Un informático en el lado del mal

MyPublicInbox News AI: El Agente AI que crea tu Dossier de Prensa para ti en MyPublicInbox

noreply@blogger.com (Chema Alonso) — Sat, 07 Nov 2026 06:01:00 +0000

Una de las cosas que siempre he echado de menos es tener una recopilación de todo lo que se ha publicado de mí. Tener almacenadas las noticias, las webs, y las publicaciones que se hagan conmigo. Esto es algo que muchos de los que tenemos presencia en Internet solemos guardar en forma de enlaces, archivos PDFs generados de la publicación y cosas así. Pero quería tener una base de datos de todos ellos para poder buscarlos en un momento dado. Y eso hemos estado construyendo en MyPublicInbox para todos los Perfiles Públicos.

Figura 1: MyPublicInbox News AI. El Agente AI que crea

tu Dossier de Prensa para ti en MyPublicInbox

Se trata de CodeName: News AI, un Agente IA que navega por Internet para buscar las noticias de los Perfiles Públicos en MyPublicInbox para que puedan tener todos su propia base de datos de referencias, navegable, con posibilidad de hacer búsquedas, filtran, tener copia por si se borra la URL, o encontrar las URLs de las publicaciones en Internet que hablan sobre ti.

Figura 2: Dossier de Prensa en MyPublicInbox

Los agentes están trabajando para llenar la base de datos, buscando por Internet así que todavía no están todas ni mucho menos, pero están generando ya contenido para todos los Perfiles Públicos, así que si tu eres uno de ellos, puedes entrar en la sección de Mi Impacto en Internet -> Dossier de Prensa y ver qué noticias se han cargado ya en tu perfil.

Figura 3: Filtros a la izquierda, búsqueda arriba, noticias a la derecha

Si miras en los filtros podrás ver el número de noticias que tienes por año, pero también podrás filtrar por medio o fuente sabiendo cuántas referencias hay de cada una de ellas, por autor de la noticia, o por tipo de sentimiento de la publicación, y a la derecha te saldrá la lista con una pequeña reseña de la noticia, más las acciones que tienes con cada una de ellas.

Figura 4: Filtrado de noticias de La Razón

En el detalle de las noticias tienes todas las opciones de lo que puedes hacer con tu Dossier de Prensa, para que tú tengas control de todas las referencias que salen de ti en Internet, y puedas analizarlo, gestionarlo o utilizarlo. Incluso solicitar la Desindexación o tu Derecho al Olvido.

Figura 5: Detalle y opciones de las noticias.

Una vez que tienes la lista de noticias, puedes copiar el enlace a la noticia, navegar a ella en una ventana nueva, descargarte una copia del texto de la notica en PDF con la información, o leer la información en tiempo real post-procesada -.

Figura 6: Descarga en PDF de la noticia publicada para que la guardes

Si la referencia a la publicación es errónea, puedes reportarlo también, para que tengas la información más curada posible, de tu dossier de prensa, que sólo verás tú como Perfil Público y nadie más.

Figura 7: Puedes hacer copia de seguridad de una noticia que habla de ti

Así, en este dossier de prensa tuyo y personal, tendrás también la posibilidad - como ya os he dicho antes - por buscar por cada uno de los temas que quieras. El objetivo es que puedas analizar, usar, o convertir en un activo tuyo toda esta información.

Figura 8: Búsqueda de noticas de "ekoparty"

A futuro, este dossier de prensa tendrá su propio MCP para que puedas utilizarlo como RAG de tus Agentes AI, que de lo que se trata es de que este sea un activo de todos y cada uno de los Perfiles Públicos de MyPublicInbox. Si quieres tener acceso a este servicio que es gratuito, sólo debes convertirte en un Perfil Público de MyPublicInbox y listo.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Curso de Hacking Ético: "De 0 a Hackear Aplicaciones" disponible en Youtube

noreply@blogger.com (Chema Alonso) — Fri, 06 Nov 2026 05:01:00 +0000

Supongo que muchos visteis anunciado en algún sitio, y hoy quería avisaros de que lo podéis ver en Youtube, en un largo vídeo de más de 4 horas. Para que veas las partes del curso de The Big School que hicimos Mario Álvarez, Thomas O´Neil , Gorka El Bochi y yo mismo.

