INVESTIGACIÓN
Febrero de 2026: skills maliciosas, fugas silenciosas, desanonimización con LLM
Febrero de 2026 pone en el centro la cadena de suministro de los agentes de IA: las skills de terceros, paquetes de instrucciones y scripts, contienen código malicioso e inyecciones que los agentes siguen hasta el 80% de las veces. Los agentes pueden exfiltrar datos sin rastro en la respuesta, y los LLM convierten la desanonimización en una operación masiva. Cierran el mes Android y las passkeys.
Archivo: reconstrucción escrita en noviembre de 2026
1. "Do Not Mention This to the User": Detecting and Understanding Malicious Agent Skills in the Wild
arXiv · Yi Liu, Zhihao Chen, Yanjun Zhang, Gelei Deng et al. · Seguridad de IA y LLM
En breve: De 98.380 skills para agentes de programación, 157 son maliciosas, la mitad de un solo actor que imita marcas conocidas.
Los agentes de programación usan skills de terceros, instrucciones y scripts que corren con los privilegios del usuario. Los autores analizan 98.380 skills de dos registros: 157 son maliciosas, con 632 vulnerabilidades y 13 técnicas de ataque. Predominan el robo de credenciales y las instrucciones hostiles en la documentación; más de la mitad viene de un actor. Todas se retiraron.
Por qué importa. Las skills son un nuevo canal de la cadena de suministro de software: hay que verificarlas como cualquier dependencia antes de instalarlas.
2. Skill-Inject: Measuring Agent Vulnerability to Skill File Attacks
arXiv · David Schmotz, Luca Beurer-Kellner, Sahar Abdelnabi, Maksym Andriushchenko · Seguridad de IA y LLM
En breve: Las inyecciones ocultas en archivos de skills funcionan hasta el 80% de las veces contra los agentes más avanzados.
Las skills amplían a los agentes con código, conocimiento e instrucciones de terceros, y se vuelven una nueva superficie de inyección. SkillInject reúne 202 pares de ataque y tarea, desde inyecciones evidentes hasta instrucciones sutiles en textos legítimos. Los agentes más avanzados caen hasta el 80% de las veces, con exfiltración, acciones destructivas y conductas tipo ransomware.
Por qué importa. Modelos mayores o filtros simples no bastan: hace falta autorización según el contexto antes de dar a los agentes acceso a sistemas.
3. Silent Egress: When Implicit Prompt Injection Makes LLM Agents Leak Without a Trace
arXiv · Qianlong Lan, Anuj Kaul, Shaun Jones, Stephanie Westrum · Seguridad de IA y LLM
En breve: Una vista previa de enlace envenenada hace que un agente exfiltre datos mientras su respuesta parece inocua.
Los agentes que abren URL leen también títulos, metadatos y vistas previas generadas automáticamente. Una página maliciosa puede esconder ahí instrucciones que llevan al agente a enviar datos sensibles al exterior, mientras la respuesta final queda limpia. En 480 pruebas el ataque funciona el 89% de las veces y el 95% elude los controles de salida. Rinden más las defensas de red.
Por qué importa. El tráfico saliente de los agentes debe controlarse como riesgo de fuga: revisar solo las respuestas no lo detecta.
4. AgentDyn: Are Your Agent Security Defenses Deployable in Real-World Dynamic Environments?
arXiv · Hao Li, Ruoyao Wen, Shanghao Shi, Ning Zhang et al. · Seguridad de IA y LLM
En breve: AgentDyn muestra que casi todas las defensas contra la inyección indirecta son débiles o bloquean el trabajo útil.
Las defensas de los agentes contra la inyección indirecta de prompts se prueban en benchmarks estáticos y simples. AgentDyn propone 60 tareas abiertas y 560 casos de inyección en compras, GitHub y vida diaria, con planificación dinámica e instrucciones útiles de terceros. De diez defensas recientes, casi todas resultan inseguras o tan restrictivas que bloquean también las tareas legítimas.
Por qué importa. Los resultados de laboratorio de las defensas para agentes no se trasladan al uso real: conviene verificar lo que dicen los proveedores.
Leer el artículo · PDF · Código
5. Large-scale online deanonymization with LLMs
arXiv · Simon Lermen, Daniel Paleka, Joshua Swanson, Michael Aerni et al. · Privacidad
En breve: Un agente LLM vincula perfiles seudónimos con personas reales con un 68% de exhaustividad al 90% de precisión.
Con internet, un agente LLM reidentifica a usuarios de Hacker News y participantes en entrevistas solo a partir de perfiles seudónimos y conversaciones, como un investigador tras horas de trabajo. Con datos no estructurados de varias plataformas, extrae pistas, busca candidatos y verifica coincidencias: logra un 68% de exhaustividad al 90% de precisión, frente a casi cero de los métodos clásicos.
Por qué importa. El seudónimo ya no protege: los datos seudonimizados y los perfiles de empleados deben tratarse como potencialmente identificables.
6. The Trigger in the Haystack: Extracting and Reconstructing LLM Backdoor Triggers
arXiv · Blake Bullwinkel, Giorgio Severi, Keegan Hines, Amanda Minnich et al. · Seguridad de IA y LLM
En breve: Un escáner recupera los disparadores de puertas traseras ocultas en los LLM usando solo inferencia.
Saber si un modelo de lenguaje esconde una puerta trasera durmiente es un problema abierto. Los autores observan que estos modelos tienden a memorizar los datos de envenenamiento, que se pueden hacer aflorar, y muestran señales típicas en la salida y en las cabezas de atención cuando aparece el disparador. El escáner resultante no necesita conocerlo y lo reconstruye en muchos modelos.
