INVESTIGACIÓN
Seguridad de los LLM en el centro, secretos robados por NVLink y XSS a través de DoH
Semana dominada por la seguridad de los LLM: defensas para agentes, para el fine-tuning y para las apps Android que los integran, más el watermarking del texto generado. En hardware, canales laterales en NVLink entre GPU y un ataque Spectre-v2 en engines JIT. Completan una nueva XSS por DoH, defectos del single sign-on móvil y la verificación del ratchet post-quantum de Signal.
1. NVBleed: Covert and Side-Channel Attacks on NVIDIA Multi-GPU Interconnect
ACM Conference on Computer and Communications Security · Yicheng Zhang, Ravan Nazaraliyev, Sankha Baran Dutta, Andrés Márquez et al. · Hardware y canales laterales
En breve: NVBleed muestra que los enlaces NVLink entre GPU filtran información y permiten canales encubiertos y ataques side-channel, incluso entre VM en Google Cloud.
Los autores analizan NVLink V1-V3 y hallan dos fuentes de leakage: variaciones de tiempo por contención y contadores de rendimiento, visibles desde una GPU remota. Logran un covert channel de más de 70 kbps y ataques side-channel que identifican aplicaciones con F1 de hasta 96,77%. La fuga se da también entre VM en GCP, con F1 superior al 88% en Blender.
Por qué importa. Los servidores multi-GPU compartidos en la nube suelen alojar cargas de machine learning sensibles. La interconexión entre GPU debe entrar en la superficie de ataque de los modelos de aislamiento.
Para quien asegura. Para quien asegura proveedores cloud o empresas que entrenan modelos en GPU compartidas, el aislamiento entre clientes es menos sólido de lo previsto. Un fallo en hardware muy extendido puede generar acumulación de exposiciones.
2. Safeguarding LLM Agents against Long-Horizon Threats via Shadow Memory
ACM Conference on Computer and Communications Security · Yuhui Wang, Tanqiu Jiang, Jiacheng Liang, Charles Fleming et al. · Seguridad de IA y LLM
En breve: ShadowMem protege a los agentes LLM de ataques que se desarrollan en muchos pasos, con una memoria dedicada a la seguridad inspirada en el shadow stack.
Los ataques long-horizon aprovechan interacciones largas entre usuario, agente y entorno para objetivos improbables en un solo turno. ShadowMem guarda en una memoria aparte el contexto crítico para la seguridad durante toda la ejecución y evalúa el riesgo de cada acción antes de ejecutarla. Los autores indican mejor detección que las defensas actuales, detección temprana y coste mínimo.
Por qué importa. Las defensas que miran un solo mensaje no ven un ataque repartido en muchos pasos. Una memoria de seguridad separada es un patrón sencillo para quien construye agentes.
Para quien asegura. Para empresas que confían tareas reales a agentes de IA, los controles probados sobre prompts aislados pueden dar falsa seguridad. Es una pregunta útil al evaluar los controles sobre el uso de IA.
3. Branch Target Reuse: Practical Spectre-v2 Attacks in JIT Engines via Stale Branch Prediction Entries
ACM Conference on Computer and Communications Security · Sander Wiebing, Yuhui Zhu, Alessandro Biondi, Cristiano Giuffrida · Hardware y canales laterales
En breve: Branch Target Reuse es el primer ataque Spectre-v2 práctico en engines JIT, que reutiliza entradas de predicción de saltos obsoletas tras la regeneración del código.
Los procesadores restauran la coherencia del código tras la automodificación, pero no siempre invalidan las entradas de predicción de saltos indirectos. En los engines JIT esas entradas obsoletas sobreviven y se reutilizan. Los autores lo prueban en SpiderMonkey, GraalVM y el JIT cBPF del kernel Linux, y recuperan el hash de la contraseña de root en minutos.
Por qué importa. Las mitigaciones Spectre existentes no cubren esta reutilización de entradas obsoletas en engines JIT. Recuerda que la ejecución transitoria sigue siendo un problema abierto en hardware extendido.
Para quien asegura. Para las aseguradoras, un ataque que extrae secretos eludiendo mitigaciones conocidas afecta a controles dados por eficaces. Dada la difusión de los engines JIT, es también un escenario de acumulación.
4. An Empirical Study of Observability Limits in Advanced Software Supply Chain Attacks
ACM Conference on Computer and Communications Security · Zhuoran Tan, Wenbo Guo, Jiewen Luo, Taylor Brierley et al. · Cadena de suministro de software
En breve: SynthChain es un dataset multi-fuente con verdad de base para ataques avanzados a la cadena de suministro de software y muestra los límites de la observabilidad en runtime.
Los ataques avanzados a la cadena de suministro dejan evidencia fragmentada. Los autores publican SynthChain, siete escenarios en PyPI, npm y C++, con 2.919 indicadores de compromiso verificados en 22 logs. Ninguna fuente única reconstruye más del 40% de los pasos; unir dos mejora la reconstrucción unas 1,6 veces, pero importa qué fuentes se combinan.
Por qué importa. Reconstruir una cadena de ataque requiere varias fuentes de telemetría, no solo más datos. El trabajo ofrece guías de planificación de telemetría útiles para los defensores.