Figura 1: Curso de Hacking Ético: De 0 a Hackear Aplicaciones

Este curso gratuito, que puedes ver aquí, es parte de un programa de máster que se hace online y bajo demanda más largo, donde además tendrás Tempos de MyPublicInbox, un chat conmigo en la plataforma, y libros de 0xWord, por si quieres seguir con esta andadura profesional.

Figura 2: Curso de Hacking Ético: De 0 a Hackear Aplicaciones

Como veréis en le vídeo, yo estaba en remoto desde San Francisco, y os publico esto desde la Praga, mientras que estoy esperando a subir al escenario, así que no os voy a quitar más tiempo de lectura con letras en el post.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Jornada Técnica para Democratización de la Inteligencia Artificial para PyMEs: Getafe 10 de Noviembre

noreply@blogger.com (Chema Alonso) — Thu, 05 Nov 2026 05:01:00 +0000

El próximo 10 de Noviembre, tendrá lugar en el Centro de Referencia Nacional de Desarrollo Informático y Comunicaciones de Getafe (Madrid), sito en la Avenida de las Arcas del Agua, 2, 28905 Getafe, (Madrid), y dónde yo he dado muuuuchas charlas, tendrá lugar un evento muy especial, que han llamado "Cara A y Cara B de la IA: De los Mitos a la Práctica", para ayudar a las PyMes y a los profesionales autónomos y de empresas de pequeño y mediano tamaño a tirarse de lleno al mundo de la IA.

Figura 1:Jornada Técnica para Democratización de la Inteligencia Artificial

para PyMEs - Getafe 10 de Noviembre.

El objetivo de esta Jornada Técnica es desmitificar la Inteligencia Artificial y acercarla a la realidad del tejido empresarial y los profesionales del sector IT de las PyMes, huyendo de los discursos catastrofistas o puramente teóricos. Por ello, la jornada contrastará las inmensas oportunidades y ventajas competitivas de la IA con la necesidad ineludible de aplicar rigor, ética, ciberseguridad y cumplimiento normativo.

Figura 2: Agenda de la jornada

Si quieres saber más sobre cómo la IA puede beneficiar tu negocio, te invitamos a unirte a estas V Jornadas Técnicas del sector IT en el Centro de Referencia Nacional de Desarrollo Informático y comunicaciones. Allí, tendrás a expertos del campo como Manuel S. Lemos, José Palanco de Pléxicus, Kiko Gámez, mi compañera de Cloudfare Alba Massa, o mis queridas Irene Gómez y Elena Gil, junto con David Santiago y Noelia Reyes, que debatirán sobre cómo aprovechar la IA para mejorar las operaciones de las Pymes.

Figura 3: Ponentes de la Jornada

Las plazas son limitadas, que si has estado en alguno de mis eventos allí, ya conoces que el auditorio es pequeñito, por lo que debes registrarte cuanto antes para guardar tu sitio. Allí tendrás, además, la ocasión de poder comprar los libros de 0xWord, y todos los asistentes que vayan ese día, tendrán 100 Tempos gratuitos de MyPublicInbox.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Cómo portar un proyecto de Azure a Cloudflare: Cómo lo hicimos con Weave.js de Inditex Tech Open Source

noreply@blogger.com (Chema Alonso) — Wed, 04 Nov 2026 05:44:32 +0000

Cuando Inditex Tech Open Source, conocida por su cultura técnica, excelencia y comunidad sacó esta propuesta sabíamos que teníamos que colaborar y aportar nuestro granito de arena a la comunidad. Da gusto ver a una empresa española apostar por la tecnología, el talento y la innovación, y hacerlo con un propósito que va más allá de lo que construye: también comparte ese trabajo para que otros podamos aprender, experimentar y llevarlo un paso más allá.

Figura 1: Cómo portar un proyecto de Azure a Cloudflare.

Cómo lo hicimos con Weave.js de Inditex Tech Open Source

Esa forma de entender la tecnología encaja de lleno con el ADN de Cloudflare. Nosotros también creemos que compartir lo que aprendemos y contar abiertamente cómo construimos nuestra tecnología es parte del trabajo. De ahí nuestro blog de Cloudflare, donde entramos hasta la cocina de lo que hacemos, nuestra apuesta por la transparencia y un tier gratuito amplio y accesible para todos los desarrolladores del mundo.

