INVESTIGACIÓN
Mayo de 2026: la computación confidencial cede ante hardware casero, fallos OAuth y MCP
Mayo de 2026 es el mes de IEEE S&P. Con hardware barato en el bus de memoria, dos equipos rompen Intel SGX, TDX y AMD SEV-SNP, y el Rowhammer en GPU lleva hasta el control del sistema. Las herramientas MCP se combinan en cadenas que exfiltran datos, y los navegadores con agentes de IA eluden el aislamiento de sitios. OAuth, gestores de contraseñas y atribución completan el mes.
Archivo: reconstrucción escrita en noviembre de 2026
1. TEE.Fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition
IEEE Symposium on Security and Privacy · Jalen Chuang, Alex Seto, Nicolas Berrios, Stephan van Schaik et al. · Hardware y canales laterales
En breve: Con piezas compradas en internet, TEE.Fail intercepta el bus DDR5 y extrae claves de Intel SGX, TDX y AMD SEV-SNP.
El paso de los enclaves de los PC a las máquinas virtuales confidenciales en servidores quitó al cifrado de memoria la integridad y la protección contra repeticiones. Los autores construyen con piezas de comercio electrónico un interceptor del bus DDR5 y, gracias al cifrado determinista, extraen claves secretas, en algunos casos de atestación, de máquinas en estado de plena confianza.
Por qué importa. Muchos servicios en la nube prometen confidencialidad incluso frente al proveedor: quien confía en ello debe saber que el acceso físico la anula a bajo coste.
2. Battering RAM: Low-Cost Interposer Attacks on Confidential Computing via Dynamic Memory Aliasing
IEEE Symposium on Security and Privacy · Jesse De Meulemeester, David Oswald, Ingrid M.R. Verbauwhede, Jo Van Bulck · Hardware y canales laterales
En breve: Un interposer DDR4 barato altera al vuelo las direcciones de memoria y rompe la atestación de SGX y SEV-SNP.
Las tecnologías de computación confidencial cifran la memoria y, tras recientes ataques de software, comprueban los alias de memoria al arrancar. Battering RAM es un interposer DDR4 barato que cambia las líneas de dirección en ejecución y elude esos controles. Los autores leen y escriben en claro en Scalable SGX, extraen la clave de aprovisionamiento y rompen de nuevo la atestación de AMD SEV-SNP.
Por qué importa. Las defensas de firmware contra el aliasing no frenan a un atacante físico: el riesgo afecta sobre todo a centros de datos de terceros.
3. GPUBreach: Privilege Escalation Attacks on GPUs using Rowhammer
IEEE Symposium on Security and Privacy · Chris S. Lin, Yuqin Yan, Guozhen Ding, Joy Qu et al. · Hardware y canales laterales
En breve: GPUBreach usa Rowhammer en la memoria de las GPU NVIDIA para escalar privilegios hasta controlar todo el sistema.
El Rowhammer en GPU solo se había usado para alterar al azar los pesos de los modelos. GPUBreach localiza dónde se asignan las tablas de páginas de la GPU y las altera con bit flips dirigidos: un proceso sin privilegios accede a la memoria de otros procesos o clientes, extrae claves y modifica el código de los modelos. Desde ahí obtiene una shell de root en la CPU, eludiendo la IOMMU.
Por qué importa. Las GPU compartidas en la nube se vuelven un punto de compromiso para todos sus clientes: un riesgo de acumulación a valorar.
4. Parasites in the Toolchain: A Large-Scale Analysis of Attacks on the MCP Ecosystem
IEEE Symposium on Security and Privacy · Shuli Zhao, Qinsheng Hou, Zihan Zhan, Yanhao Wang et al. · Seguridad de IA y LLM
En breve: Instrucciones ocultas en los datos encadenan herramientas MCP legítimas en flujos que exfiltran información privada.