Para quien asegura. Para siniestros y forense ligados a la cadena de suministro, una sola fuente de log suele ser insuficiente para reconstruir lo ocurrido. Las aseguradoras pueden considerar la cobertura de telemetría entre los controles exigidos.
5. PiMRef: Deducing Ever-evolving Spear-phishing Emails with Knowledge Base Invariants
ACM Conference on Computer and Communications Security · Ruofan Liu, Yun Lin, Yuxin Wang, Xiwen Teoh et al. · IA aplicada a la seguridad
En breve: PiMRef detecta correos de spear-phishing generados por LLM verificando la identidad declarada del remitente contra una base de conocimiento de hechos.
Los autores muestran que los LLM generan spear-phishing convincente que engaña a los detectores. PiMRef halla la identidad declarada del remitente, verifica su dominio contra una base de conocimiento ampliable e infiere las llamadas a la acción. Reduce los falsos positivos al 0,81% con recall del 90,7-93,1%, y alcanza el 86,4% en SpearMail (14.672 correos por LLM).
Por qué importa. El spear-phishing generado por LLM supera a los detectores basados en reglas y features. Verificar hechos refutables sobre el remitente aguanta mejor la evolución de los ataques.
Para quien asegura. El phishing es un desencadenante frecuente de siniestros cyber, del ransomware al fraude. Una detección que aguanta el spear-phishing por LLM afecta a los controles de correo en los que confían las aseguradoras.
6. XSS-over-DoH: On the Adverse Side Effects of DoH on Web Security
ACM Conference on Computer and Communications Security · Matthias Gierlings, Lukas Knittel, Jörg Schwenk, Christian Mainka · Web y móvil
En breve: XSS-over-DoH es una nueva clase de ataques web que abusa de DNS-over-HTTPS para lograr XSS y eludir la Content Security Policy.
El DoH introduce HTTP como protocolo adicional y reutiliza el puerto 443 sin exigir headers esenciales. Los autores muestran Direct-XSS-over-DoH, que logra XSS incluso sin inyección de markup, y CSP-Bypass-over-DoH, que elude incluso una CSP fuerte. En más de 3 millones de dominios hallan 1.297 servidores DoH, el 72% con headers inseguros, y 2.265 CSP vulnerables, incluido un caso en Proton Mail.
Por qué importa. Una función introducida para mejorar la privacidad del DNS puede invalidar defensas web consolidadas como la CSP. Los nuevos componentes web deben estudiarse a fondo antes de adoptarse.
Para quien asegura. La CSP es un control en el que muchos confían para contener las XSS. Si el DoH la elude, las aseguradoras deberían considerar la configuración de servidores DoH y headers entre los factores de riesgo web.
7. Automated Side-Channel Analysis of Cryptographic Protocol Implementations
ACM Conference on Computer and Communications Security · Faezeh Nasrabadi, Robert Künnemann, Hamed Nemati · Métodos formales
En breve: Una toolchain extrae modelos de protocolo de binarios reales y los analiza en busca de canales laterales, hallando una fuga de caché en WhatsApp Desktop.
Los autores cierran la brecha entre especificaciones verificadas y ejecutables: elevan el código máquina, lo instrumentan con contratos de leakage para constant-time y especulación tipo Spectre-PHT, y traducen las trazas para Tamarin, ProVerif y DeepSec. En componentes de WhatsApp Desktop identifican un canal lateral de caché de instrucciones que permite inferir el grafo social.
Por qué importa. La verificación formal suele ignorar el código compilado y los canales microarquitectónicos. Partir de binarios reales halla fugas que los modelos simbólicos no ven.
Para quien asegura. La relevancia aseguradora directa es limitada. El trabajo muestra, eso sí, que una app de mensajería muy usada puede exponer metadatos de relaciones por canales laterales, útil para valorar el riesgo de privacidad.
8. Understanding and Preserving Safety in Fine-Tuned LLMs
ACM Conference on Computer and Communications Security · Jiawen Zhang, Yangfan Hu, Kejia Chen, Lipeng He et al. · Seguridad de IA y LLM
En breve: SPF preserva la alineación de seguridad de los LLM durante el fine-tuning eliminando las componentes del gradiente que chocan con un subespacio de seguridad de bajo rango.
El fine-tuning puede degradar la seguridad incluso con datos inocuos. Los autores observan que los gradientes de seguridad están en un subespacio de bajo rango, a menudo en conflicto con los de utilidad, y estimable desde una sola muestra. SPF elimina las componentes en conflicto, garantizando convergencia de utilidad y limitando la deriva de seguridad, incluso bajo fine-tuning adversario.
Por qué importa. El dilema entre seguridad y rendimiento hacía frágil el fine-tuning. Un método ligero que mantiene ambas ayuda a quien aplica LLM a tareas concretas.
Para quien asegura. Para quien asegura servicios de fine-tuning de LLM, un control que conserva la alineación reduce el riesgo de que un modelo pierda sus protecciones. Señala una medida técnica concreta.