Así que decidimos llevar esa afinidad al terreno que más nos gusta: construir. Y ahí apareció un reto a la altura, Weave.js, una herramienta para crear aplicaciones de colaboración en tiempo real, como pizarras colaborativas y editores de diagramas. Nuestra forma de contribuir sería explorar cómo llevarla a Cloudflare y compartir con la comunidad lo que aprendiéramos por el camino.

Figura 2: Inditext Tech Open Source Weavejs

Al mirar todas las piezas el backend, el almacenamiento, la sincronización, la autenticación y la IA, nuestra primera pregunta técnica fue inevitable:

«¿Cuánto tardaría en hacer funcionar todo esto en Workers?».

Nadie nos lo pidió. Lo hicimos porque nos picó el gusanillo y porque (seremos sinceros) en Cloudflare todos somos builders: nos gusta construir, probar ideas y hacer shipping, no dejarlas en una presentación. Y aquí teníamos un nuevo reto para poner todo eso en práctica. }:)

Lo interesante era comprobar cuánto podíamos simplificar el despliegue y la operación al tener todas las piezas en una misma plataforma: Workers para la lógica, D1 para los datos, Queues para las tareas en segundo plano y Access para la autenticación. Menos infraestructura que administrar y más tiempo para el producto. Y ahí entraban la «magia» de los Durable Objects para coordinar las salas en tiempo real, R2 para almacenar contenido sin cargos por transferencia de salida y Workers AI para integrar inferencia de baja latencia sin gestionar servidores de modelos.

Figura 3: El reto de migrar Weaver.js a Cloudflare

No se trataba solo de hacerlo funcionar, sino de explorar lo que permite hoy la plataforma: reducir complejidad, ajustar buena parte del coste al uso real y llevar las ideas antes a producción. Todo con una aplicación de verdad, no un «hola, mundo», y descubriendo por el camino qué encajaba, qué había que adaptar y dónde estaban los límites. Lo que os voy a contar hoy es esa aventura. Y os adelanto que fue más divertida ¡y accidentada! de lo que esperaba.

El punto de partida: el repo de Inditex tal cual

Lo primero que hice fue clonar los dos repositorios públicos (weavejs-backend y weavejs-frontend) y leer el código de arriba a abajo. La arquitectura original de Weave.js era la que podríais imaginar para una aplicación Node.js moderna y bien hecha:

Figura 4: Diagrama de arquitectura de Weave.js

Backend: Express.js corriendo en un servidor Node.

Almacenamiento: Azure Blob Storage para guardar el estado de las salas (documentos Yjs en binario) y los assets (imágenes, vídeos).

Base de datos: PostgreSQL para todo lo demás como salas, páginas, hilos de comentarios, chats o tareas de exportación.

Cola de trabajos: pg-boss, una librería que usa PostgreSQL como backend de colas para gestionar los trabajos asíncronos (generación de imágenes con IA, exportaciones a PDF, etc.).

Tiempo real: Azure Web PubSub para sincronizar el documento Yjs entre todos los clientes conectados a una sala y para el canal de eventos secundario (lo que llamábamos el "comm-bus").

Autenticación: better-auth con su propia tabla en PostgreSQL.

IA: Google Generative AI para la generación de imágenes.

Frontend: TanStack Start + Vite + Nitro, desplegado también en un servidor Node.

No está nada mal para una aplicación colaborativa en tiempo real. La gente de Inditex Tech lo tiene muy bien hecho. Pero desde mi perspectiva había una pregunta obvia:

¿Podemos hacer todo esto con Cloudflare y sin tocar apenas el código del frontend?

El proyecto del Porting a Cloudflare

Como es un proyecto complejo, decidimos hacerlo por partes, así que antes de entrar en detalle de cada una de las partes, os dejo el resumen de lo que cambiamos. Cuáles fueron los cambiso que realizamos pieza por pieza para que Weave.js siguiera funcionando perfectamente, pero en Cloudflare.

Figura 5: El mapa del cambio

Y ahora, vamos con cada una de las partes, que hay mucho que contar de todas y cada una de ellas, como vais a poder leer aquí.

