INVESTIGACIÓN
Marzo de 2026: un gusano entre agentes de IA, claves Bitcoin y cuántica, troyanos en chips
Marzo de 2026 es el mes de OpenClaw: el framework abierto para agentes locales resulta frágil y AgentWorm se propaga de una instancia a otra con un solo mensaje. Nuevas estimaciones rebajan los recursos cuánticos necesarios para romper las claves de las criptomonedas. En hardware llegan troyanos invisibles al microscopio, claves Falcon recuperadas en frío y modelos robados a la GPU a un metro.
Archivo: reconstrucción escrita en noviembre de 2026
1. AgentWorm: Self-Propagating Attacks Across LLM Agent Ecosystems
arXiv · Yihao Zhang, Zeming Wei, Xiaokun Luan, Chengcan Wu et al. · Seguridad de IA y LLM
En breve: AgentWorm es el primer gusano que se autorreplica entre agentes de IA en producción, a partir de un solo mensaje.
OpenClaw, plataforma abierta con más de 40.000 instancias activas, da a los agentes configuración persistente, ejecución de herramientas y mensajería. AgentWorm secuestra la configuración, ejecuta una carga en cada reinicio y se propaga a los contactos sin más intervención. En cinco LLM acierta el 63% de las veces, y los controles que lo frenarían no están activos en ninguna instalación observada.
Por qué importa. Un gusano entre agentes puede afectar a muchas organizaciones en poco tiempo: un escenario de acumulación para quien usa agentes autónomos.
2. Don't Let the Claw Grip Your Hand: A Security Analysis and Defense Framework for OpenClaw
arXiv · Zhengyang Shan, Jiayun Xin, Yue Zhang, Minghui Xu · Seguridad de IA y LLM
En breve: Sin defensas propias, OpenClaw solo bloquea de media el 17% de 47 ataques; la aprobación humana lo sube al 92%.
OpenClaw ejecuta comandos de shell por el usuario y no tiene restricciones de seguridad nativas: depende solo del LLM. En 47 escenarios de ataque tomados de MITRE ATLAS y ATT&CK, la defensa media es del 17%, con gran exposición a la fuga del sandbox. Los autores añaden una capa de aprobación humana que frena ocho ataques graves y sube la defensa a entre el 19% y el 92%.
Por qué importa. Los agentes con acceso a la shell necesitan aprobación humana en las acciones de riesgo: el modelo solo no basta.
3. Quantifying Frontier LLM Capabilities for Container Sandbox Escape
arXiv · Rahul Marchand, Art O Cathain, Jerome Wynne, Philippos Maximos Giavridis et al. · Seguridad de sistemas y software
En breve: Un benchmark mide la capacidad de los LLM para salir de contenedores Docker: si hay un fallo, lo encuentran y explotan.
Los agentes de IA suelen aislarse en contenedores Docker u OCI. SandboxEscapeBench mide con seguridad la capacidad de un LLM para escapar, con un sandbox anidado cuya capa externa no tiene vulnerabilidades conocidas. Los escenarios van de configuraciones erróneas y privilegios excesivos a fallos del kernel y de la orquestación. Cuando hay vulnerabilidades, los modelos las detectan y las explotan.
Por qué importa. El contenedor no basta como garantía para los agentes: la configuración y actualización del aislamiento son controles críticos.
4. AttriGuard: Defeating Indirect Prompt Injection in LLM Agents via Causal Attribution of Tool Invocations
arXiv · Yu He, Haozhe Zhu, Yiming Li, Shuo Shao et al. · Seguridad de IA y LLM
En breve: AttriGuard pregunta por qué el agente quiere usar una herramienta y bloquea las acciones dictadas por contenido externo.
Las defensas contra la inyección indirecta intentan reconocer textos maliciosos y fallan con ataques nuevos. AttriGuard cambia de enfoque: en cada llamada a una herramienta reejecuta el agente con las observaciones externas atenuadas y comprueba si la llamada nace de la intención del usuario. En cuatro LLM y dos benchmarks anula los ataques estáticos y resiste a los adaptativos.
Por qué importa. Vigilar las acciones del agente, no solo los textos que lee, hace las defensas más sólidas frente a ataques desconocidos.
5. Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations
arXiv · Ryan Babbush, Adam Zalcman, Craig Gidney, Michael Broughton et al. · Criptografía
En breve: Nuevas estimaciones: menos de medio millón de cúbits físicos podrían romper en minutos las claves elípticas de las criptomonedas.
Los autores estiman los recursos para que Shor rompa el logaritmo discreto en secp256k1, la curva de Bitcoin y muchas blockchains: unos 1.200-1.450 cúbits lógicos y 70-90 millones de puertas Toffoli, validados con una prueba de conocimiento cero. En hardware superconductor bastarían minutos y menos de medio millón de cúbits físicos, lo justo para atacar transacciones antes de confirmarse.
Por qué importa. La migración poscuántica de las criptomonedas y de la custodia de activos digitales tiene plazos más cortos de lo previsto.
6. FrozenTRU: Cold Boot Attacks on NTRU-Based Hash-and-Sign Signatures
IACR Transactions on Cryptographic Hardware and Embedded Systems · Hiroto Kaihara, Mehdi Tibouchi, Masayuki Abe · Criptografía
En breve: Un ataque de arranque en frío recupera las claves de la firma poscuántica Falcon en una Raspberry Pi.
Los ataques de arranque en frío leen la RAM recién apagada, que aún conserva casi todos los datos. Los autores los aplican a Falcon, firma poscuántica basada en NTRU con claves en coma flotante, y a su predecesora DLP. Pese a los errores numéricos recuperan claves completas con buena probabilidad, también en una Raspberry Pi real, y proponen contramedidas ligeras.
