC es el quinto algoritmo poscuántico elegido por el NIST y el único basado en códigos. Los análisis de consumo conocidos necesitan pocas trazas pero toleran poco ruido. Los autores crean un ataque tipo DPA con texto cifrado elegido: en un STM32F4 recuperan la clave con 50 trazas, 20 con perfilado, y unas 3.000 incluso con enmascaramiento.
Por qué importa. Los algoritmos poscuánticos necesitan protección frente a canales laterales antes de llegar a dispositivos y tarjetas.
9. OCR-APT: Reconstructing APT Stories from Audit Logs using Subgraph Anomaly Detection and LLMs
ACM Conference on Computer and Communications Security · Ahmed Aly, Essam Mansour, Amr Youssef · IA aplicada a la seguridad
En breve: OCR-APT detecta intrusiones APT en los registros del sistema y un LLM reconstruye la historia en lenguaje natural.
Los sistemas que buscan anomalías en grafos de procedencia generan muchos falsos positivos y alertas vagas, en parte por depender de atributos frágiles como rutas e IP. OCR-APT usa redes neuronales de grafos para aprender el comportamiento en torno a los nodos y luego un LLM reconstruye el ataque por fases, validando cada paso. Supera el estado del arte en DARPA TC3, OpTC y NODLINK.
Por qué importa. Un relato claro de la intrusión acelera la respuesta y la reconstrucción del daño, dos factores del coste de un siniestro.
10. Your Microphone Array Retains Your Identity: A Robust Voice Liveness Detection System for Smart Speakers
USENIX Security Symposium · Yan Meng, Jiachun Li, Matthew Pillari, Arjun Deopujari et al. · Identidad y autenticación
En breve: El conjunto de micrófonos de un altavoz inteligente distingue una voz real de una grabada con un 99,84% de acierto.
Los altavoces inteligentes están expuestos a ataques con voz grabada o sintética. La detección pasiva de voz en vivo usa solo el audio captado, pero empeora con los cambios de entorno y exige posturas fijas. ArrayID usa la disposición circular de los micrófonos como huella resistente al movimiento: con 32.780 muestras y 14 dispositivos de suplantación logra un 99,84% de precisión.
Por qué importa. Con la voz cada vez más usada para autorizar compras y órdenes domésticas, distinguir a una persona de una grabación reduce el fraude.
Las tendencias del mes
Seguridad de IA y LLM
389 artículos del mes sobre este tema
Con 389 de 1.883 artículos, la seguridad de la IA sigue siendo el primer tema. El mes muestra tres puntos débiles en la vida de un modelo: las herramientas conectadas a los agentes vía MCP, la compresión que puede ocultar una puerta trasera y el componente de aprendizaje automático que, engañado, abre una brecha en un antimalware usado por miles de millones.
Artículos citados:
- MCP Security Bench (MSB): Benchmarking Attacks Against Model Context Protocol in LLM Agents
- Rounding-Guided Backdoor Injection in Deep Learning Model Quantization
- Evaluating the Robustness of a Production Malware Detection System to Transferable Adversarial Attacks
Cadena de suministro de software
18 artículos del mes sobre este tema
Llegan dos respuestas prácticas sobre la cadena de suministro. Sentry lleva firmas y verificaciones a la GPU, de modo que modelos y datos de terceros se comprueban al cargarse, y un LLM bien configurado reconoce todas las actualizaciones npm maliciosas de un histórico. Ambos controles actúan antes de que un componente comprometido llegue a muchas empresas a la vez.
Artículos citados:
- Sentry: Authenticating Machine Learning Artifacts on the Fly
- Evaluating LLM-Based Detection of Malicious Package Updates in npm
Seguridad de red
38 artículos del mes sobre este tema
Dos trabajos tratan la infraestructura de red compartida. Los reenviadores DNS transparentes eluden los límites de los grandes resolvers públicos y multiplican la fuerza de los DDoS, mientras una revisión de la autenticación 5G elimina la dependencia de los números de secuencia y añade secreto hacia adelante sin cambiar las SIM.
Artículos citados:
- Forward to Hell? On the Potentials of Misusing Transparent DNS Forwarders in Reflective Amplification Attacks
- Active Attack Resilience in 5G: A New Take on Authentication and Key Agreement
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 1883.