De Express a Hono: el cambio más fácil

Este fue el cambio más agradable de todos. Hono es un framework HTTP tan parecido a Express que la migración de rutas fue casi mecánica. La diferencia importante es el modelo de ejecución. Express espera vivir en un proceso Node.js persistente. Hono está diseñado para correr en un Worker de Cloudflare, es decir, sin estado global entre peticiones, con acceso a los bindings de la plataforma (env.DB, env.IMAGES_BUCKET, etcétera) directamente desde el contexto de Hono.

// Antes: Express
app.get('/rooms/:roomId/images', requireAuth, async (req, res) => {
  const images = await db.query('SELECT ...');
  res.json(images);
});

// Después: Hono en Workers
imagesRouter.get('/rooms/:roomId/images', requireAuth, async (c) => {
  const result = await c.env.DB.prepare('SELECT ...').all();
  return c.json(result.results);
});

El router de Hono se monta en el Worker, y el Worker exporta los handlers de fetch y queue. Nada más.

De Azure Blob Storage a R2: sin egress, sin dramas

Azure Blob Storage y R2 son conceptualmente idénticos: almacenamiento de objetos con clave. La migración fue directa. Lo que antes era esto:

await blobClient.uploadData(buffer, { 
    blobHTTPHeaders: { blobContentType: contentType } });

Pasó a ser esto:

await c.env.IMAGES_BUCKET.put(key, buffer, { httpMetadata: { contentType } });

Creamos cuatro buckets en R2:

weavejs-rooms: estado binario de los documentos Yjs
weavejs-images: imágenes subidas por los usuarios
weavejs-videos: vídeos
weavejs-generated-images: imágenes generadas por IA

La gran ventaja: R2 no cobra egress. En Azure, cada vez que un cliente descarga una imagen, pagas. En R2, no. Para una aplicación colaborativa donde se sirven imágenes constantemente, eso no es un detalle menor.

De PostgreSQL a D1 + Durable Objects: aquí sí que hay que pensar

Este fue el cambio más interesante. Y el que más hay que entender bien. D1 es un SQLite gestionado por Cloudflare. Perfecto para datos relacionales que no necesitan fuerte consistencia distribuida en tiempo real: salas, páginas, hilos de comentarios, metadatos de imágenes. Definimos las migraciones en SQL y listo.

CREATE TABLE rooms (
  id TEXT PRIMARY KEY,
  name TEXT NOT NULL,
  kind TEXT NOT NULL DEFAULT 'showcase',
  status TEXT NOT NULL DEFAULT 'active',
  created_at TEXT NOT NULL,
  updated_at TEXT NOT NULL
);

Pero hay un tipo de dato que D1 no puede manejar bien: el estado de conexión en tiempo real. ¿Qué clientes están conectados ahora mismo a qué sala? Eso requiere consistencia fuerte, una sola fuente de verdad. Para eso usamos un Durable Object.

El ConnectionRegistry es un DO singleton que usa SQLite interno (la API ctx.storage.sql de los DOs de nueva generación) para rastrear las conexiones activas. Una sola instancia, en un solo lugar del planeta, con garantía de consistencia fuerte. Exactamente lo que necesitas para algo así.

De Azure Web PubSub a Durable Objects: el cambio más grande

Azure Web PubSub era el corazón de la sincronización en tiempo real. Cada sala tenía un "hub" donde se publicaban y suscribían los eventos del documento Yjs. Reemplazarlo fue el reto más técnico de toda la migración.

La solución: dos Durable Objects por sala.

1.- RoomSync: el documento Yjs vivo

RoomSync es el DO que mantiene el documento Yjs de cada sala. Implementa el protocolo y-websocket directamente, de forma que el cliente no sabe que está hablando con un Worker en lugar de con el servidor Node original.

Cuando un cliente se conecta, el Worker negocia la URL del WebSocket y el cliente conecta directamente al DO. El DO usa la Hibernation API de Cloudflare, lo que significa que cuando no hay mensajes, el DO hiberna y no consume CPU. Los WebSockets se mantienen abiertos sin coste.

