INVESTIGACIÓN
Junio de 2026: skills maliciosas para agentes, secuestros BGP invisibles y Encrochat
En junio de 2026 las extensiones de los agentes de programación se convierten en una nueva dependencia de la cadena de suministro, y los detectores actuales solo ven una parte. El despliegue parcial de ROV permite secuestros BGP invisibles para la víctima, AirDrop y Quick Share muestran fallos sin clic y un estudio reconstruye cómo la policía vulneró Encrochat.
Archivo: reconstrucción escrita en noviembre de 2026
1. MalSkillBench: A Runtime-Verified Benchmark of Malicious Agent Skills
arXiv · Wenbo Guo, Wei Zeng, Chengwei Liu, Xiaojun Jia et al. · Seguridad de IA y LLM
En breve: MalSkillBench reúne casi 4.000 skills maliciosas para agentes de programación, verificadas en ejecución, y mide los detectores.
Las skills son paquetes de instrucciones, scripts y permisos con los que los agentes de programación se amplían: son código y prompt a la vez. El benchmark incluye 3.944 skills maliciosas verificadas en sandbox y 703 recogidas en la red, dominadas por una campaña de robo de criptomonedas. El mejor detector halla el 98,4% de las inyecciones de código pero falla ante prompt injection.
Por qué importa. Los desarrolladores instalan skills de terceros como si fueran documentos: es una nueva puerta de entrada a los sistemas corporativos que los controles actuales cubren mal.
2. ARVO: Atlas of Reproducible Vulnerabilities for Open-Source Software
IEEE European Symposium on Security and Privacy · Xiang Mei, Jordi Del Castillo, Pulkit Singh Singaria, Haoran Xi et al.
En breve: ARVO hace reproducibles más de 6.100 vulnerabilidades reales de 311 proyectos de código abierto, cada una con su parche.
Los conjuntos de vulnerabilidades casi siempre sacrifican la reproducibilidad por tamaño y variedad. Los autores identifican los principales obstáculos para reproducir fallos a gran escala y los resuelven para OSS-Fuzz: ARVO contiene más de 6.100 vulnerabilidades que se pueden recompilar, activar y analizar entre versiones, reproduce el 81% e identifica cada parche.
Por qué importa. Las herramientas que prometen encontrar o corregir fallos de forma automática deben medirse en casos reales y repetibles: ARVO ofrece esa base común.
3. Understanding the Stealthy BGP Hijacking Risk in the ROV Era
Network and Distributed System Security Symposium · Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu et al. · Seguridad de red
En breve: Con ROV desplegado solo en parte, el tráfico de una red protegida puede desviarse sin que la víctima vea rutas maliciosas.
Los ROA ya cubren el 57% de los prefijos IPv4, pero la validación ROV solo funciona en unos pocos miles de redes. Los autores estudian un efecto colateral: una red protegida por vecinos que descartan rutas falsas puede ver su tráfico desviado por redes no actualizadas en el camino. El secuestro es invisible en el plano de control y elude las defensas basadas en rutas.
Por qué importa. Quien considere ROV una protección suficiente puede sufrir intercepción de tráfico sin señal alguna: la vigilancia debe mirar también el camino real de los paquetes.
4. A Real-World Law-Enforcement Hack: The Case of Encrochat
CRYPTO · Martin R. Albrecht, Sunoo Park, Michael A. Specter, Douglas Stebila · Políticas, derecho y sociedad
En breve: El relato público más detallado hasta ahora de cómo la policía europea vulneró Encrochat en 2020.
Encrochat vendía móviles Android modificados con su propia PKI y una app de mensajería basada en el protocolo Signal, y era muy usada por el crimen organizado. En 2020 una operación coordinada permaneció dentro durante meses, recogiendo datos y metadatos históricos y en tiempo real usados en más de 6.000 detenciones. Los autores reconstruyen la infraestructura y su compromiso.