Con el Model Context Protocol, los LLM orquestan cadenas de herramientas. Los autores describen ataques parásitos: instrucciones ocultas en fuentes externas leídas durante una tarea legítima ensamblan herramientas inocuas en un flujo que recoge y exfiltra datos privados, sin interacción de la víctima. Un censo de 12.230 herramientas en 1.360 servidores MCP halla muchos componentes explotables.
Por qué importa. MCP carece de aislamiento y mínimo privilegio: conectar herramientas de empresa a un agente exige limitar con cuidado sus permisos.
5. Site Isolation is Dead: How Site Isolation is Broken in Agentic Browsers and Extensions
IEEE Symposium on Security and Privacy · Suyoung Lee, Seongho Keum, C W Lee, Dongwon Shin et al. · Seguridad de IA y LLM
En breve: Todos los navegadores y extensiones con agentes de IA analizados permiten eludir el aislamiento entre sitios.
El aislamiento de sitios impide que una página maliciosa lea datos de otros sitios. Pero los navegadores con agentes de IA conectan procesos privilegiados y páginas no fiables mediante canales internos. Con dos navegadores abiertos y siete extensiones, los autores usan esos canales para inyectar prompts y robar datos del usuario de otros sitios. Todos los productos probados son vulnerables.
Por qué importa. Los navegadores con agentes de IA reabren un riesgo que el aislamiento de sitios había cerrado: su adopción en empresas debe valorarse con cuidado.
6. Credential Extraction Attacks Against Compromised Credential Checking Services of Password Managers
IEEE Symposium on Security and Privacy · Yihe Duan, D Y Wang, Yutong Li · Identidad y autenticación
En breve: Las comprobaciones de contraseñas filtradas en los gestores dejan rastros que identifican a usuarios y ayudan a adivinar contraseñas.
Muchos gestores comprueban si las credenciales guardadas aparecen en bases de filtraciones mediante servicios como Have I Been Pwned, con consultas k-anónimas. Pero las consultas son deterministas y siguen patrones reconocibles. Un servicio curioso puede identificar entre el 83% y el 88% de los usuarios y subir un 15-30% el acierto al primer intento. Diez de 14 gestores son vulnerables.
Por qué importa. Incluso las funciones de seguridad pueden filtrar información: hay que evaluar a los terceros en la cadena de los gestores de contraseñas.
7. Audience Injection Attacks: A New Class of Attacks on Web-Based Authorization and Authentication Standards
IEEE Symposium on Security and Privacy · Pedram Hosseyni, Ralf Küsters, Tim Würtele · Identidad y autenticación
En breve: Una nueva clase de ataques a OAuth y OpenID Connect permite suplantar a usuarios incluso en la banca abierta.
Los ataques de audience injection afectan a estándares como OAuth 2.0, OpenID Connect y FAPI, usados también en banca abierta, seguros y sanidad. Aprovechan cómo se gestiona el destinatario en la autenticación de clientes por firma cuando intervienen varios servidores. El atacante puede suplantar usuarios y acceder a sus recursos. Una docena de estándares está en revisión.
Por qué importa. Las plataformas aseguradoras y financieras que usan estos estándares deben comprobar que sus proveedores aplican las correcciones.
8. Demystifying the (In)Security of Oauth-Based Account Linking in Connector Ecosystems
IEEE Symposium on Security and Privacy · Kaixuan Luo, Xianbo Wang, Pui Ho Adonis Fung, Wing Cheong Lau · Web y móvil
En breve: La vinculación de cuentas OAuth en los conectores de apps y agentes de IA permite tomar el control de cuentas ajenas.
Apps, plataformas de automatización y agentes de IA se conectan a herramientas externas con conectores OAuth, llevando el protocolo más allá de su modelo original. Los autores muestran cómo estas conexiones rompen la integridad de la sesión y permiten robar cuentas: 40 proveedores son vulnerables, más 8 servicios OAuth gestionados.
Por qué importa. Cada conector que une un agente a los sistemas de la empresa es un posible punto de robo de cuentas: debe entrar en la evaluación del riesgo.