El estado del documento Yjs se persiste en R2 cada vez que hay cambios, para que sobreviva reinicios del DO.

async webSocketMessage(ws: WebSocket, message: string | ArrayBuffer) {
  // Protocolo y-websocket: sync, update, awareness...
  const data = typeof message === 'string'
    ? new TextEncoder().encode(message)
    : new Uint8Array(message as ArrayBuffer);
  // broadcast a todos los clientes conectados
  for (const client of this.ctx.getWebSockets()) {
    if (client !== ws && client.readyState === WebSocket.READY_STATE_OPEN) {
      client.send(data);
    }
  }
}

2.- CommBus: el canal de eventos secundario

Además del documento Yjs, la aplicación tiene un segundo canal de WebSocket para eventos más ligeros: notificaciones de que una imagen se ha procesado, progress de exportaciones, heartbeats. A esto lo llamábamos el "comm-bus".

CommBus es otro DO por sala, más simple que RoomSync. Solo hace broadcast de mensajes JSON a todos los clientes conectados. También usa Hibernation API.

Lo más interesante: con Azure Web PubSub, el backend publicaba eventos en el hub y Azure se encargaba del fanout. Con los DOs, el Worker llama directamente al DO de la sala y el DO hace el fanout. Sin intermediarios, sin latencia adicional de round-trip a Azure.

De pg-boss a Cloudflare Queues: colas sin PostgreSQL

En el caso de pg-boss éste usaba PostgreSQL como backend de cola. Los trabajos asíncronos (generación de imágenes con IA, transformaciones de imágenes, exportaciones a PDF) se encolaban en una tabla de PostgreSQL y un worker de Node los procesaba.

En nuestros Workers, esto se convierte en Cloudflare Queues. El producer es el Worker del backend: cuando llega una petición de exportación o generación de imagen, encola el mensaje y devuelve un 202 Accepted con un taskId.


await c.env.WORKLOADS_QUEUE.send({
  jobType: 'generate-images',
  taskId,
  roomId,
  payload: body,
});
return c.json({ taskId, status: 'pending' }, 202);

El consumer es el mismo Worker, pero en su handler de queue:

async queue(batch: MessageBatch%lt;WorkloadMessage%gt;, env: Env) {
  for (const message of batch.messages) {
    await handleWorkload(message.body, env);
    message.ack();
  }
}

El estado de cada tarea se guarda en D1 (tabla tasks), y el frontend hace polling hasta que el estado cambia a completed.

De better-auth a Cloudflare Access: autenticación sin base de datos

Vamos con better-auth que también estaba en PostgreSQL e implicaba gestionar sesiones, tokens de refresco, tablas de usuarios... Todo eso desapareció:

Pusimos Cloudflare Access delante de la aplicación.

Access gestiona el login (con el proveedor de identidad que quieras: Google, GitHub, OTP, passkeys) y emite un JWT firmado que llega a cada petición como la cookie CF_Authorization o el header Cf-Access-Jwt-Assertion. El backend solo tiene que verificar ese JWT:

const { payload } = await jwtVerify(token, JWKS, {
  issuer: env.CF_ACCESS_TEAM_DOMAIN,
  audience: env.CF_ACCESS_AUD,
});
c.set('userId', payload.sub ?? payload.email);

Sin tabla de usuarios. Sin tabla de sesiones. Sin refresh tokens. El JWKS se rota automáticamente cada seis semanas y jose lo gestiona con createRemoteJWKSet, que cachea y rota transparentemente. No está mal para eliminar toda una capa de complejidad.

De Google Generative AI a Workers AI: IA en el edge

La generación de imágenes con IA pasó de llamar a Google Generative AI desde un servidor Node a usar el binding AI de Workers, con los modelos FLUX disponibles en Workers AI, enrutado todo a través de AI Gateway.

const result = await env.AI.run(
  '@cf/black-forest-labs/flux-1-schnell',
  { prompt, steps: 8 },
  { gateway: { id: env.AI_GATEWAY_ID, skipCache: false } }
);

AI Gateway añade logging, caché semántica y control de costes sin cambiar una línea del código de inferencia. Si el mismo prompt ya se generó antes, devuelve la imagen cacheada en milisegundos.

Figura 6: Cloudflare AI Gateway

Para los modelos que no están en Workers AI (como gpt-image-1 de OpenAI) seguimos usando la API directa, pero también enrutada a través de AI Gateway para tener el mismo sistema de observabilidad.