Por qué importa. El cifrado de extremo a extremo no protege si el proveedor controla dispositivo y actualizaciones: al evaluar plataformas cerradas hay que preguntarse quién puede enviar código a los terminales.
5. Protocol Prying: Systematic Vulnerability Research in the Apple AirDrop and Android Quick Share Proximity Transfer Protocols
USENIX WOOT Conference on Offensive Technologies · Arash Ale Ebrahim, Nils Ole Tippenhauer · Seguridad de sistemas y software
En breve: El primer estudio cruzado de AirDrop y Quick Share halla seis vulnerabilidades, tres alcanzables sin autenticación.
AirDrop y Quick Share, usados por más de cinco mil millones de dispositivos, aceptan conexiones de cualquiera cercano y procesan formatos complejos en servicios privilegiados. Los autores reconstruyen los protocolos, crean un fuzzer dedicado y hallan seis fallos: tres previos a la autenticación en AirDrop, dos en Quick Share de Samsung, uno que elude el cifrado, y un use-after-free en Windows.
Por qué importa. Los protocolos de proximidad son una superficie de ataque sin clic en dispositivos corporativos: conviene limitar la recepción a contactos conocidos.
6. RadKey: An LLM-Guided RF Backscatter System for Through-Wall Keystroke Inference
IEEE Symposium on Security and Privacy · Qijun Wang, Chunqi Qian, Huacheng Zeng · Hardware y canales laterales
En breve: RadKey recupera lo que se teclea a través de una pared con una pequeña etiqueta de radio sin batería junto al teclado.
Los ataques acústicos o por vibración a teclados suelen requerir sensores visibles a corta distancia y datos de entrenamiento de la víctima. RadKey usa una etiqueta pasiva que convierte vibraciones y sonidos de las teclas en un cambio de la señal de radio reflejada, leída a distancia a través de paredes. Sus rasgos sirven para distintos usuarios y teclados.
Por qué importa. Contraseñas y datos sensibles tecleados en oficinas compartidas pueden interceptarse sin acceso a la red: la seguridad física de los puestos también cuenta.
7. Kitten or Panda? Measuring the Specificity of Threat Group Behaviors in Public CTI Knowledge Bases
ACM Asia Conference on Computer and Communications Security · Aakanksha Saha, Martina Lindorfer, Juan Caballero · Malware y amenazas
En breve: Solo un tercio de los grupos de amenaza en MITRE ATT&CK tiene técnicas exclusivas: los perfiles públicos atribuyen mal.
Los autores analizan los perfiles de grupos de amenaza en MITRE ATT&CK y Malpedia. Solo el 34% de los grupos de ATT&CK usa técnicas que ningún otro usa; el software es más distintivo, con el 73%, pero baja al 24% en Malpedia. Combinar fuentes y añadir vulnerabilidades explotadas y técnicas de informes ayuda poco: los grupos con conductas exclusivas siguen bajo el 30%.
Por qué importa. Muchas evaluaciones de riesgo y reclamaciones dependen de la atribución: estas cifras muestran lo frágil que es cuando se basa solo en técnicas.
8. The Invisible Ink of the Android Malware World: A Longitudinal Study on the Usage of Covert Communication Channels
IEEE European Symposium on Security and Privacy · Zeya Umayya, Manan Aggarwal, Manan Chugh, Mann Nariya et al. · Malware y amenazas
En breve: En 3,5 millones de apps Android maliciosas, el uso de proxies, VPN y Tor para ocultar el mando y control llega al 50% en 2025.
El primer estudio longitudinal de canales encubiertos en malware Android analiza 3,5 millones de muestras de 2009 a julio de 2025. Las reglas estáticas hallan 288.000 apps de 511 familias que usan proxies, VPN o Tor; la cuota pasa del 0,3% en 2012 al 50% en 2025. Algunas familias combinan varios canales o los cambian a menudo: una lo hizo 40 veces.
Por qué importa. Bloquear servidores de mando por dirección funciona cada vez peor en móviles: hacen falta controles basados en el comportamiento de la app.