Por qué importa. Las implementaciones poscuánticas deben proteger las claves en memoria también frente a ataques físicos, sobre todo en dispositivos expuestos.
7. Hardware Trojans from Invisible Inversions: On the Trojanizability of Standard Cell Libraries
IEEE Symposium on Security and Privacy · Kolja Dorschel, René Walendy, Lukas Plätz, Thorben Moos et al. · Seguridad de IA y LLM
En breve: Celdas lógicas distintas pero idénticas al microscopio electrónico permiten esconder troyanos de hardware en los chips.
Con imágenes al microscopio electrónico de cuatro circuitos integrados, los autores evalúan cuánto se prestan las bibliotecas de celdas estándar a ocultar troyanos de hardware. En todas hallan celdas con funciones lógicas distintas pero indistinguibles en las imágenes de la cara posterior. Con ellas crean un troyano invisible: una puerta trasera de escalada de privilegios en un núcleo RISC-V Ibex.
Por qué importa. La cadena de suministro de semiconductores puede ocultar manipulaciones difíciles de detectar incluso con inspección física.
8. Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field
IEEE Conference on Secure and Trustworthy Machine Learning · Peter Horvath, Ilia Shumailov, Łukasz Chmielewski, Lejla Batina et al. · Hardware y canales laterales
En breve: Las emisiones electromagnéticas de los Tensor Core de las GPU revelan los parámetros de los modelos, incluso a un metro.
Los grandes modelos cuestan millones y atraen el robo. Kraken es el primer ataque de canal lateral que extrae parámetros de los Tensor Core de las GPU, las unidades hoy más usadas, analizando las emisiones electromagnéticas cercanas con correlación de potencia. Un estudio exploratorio muestra que la radiación filtra información de LLM hasta 100 cm, incluso tras un cristal.
Por qué importa. Los modelos propietarios son activos muy valiosos: la protección física de sus servidores pasa a formar parte de la defensa de la propiedad intelectual.
9. Beyond Control: Exploring Novel File System Objects for Data-Only Attacks on Linux Systems
IEEE Transactions on Dependable and Secure Computing · Jinmeng Zhou, Ziyue Pan, Jiayi Hu, Jiaxun Zhu et al. · Seguridad de sistemas y software
En breve: Objetos del sistema de archivos de Linux permiten exploits del kernel sin tocar el flujo de control, pese a todas las defensas.
Con la integridad del flujo de control, los atacantes apuntan a datos críticos del kernel. Los autores los buscan de forma semiautomática en el sistema de archivos de Linux, los clasifican por estrategia y muestran cómo saltar el aislamiento que los protege, a menudo sin vencer KASLR. Validan el método con 18 CVE reales y escriben 10 exploits completos con todas las mitigaciones activas.
Por qué importa. Las mitigaciones del kernel no cierran la puerta a la escalada de privilegios: parchear a tiempo sigue siendo la principal defensa.
10. NetPuzz: Testing Network Printers via Fully Black-Box and Feedback-Guided Protocol Fuzzing
IEEE Transactions on Dependable and Secure Computing · Jia-Ju Bai, Rui-Nan Hu, Chenglong Li, Jianjun Chen et al. · Seguridad de sistemas y software
En breve: NetPuzz prueba impresoras de red como caja negra y halla 25 vulnerabilidades nuevas en siete modelos comerciales.
Las impresoras de red tienen fallos explotables y firmware cerrado. NetPuzz hace fuzzing de los protocolos de impresión sin código fuente, ingeniería inversa ni emulación: genera secuencias de paquetes guiadas por las respuestas de la impresora y aísla el caso mínimo que provoca el fallo. En siete impresoras comerciales halla 25 vulnerabilidades nuevas, 23 con CVE o CNVD.
Por qué importa. Las impresoras son dispositivos de red a menudo olvidados en los inventarios: pueden servir de entrada a la red corporativa.
Las tendencias del mes
Seguridad de IA y LLM
485 artículos del mes sobre este tema
Con 485 de 1.902 artículos, la seguridad de la IA sigue siendo el primer tema, y marzo la centra en agentes con acceso al sistema. OpenClaw por sí solo frena menos de un ataque de cada cinco, un gusano se propaga entre instancias con un mensaje y los LLM saben explotar fallos de contenedores. Las defensas más prometedoras, como AttriGuard y la aprobación humana, vigilan acciones y no textos.
Artículos citados:
- AgentWorm: Self-Propagating Attacks Across LLM Agent Ecosystems
- Don't Let the Claw Grip Your Hand: A Security Analysis and Defense Framework for OpenClaw
- Quantifying Frontier LLM Capabilities for Container Sandbox Escape
- AttriGuard: Defeating Indirect Prompt Injection in LLM Agents via Causal Attribution of Tool Invocations
Criptografía poscuántica
63 artículos del mes sobre este tema
La transición poscuántica gana urgencia en dos frentes. Las nuevas estimaciones reducen a menos de medio millón de cúbits físicos el hardware necesario para romper en minutos las claves de las criptomonedas, mientras el ataque en frío a Falcon recuerda que los nuevos algoritmos también exigen proteger físicamente las claves.
Artículos citados:
- Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations
- FrozenTRU: Cold Boot Attacks on NTRU-Based Hash-and-Sign Signatures
Hardware y canales laterales
29 artículos del mes sobre este tema
El hardware sigue siendo un punto ciego. Celdas lógicas indistinguibles al microscopio permiten ocultar troyanos en los chips ya en la fabricación, y las emisiones electromagnéticas de las GPU filtran los parámetros de los modelos incluso a un metro. La confianza en los proveedores y la seguridad física de los servidores siguen siendo parte del riesgo.
Artículos citados:
- Hardware Trojans from Invisible Inversions: On the Trojanizability of Standard Cell Libraries
- Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 1902.