INVESTIGACIÓN
Diciembre de 2025: memoria envenenada de agentes, Telegram, recargas a cuenta ajena
Diciembre de 2025 lleva a los agentes de IA a un terreno nuevo: recuerdos envenenados que persisten entre sesiones, inyecciones que funcionan desde cualquier fuente y prompts que atrapan un servicio en razonamientos infinitos. Telegram y la recarga automática de coches eléctricos muestran fallos criptográficos concretos. Cierran el mes la fuga de máquinas virtuales y el consentimiento web.
Archivo: reconstrucción escrita en noviembre de 2026
1. MemoryGraft: Persistent Compromise of LLM Agents via Poisoned Experience Retrieval
arXiv · Saksham Sahai Srivastava, Haoyu He · Seguridad de IA y LLM
En breve: MemoryGraft implanta falsas experiencias de éxito en la memoria a largo plazo de un agente, que luego las imita.
Los agentes LLM guardan sus experiencias para mejorar. MemoryGraft aprovecha esa costumbre: con contenidos de apariencia inocua leídos durante una tarea, lleva al agente a guardar procedimientos maliciosos entre sus recuerdos de éxito. Ante tareas parecidas, el agente los recupera y los copia. Unos pocos registros envenenados dominan los recuerdos recuperados, con efectos que duran entre sesiones.
Por qué importa. Un compromiso que vive en la memoria del agente no se borra al cerrar la sesión: la respuesta a incidentes debe incluir limpiarla.
Leer el artículo · PDF · Código
2. ObliInjection: Order-Oblivious Prompt Injection Attack to LLM Agents with Multi-source Data
Network and Distributed System Security Symposium · Reachal Wang, Yuqi Jia, Neil Zhenqiang Gong · Seguridad de IA y LLM
En breve: ObliInjection funciona aunque el atacante controle una sola fuente de cien y no sepa en qué orden se leerá.
La entrada de una aplicación LLM suele unir textos de varias fuentes, y el atacante controla solo una parte sin saber su orden. ObliInjection es la primera inyección de prompts pensada para este caso: optimiza el texto malicioso para que funcione con cualquier orden. En tres conjuntos de datos y doce LLM sigue siendo eficaz con un solo segmento contaminado de entre 6 y 100.
Por qué importa. Los asistentes que resumen reseñas, correos o documentos de varios autores pueden desviarse por una sola aportación hostil.
Leer el artículo · PDF · Código
3. ThinkTrap: Denial-of-Service Attacks against Black-box LLM Services via Infinite Thinking
Network and Distributed System Security Symposium · Yunzhe Li, Jianan Wang, Hongzi Zhu, James Lin et al.
En breve: ThinkTrap encuentra prompts que hacen razonar a un LLM sin fin y reducen un servicio comercial al 1% de capacidad.
Los servicios LLM en la nube afrontan un nuevo tipo de denegación de servicio: entradas que llevan al modelo a generaciones larguísimas o infinitas. ThinkTrap busca esos prompts sin acceso al modelo, optimizando en un espacio continuo de baja dimensión. Contra servicios comerciales cerrados, incluso bajo el límite de diez peticiones por minuto, reduce la capacidad al 1% y a veces la anula.
Por qué importa. Quien ofrece servicios basados en LLM se expone a caídas y costes de cómputo descontrolados: limitar la longitud del razonamiento es un control esencial.
4. Chasing Shadows: Pitfalls in LLM Security Research
Network and Distributed System Security Symposium · Jonathan Evertz, Niklas Risse, Nicolai Neuer, Andreas Müller et al.
En breve: Los 72 artículos de seguridad con LLM revisados contienen al menos uno de nueve errores metodológicos recurrentes.
Los LLM dificultan la reproducibilidad y la evaluación en la investigación de seguridad. Los autores identifican nueve errores recurrentes, de la recogida de datos al prompting, y los buscan en los 72 artículos publicados en las principales sedes de seguridad e ingeniería del software en 2023-2024: todos tienen al menos uno, pero solo se discute el 15,7%. Cuatro casos muestran resultados inflados.
Por qué importa. El rendimiento declarado de las herramientas de seguridad basadas en LLM debe leerse con cautela antes de confiar en él.
5. Four Attacks and a Proof for Telegram
Journal of Cryptology · Martin R. Albrecht, Lenka Mareková, Kenneth G. Paterson, Igors Stepanovs · Métodos formales
En breve: Cuatro ataques y una prueba formal sobre la criptografía simétrica de MTProto, el protocolo de Telegram.
Es el primer estudio completo de la criptografía simétrica de MTProto 2.0, el TLS de Telegram. Una variante del protocolo se demuestra segura en un modelo formal, pero los autores presentan dos ataques a la especificación y dos a la implementación: canales de tiempo en tres clientes oficiales para recuperar texto en claro y un fallo en el intercambio de claves del servidor para ataques MitM.
Por qué importa. Las apps de mensajería también usadas para trabajar pueden tener debilidades criptográficas concretas: conviene elegirlas por protocolos verificados.
6. Charge It to My Neighbor: A Relay Attack on ISO 15118 Plug and Charge Payment
arXiv · Jakob Löw, Vishwa Vasu, Thomas Hutzelmann, Hans-Joachim Hof · Criptografía
En breve: Un punto de recarga falso permite cargar el coche eléctrico propio cobrando a otro conductor.