9. Agent-Assisted Side-Channel Attacks on Non-Prefix KV Cache in RAG
arXiv · He Sun, Shinan Liu, Siyuan Ma, Junhao Li et al. · Seguridad de IA y LLM
En breve: SpliceLeak aprovecha los tiempos de la caché compartida en servicios de modelos de lenguaje para extraer prompts privados ajenos.
Para acelerar los servicios con recuperación de documentos, los motores de inferencia reutilizan bloques de caché aunque no estén al inicio de la petición. Los autores muestran que el modo determinista de alinear esos bloques deja una firma temporal medible. SpliceLeak la usa para estimar la longitud de prompts ocultos y extraer su contenido token a token, hasta el 100% en vLLM.
Por qué importa. Quien use servicios de IA compartidos entre clientes debe saber que las optimizaciones de rendimiento pueden filtrar datos introducidos por otros.
10. FragFuse: Bypassing Access Control of Large Language Model Agents via Memory-Based Query Fragmentation and Fusion
arXiv · Zixin Rao, Wentian Zhu, Chan Aristella Lu, Zhaorun Chen et al. · Identidad y autenticación
En breve: FragFuse elude los controles de acceso de agentes de IA dividiendo una petición prohibida en fragmentos guardados en memoria.
Los agentes de IA usan memoria a largo plazo y, cada vez más, controles que bloquean peticiones no permitidas. FragFuse divide el contenido prohibido en fragmentos inocuos, logra que se guarden en memoria en interacciones separadas y los recompone con una petición final sin nada sospechoso. El ataque supera tres mecanismos de control de acceso en cuatro escenarios.
Por qué importa. Filtrar cada petición no basta cuando el agente recuerda: los controles deben considerar también lo que la memoria reúne con el tiempo.
Las tendencias del mes
Seguridad de IA y LLM
513 artículos del mes sobre este tema
Con 513 de 2.072 artículos, la seguridad de la IA sigue siendo el primer tema. El riesgo pasa del modelo al ecosistema que lo rodea: skills de terceros instaladas en agentes, cachés compartidas entre clientes de servicios de inferencia y memorias a largo plazo que recomponen peticiones prohibidas. Cada componente añadido abre un nuevo canal.
Artículos citados:
- MalSkillBench: A Runtime-Verified Benchmark of Malicious Agent Skills
- Agent-Assisted Side-Channel Attacks on Non-Prefix KV Cache in RAG
- FragFuse: Bypassing Access Control of Large Language Model Agents via Memory-Based Query Fragmentation and Fusion
Malware y amenazas
67 artículos del mes sobre este tema
Varios trabajos miden lo difícil que es ver y atribuir a los atacantes. La mitad del malware Android oculta ya el mando y control tras proxies, VPN o Tor, y los perfiles públicos de grupos de amenaza apenas distinguen unos de otros. El caso Encrochat recuerda que también los investigadores explotan el control de los dispositivos más que la criptografía.
Artículos citados:
- Kitten or Panda? Measuring the Specificity of Threat Group Behaviors in Public CTI Knowledge Bases
- The Invisible Ink of the Android Malware World: A Longitudinal Study on the Usage of Covert Communication Channels
- A Real-World Law-Enforcement Hack: The Case of Encrochat
Seguridad de red
58 artículos del mes sobre este tema
Las defensas adoptadas a medias pueden crear nuevos puntos ciegos. ROV desplegado en parte permite secuestros BGP invisibles para la víctima, los protocolos de proximidad aceptan datos de cualquiera cercano y una etiqueta de radio pasiva lee el teclado a través de una pared. La superficie de ataque abarca red, aire y espacio físico.
Artículos citados:
- Understanding the Stealthy BGP Hijacking Risk in the ROV Era
- Protocol Prying: Systematic Vulnerability Research in the Apple AirDrop and Android Quick Share Proximity Transfer Protocols
- RadKey: An LLM-Guided RF Backscatter System for Through-Wall Keystroke Inference
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 2072.