9. APT to Disagree: A Comparative Analysis of Attribution in Commercial TI
IEEE Symposium on Security and Privacy · Aksel Ethembabaoglu, Rolf van Wegberg, Yury Zhauniarovich, Michel J. G. van Eeten · Malware y amenazas
En breve: Siete proveedores de inteligencia de amenazas, 13,5 millones de indicadores: poco solapamiento y acuerdo solo sobre el país.
Los autores comparan 13,5 millones de indicadores de compromiso reunidos en 14 años por siete proveedores comerciales de inteligencia de amenazas. La mayoría de los actores seguidos por uno no los sigue ningún otro, y solo el 1% de los indicadores aparece en más de una fuente. El acuerdo al atribuir a un grupo atacante es moderado, mientras que sobre el país de origen es alto.
Por qué importa. La atribución de un ataque pesa en cláusulas como la exclusión por guerra: este estudio muestra cuánto puede variar entre fuentes.
10. Incalmo: an Autonomous Llm-Assisted System for Red Teaming Multi-Host Networks
IEEE Symposium on Security and Privacy · Brian Singer, Keane Lucas, Lakshmi Adiga, Meghna Jain et al. · Seguridad de IA y LLM
En breve: Incalmo se hace con los activos críticos en 37 de 40 redes corporativas simuladas, en menos de una hora y por menos de 15 dólares.
Las herramientas de ataque con LLM fallan al moverse entre muchos equipos de una red. Incalmo usa el LLM para planificar en tareas de alto nivel, ejecutadas por agentes especializados, con servicios que siguen el contexto y los activos obtenidos. En 40 redes simuladas de 22 a 50 equipos logra sus objetivos en 37 casos, frente a 3 de los sistemas previos, en 12-54 minutos.
Por qué importa. Los ataques complejos en varias fases se vuelven automatizables y baratos: la frecuencia y velocidad de los incidentes pueden crecer.
Las tendencias del mes
Hardware y canales laterales
57 artículos del mes sobre este tema
La computación confidencial pierde otra garantía. Dos equipos independientes, con hardware barato en el bus de memoria DDR4 y DDR5, extraen claves y rompen la atestación de Intel y AMD, mientras GPUBreach demuestra que el Rowhammer en GPU lleva al control total del sistema. Las protecciones prometidas por la nube resisten al software, no a quien tiene acceso físico.
Artículos citados:
- TEE.Fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition
- Battering RAM: Low-Cost Interposer Attacks on Confidential Computing via Dynamic Memory Aliasing
- GPUBreach: Privilege Escalation Attacks on GPUs using Rowhammer
Seguridad de IA y LLM
723 artículos del mes sobre este tema
Con 723 de 2.627 artículos, la seguridad de la IA sigue siendo el primer tema. Las herramientas MCP se combinan en cadenas que exfiltran datos, los navegadores con agentes de IA eluden el aislamiento de sitios y un sistema autónomo conquista redes corporativas simuladas en menos de una hora. Los agentes amplían tanto la superficie de ataque como la capacidad ofensiva.
Artículos citados:
- Parasites in the Toolchain: A Large-Scale Analysis of Attacks on the MCP Ecosystem
- Site Isolation is Dead: How Site Isolation is Broken in Agentic Browsers and Extensions
- Incalmo: an Autonomous Llm-Assisted System for Red Teaming Multi-Host Networks
Identidad y autenticación
85 artículos del mes sobre este tema
Los estándares de identidad muestran grietas estructurales. Una nueva clase de ataques alcanza OAuth y OpenID Connect hasta la banca abierta y los seguros, los conectores OAuth de apps y agentes permiten robar cuentas y las comprobaciones de contraseñas filtradas revelan más de lo debido. Las correcciones pasan por los organismos de normalización.
Artículos citados:
- Audience Injection Attacks: A New Class of Attacks on Web-Based Authorization and Authentication Standards
- Demystifying the (In)Security of Oauth-Based Account Linking in Connector Ecosystems
- Credential Extraction Attacks Against Compromised Credential Checking Services of Password Managers
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 2627.