Por qué importa. Verificar modelos de terceros antes de adoptarlos se vuelve viable: un control útil para quien integra LLM en sus productos.
7. Clouding the Mirror: Stealthy Prompt Injection Attacks Targeting LLM-based Phishing Detection
arXiv · Takashi Koide, Hiroki Nakano, Daiki Chiba · Seguridad de IA y LLM
En breve: Los sitios de phishing pueden esconder instrucciones que engañan a los detectores basados en LLM.
Los LLM multimodales se usan para reconocer sitios de phishing analizando URL, HTML y la página renderizada. Pero quien crea el sitio controla esos elementos y puede insertar instrucciones invisibles para el usuario. La primera evaluación sistemática muestra que hasta los mejores modelos caen, en laboratorio y en sitios reales. La defensa InjectDefuser reduce el éxito.
Por qué importa. Los filtros antiphishing con IA pueden ser manipulados por los propios atacantes: no son un control infalible.
8. Identifying Adversary Tactics and Techniques in Malware Binaries with an LLM Agent
arXiv · Zhou Xuan, Xiangzhe Xu, Mingwei Zheng, Louis Zheng-Hua Tan et al. · Malware y amenazas
En breve: TTPDetect, un agente LLM, reconoce tácticas y técnicas de los atacantes en el código del malware con un 87% de precisión.
Reconocer las técnicas de un malware es difícil si el binario no tiene símbolos y el comportamiento está disperso. TTPDetect acota los puntos de análisis con recuperación semántica y usa un agente que explora el contexto función a función. En código descompilado logra un 93% de precisión y exhaustividad; en malware real recupera el 85,7% de las técnicas y halla 10,5 más.
Por qué importa. Un análisis más rápido de las muestras acelera la respuesta a incidentes y la reconstrucción de lo que hizo el atacante.
9. Unveiling the Global Landscape of Android Security Updates
IEEE Transactions on Dependable and Secure Computing · Haiyun Deng, Güliz Seray Tuncay, Abbas Acar, Esteban Luques et al. · Web y móvil
En breve: Diez años de actualizaciones Android en 904 dispositivos: grandes retrasos y fallos explotables sin interacción.
Los autores analizan 567.000 registros de actualizaciones de seguridad de Android de 2014 a 2024, de 904 dispositivos de seis fabricantes en 98 países. Los plazos varían mucho según fabricante, tipo de dispositivo y región, también por la fragmentación. En los dispositivos sin actualizar, cerca del 89,7% de las vulnerabilidades se explota sin interacción del usuario y con baja complejidad.
Por qué importa. Los móviles de empresa sin actualizar son una puerta fácil: la política de renovación y actualización pesa en el riesgo.
10. State of Passkey Authentication in the Wild: A Census of the Top 100K sites
arXiv · Prince Bhardwaj, Nishanth Sastry · Identidad y autenticación
En breve: El primer censo de passkeys en los 100.000 sitios más visitados liga su adopción a la popularidad y a proveedores externos.
Las passkeys, credenciales FIDO2 sincronizadas entre dispositivos, prometen accesos sin contraseña y resistentes al phishing, pero su difusión real era desconocida. Los autores crean Fidentikit, un rastreador con 43 heurísticas, y lo aplican a los 100.000 dominios más populares. La adopción crece con la popularidad y depende a menudo de proveedores externos.
Por qué importa. Las passkeys reducen el riesgo de robo de credenciales, pero su adopción sigue concentrada en los grandes sitios.
Las tendencias del mes
Cadena de suministro de software
8 artículos del mes sobre este tema
Las skills para agentes de IA se convierten en una nueva cadena de suministro. En los registros públicos aparecen decenas de skills maliciosas, muchas de un mismo actor que imita marcas conocidas, y hasta las inyecciones más sutiles en sus archivos se ejecutan hasta el 80% de las veces. Valen las reglas de las dependencias de software: verificación, procedencia y mínimo privilegio.
Artículos citados:
- "Do Not Mention This to the User": Detecting and Understanding Malicious Agent Skills in the Wild
- Skill-Inject: Measuring Agent Vulnerability to Skill File Attacks
Seguridad de IA y LLM
401 artículos del mes sobre este tema
Con 401 de 1.619 artículos, la seguridad de la IA sigue siendo el primer tema. Los agentes pueden exfiltrar datos mientras la respuesta parece inocua, y casi todas las defensas contra la inyección indirecta fallan en entornos realistas. En defensa llegan escáneres que recuperan puertas traseras en los modelos, mientras la desanonimización con LLM hace identificables perfiles antes protegidos por seudónimos.
Artículos citados:
- Silent Egress: When Implicit Prompt Injection Makes LLM Agents Leak Without a Trace
- AgentDyn: Are Your Agent Security Defenses Deployable in Real-World Dynamic Environments?
- The Trigger in the Haystack: Extracting and Reconstructing LLM Backdoor Triggers
- Large-scale online deanonymization with LLMs
Malware y amenazas
33 artículos del mes sobre este tema
En las amenazas tradicionales, los LLM trabajan en ambos frentes. Un agente reconoce las técnicas de los atacantes en el código del malware y descubre otras nuevas, pero los sitios de phishing pueden esconder instrucciones que engañan a los detectores con LLM. Mientras, diez años de datos de Android muestran que los dispositivos sin actualizar siguen siendo fáciles de atacar.
Artículos citados:
- Identifying Adversary Tactics and Techniques in Malware Binaries with an LLM Agent
- Clouding the Mirror: Stealthy Prompt Injection Attacks Targeting LLM-based Phishing Detection
- Unveiling the Global Landscape of Android Security Updates
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 1619.