9. One Click to Leak: Characterizing the Real-World Usage and Threat Impact of MNO-based Single Sign-On Websites
ACM Conference on Computer and Communications Security · Jiasheng Huang, Mingxuan Liu, Pei Chen, Baojun Liu et al. · Identidad y autenticación
En breve: Un estudio del Single Sign-On basado en operadores móviles (MSSO) en la web halla defectos de confianza que permiten filtrar números de teléfono con una sola visita.
Los autores identifican tres defectos de confianza en el flujo MSSO y demuestran One-Click-to-Leak, donde una sola visita expone el número de teléfono. En un estudio de un año sobre 116.852 URL de 729 dominios, el 73,6% tiene al menos un defecto: el 69,4% expone credenciales de desarrollador y el 27,1% emite tokens privilegiados antes del consentimiento.
Por qué importa. El login sin contraseña vía operador móvil se extiende en la web, pero sus implementaciones exponen datos de identidad. El consentimiento del usuario suele llegar tras emitir el token.
Para quien asegura. Los números de teléfono filtrados alimentan fraude y SIM swap, desencadenantes de siniestros cyber. Para las aseguradoras, las implementaciones MSSO son un control de autenticación a verificar, no un dato dado.
10. A Formal Analysis of Signal's Sparse Post-Quantum Ratchet Protocol and its Implementation
ACM Conference on Computer and Communications Security · Karthikeyan Bhargavan, Maxime Buyse, Graeme Connell, Franziskus Kiefer et al. · Métodos formales
En breve: Primera especificación y análisis formal de SPQR, el ratchet post-quantum basado en ML-KEM que Signal puso en producción en 2025.
SPQR se combina con el Double Ratchet para forward secrecy y post-compromise security híbridas: se mantienen salvo que se rompan a la vez la curva elíptica y el KEM post-quantum. Los autores verifican el diseño con ProVerif e integran la toolchain hax en la CI de Signal para probar la seguridad en runtime de la implementación en producción, usada por millones.
Por qué importa. Es un caso raro de verificación formal aplicada por el propio proyecto a un protocolo distribuido a millones. Muestra cómo ligar las garantías del diseño a la implementación real.
Para quien asegura. La relevancia aseguradora directa es baja. El trabajo es, no obstante, una referencia sobre cómo la verificación formal puede reducir el riesgo de defectos en software de mensajería crítico.
11. Janus: Characterizing Bidirectional Privacy and Security Risks in LLM-Integrated Android Apps
ACM Conference on Computer and Communications Security · Junhua Guo, Zongze Li, Haipeng Cai · Web y móvil
En breve: Janus es un análisis estático que mide los riesgos de privacidad y seguridad en apps Android integradas con LLM, hallándolos extendidos.
Las integraciones LLM son bidireccionales: datos sensibles entran en los prompts y el texto generado sale hacia la lógica, la UI y las API. Janus reconstruye las pipelines end-to-end y clasifica los riesgos. Halla problemas recurrentes: exposición de claves API y system prompts del lado cliente, envío de datos sensibles a servicios LLM terceros sin aviso y gestión expuesta a inyección de prompts.
Por qué importa. Las apps integradas con LLM crean una clase de riesgos distinta de las integraciones tradicionales. Las claves y prompts expuestos del lado cliente son un problema concreto y común.
Para quien asegura. Para quien asegura desarrolladores de apps móviles, la integración de LLM amplía la superficie de fuga de datos. Los controles pueden preguntar cómo gestiona el asegurado claves, datos enviados y salidas de los modelos.
12. PURA: Provably Unbiased and Robust Multi-Bit Watermarking for AI-Generated Text Attribution
ACM Conference on Computer and Communications Security · Yaofei Wang, Jinyang Guo, Shuchao Du, Chao Wang et al. · Seguridad de IA y LLM
En breve: PURA es un watermarking multi-bit para texto generado por IA que preserva la distribución del modelo y sigue siendo recuperable tras las ediciones.
La atribución fina del texto de IA exige watermarks de alta capacidad y robustos. PURA inserta el payload en el espacio de muestreo latente y lo recupera tratando los tokens como evidencia de intervalo. El error por bit decae exponencialmente con la longitud. Con 36 bits en 200 tokens alcanza el 91,7% de coincidencia, más del triple de la mejor baseline.
Por qué importa. Atribuir el texto generado por IA apoya la responsabilidad y la auditoría. Un watermark que resiste ediciones sin degradar la calidad hace la atribución más fiable.
Para quien asegura. La relevancia aseguradora directa es limitada. El tema toca, eso sí, la gobernanza de contenidos de IA y la trazabilidad, útiles donde la desinformación o el fraude por contenidos son un riesgo.
Cómo se elabora este digest
Los nuevos artículos se recopilan cada día y se seleccionan cada semana desde arXiv, el archivo IACR ePrint y las principales conferencias y revistas de seguridad (IEEE S&P, USENIX Security, ACM CCS, NDSS, CRYPTO, PoPETs, IEEE TIFS y otras). Una puntuación basada en fuente, tema y primeras señales identifica a los candidatos; un modelo de inteligencia artificial los evalúa y redacta los resúmenes. Los resúmenes se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos nuevos evaluados en esta edición: 799.