La norma ISO 15118, extendida en Europa para la carga rápida, permite a los coches eléctricos pagar solos con certificados de contrato. El ataque conecta el coche de la víctima a una estación falsa y reenvía su autenticación a una real, que carga el coche del atacante y cobra a la víctima. Aprovecha que la firma no identifica la estación y una gestión débil de los certificados TLS.
Por qué importa. Con la expansión del plug-and-charge, fraudes de pago así pueden afectar a flotas y operadores antes de que se corrija la norma.
7. Breaking Isolation: A New Perspective on Hypervisor Exploitation via Cross-Domain Attacks
Network and Distributed System Security Symposium · Gaoning Pan, Yiming Tao, Qinying Wang, Chunming Wu et al. · Seguridad de sistemas y software
En breve: Reutilizando la memoria del invitado, los ataques entre dominios hacen explotables los fallos de QEMU y VirtualBox.
Los fallos de memoria en los hipervisores son graves pero difíciles de explotar, porque las estructuras útiles son escasas y quedan ocultas por la aleatorización de direcciones. Los autores observan que la memoria del invitado, controlada por el atacante, es accesible desde el anfitrión y la usan como apoyo. Un sistema automático construye cadenas de exploits completas, eficaz en 15 fallos reales.
Por qué importa. La fuga de una máquina virtual afecta a todos los clientes que comparten el mismo anfitrión: un riesgo de acumulación típico de la nube.
8. Behind the Curtain: How Shared Hosting Providers Respond to Vulnerability Notifications
IEEE Symposium on Security and Privacy · Giada Stivala, Rafael Mrowczynski, Maria V. Hellenthal, Giancarlo Pellegrino · Seguridad de sistemas y software
En breve: Veinticuatro proveedores de alojamiento explican por qué los avisos de vulnerabilidad logran tan pocas correcciones.
Los avisos masivos de vulnerabilidades consiguen pocas correcciones. Los autores entrevistan a 24 proveedores de alojamiento compartido: casi todos reciben y gestionan los avisos, pero consideran los fallos de las aplicaciones web responsabilidad del cliente. Las tarifas bajas y el gran volumen de compromisos diarios desaniman la prevención, y los proveedores culpan a los dueños de los sitios.
Por qué importa. Las pequeñas empresas en alojamiento compartido no pueden contar con el proveedor para corregir fallos: la responsabilidad es suya.
9. Breaking the illusion: Automated Reasoning of GDPR Consent Violations
IEEE Symposium on Security and Privacy · Ying Li, Wenjun Qiu, Faysal Hossain Shezan, Kunlin Cai et al. · Privacidad
En breve: Cosmic halla infracciones del consentimiento RGPD en el 94,1% de los formularios web analizados en 5.823 sitios.
El RGPD y la CCPA exigen un consentimiento informado, libre, específico e inequívoco, pero se han estudiado sobre todo los banners de cookies. Cosmic audita en automático los formularios que recogen el consentimiento: en 5.823 sitios y 3.598 formularios detecta 3.384 infracciones en el 94,1% de ellos, del consentimiento no libre a la falta de finalidad y revocación, con un 99,1% de aciertos.
Por qué importa. Las infracciones del consentimiento son habituales y ya se detectan en automático: crece el riesgo de sanciones de privacidad para las webs corporativas.
Las tendencias del mes
Seguridad de IA y LLM
277 artículos del mes sobre este tema
Con 277 de 1.532 artículos, la seguridad de la IA sigue siendo el primer tema. Los ataques a agentes son más realistas: recuerdos envenenados que sobreviven a la sesión, inyecciones que funcionan desde una sola fuente de cien y prompts que agotan los recursos de un servicio. A la vez, una revisión de 72 artículos muestra que muchos resultados sobre LLM en seguridad deben leerse con cautela.
Artículos citados:
- MemoryGraft: Persistent Compromise of LLM Agents via Poisoned Experience Retrieval
- ObliInjection: Order-Oblivious Prompt Injection Attack to LLM Agents with Multi-source Data
- ThinkTrap: Denial-of-Service Attacks against Black-box LLM Services via Infinite Thinking
- Chasing Shadows: Pitfalls in LLM Security Research
Criptografía
176 artículos del mes sobre este tema
Dos protocolos de uso diario muestran debilidades concretas. MTProto de Telegram, aunque demostrado seguro en una variante formal, cede ante canales de tiempo en los clientes y un fallo en el intercambio de claves de los servidores, mientras la recarga automática de coches eléctricos permite cobrar a otro conductor con una estación falsa.
Artículos citados:
- Four Attacks and a Proof for Telegram
- Charge It to My Neighbor: A Relay Attack on ISO 15118 Plug and Charge Payment
Seguridad de sistemas y software
48 artículos del mes sobre este tema
En la infraestructura compartida surgen dos riesgos. La memoria de las máquinas invitadas sirve de apoyo para explotar fallos del hipervisor y romper el aislamiento, y los proveedores de alojamiento compartido dejan a los clientes la corrección de los fallos notificados. En ambos casos un solo punto débil puede afectar a muchos clientes.
Artículos citados:
- Breaking Isolation: A New Perspective on Hypervisor Exploitation via Cross-Domain Attacks
- Behind the Curtain: How Shared Hosting Providers Respond to Vulnerability Notifications
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 1532.