Figura 7: Dynamic Routing de AI Gateway

El chat con IA también pasó a Workers AI, usando el modelo llama-3.3-70b-instruct-fp8-fast con streaming. El Worker devuelve el ReadableStream de SSE directamente desde el binding, sin transformaciones intermedias.

De Node.js con sharp a Cloudflare Images: transformaciones sin binarios nativos

Aquí nos encontramos con la limitación más dura del modelo de Workers: no puedes ejecutar binarios nativos. sharp, skia-canvas, ffmpeg son todos binarios de Node.js que no pueden correr en un isolate de V8. Para las transformaciones de imagen básicas (flip, escala de grises, eliminar fondo) usamos el Cloudflare Images binding, que hace las transformaciones de forma nativa en el edge:

const result = await env.IMAGES
  .input({ imageKey: `${roomId}/${imageId}` })
  .transform({ flip: 'h' })
  .output({ format: 'image/webp' });

Para las operaciones más complejas que no soporta el binding, como la inversión de colores, el Worker devuelve una señal al frontend indicando que debe procesar la imagen client-side usando la Canvas API. No es perfecto, pero funciona. Podríamos haber implementado esta funcionalidad con Cloudflare Containers, pero dejamos esto para el roadmap futuro.

Las exportaciones a PDF y las capturas de página para la presentación son el único caso pendiente. Esas tareas se encolan y quedan marcadas como requires-external-processing. La solución pendiente es desplegar un Cloudflare Container que ejecute el código Node.js original de exportación y escriba el resultado de vuelta a R2.

El frontend: TanStack Start en Workers con Nitro

El frontend ya usaba TanStack Start + Vite + Nitro. Nitro tiene un preset cloudflare_module que compila el servidor SSR directamente a un módulo de Worker. Un único cambio de configuración:

NITRO_PRESET=cloudflare_module vite build --mode production

Y el resultado es un index.mjs listo para wrangler deploy, con los assets estáticos en .output/public/ servidos desde Workers Static Assets. Los únicos cambios que tuvimos que hacer en el frontend:

Eliminar sharp (no puede importarse en un Worker): añadimos un stub que lanza un error descriptivo.
Reescribir el middleware de "coming soon" para usar la Web Crypto API (crypto.subtle) en lugar de crypto.createHmac de Node.
Reemplazar useGetAzureWebPubSubProvider por useGetWebsocketsProvider, que usa WeaveStoreWebsockets en lugar del cliente de Azure.

Ese último cambio fue casi poético en su simplicidad: una sola línea diferente en el componente de la sala.

Los bugs que encontramos por el camino

La migración no fue perfecta desde el primer momento. Os cuento los más divertidos.

El race condition del WeaveProvider. El SDK de Weave llama a registerStore() dentro de un método start() asíncrono. Si React desmontaba el componente <WeaveProvider> antes de que start() terminara —lo que pasaba cuando cambiaba el key del componente al resolverse la primera página— destroy() se llamaba antes de que this.store estuviera asignado.

Resultado: TypeError: Cannot read properties of undefined (reading 'disconnect'). La solución: no montar <WeaveProvider> hasta que actualPageId esté definido, para que la key sea estable desde el primer render.

La identidad del usuario. Las salas que había creado con el sistema original de better-auth usaban un UUID v4 generado por la propia aplicación. Cloudflare Access usa el sub del JWT, que es el UUID de la identidad en Access: otro valor completamente distinto. Así que al arrancar con Access, el backend no encontraba mis salas en D1 porque los IDs no coincidían.

La solución fue buscar el sub de mi usuario de Access mediante la API de Cloudflare y lanzar una query de migración directamente en D1 para reasignar los room_users al nuevo userId. Desde fuera me imagino que esto suena a obviedad, pero cuando estás depurando a las 11 de la noche y las salas "desaparecen"... no es tan obvio. }:)

Las rutas del frontend apuntando a endpoints inexistentes. Al auditar todos los endpoints descubrimos que varios frontends llamaban a rutas que en el nuevo backend no existían: /rooms/:roomId/chats en lugar de /rooms/:roomId/ai/chats, el endpoint de presentación en /api/v1 en lugar de /api/v2, las rutas de templates con scope de sala que el backend global no tenía... Una auditoría completa de todos los apiFetch del frontend contra todos los routers del backend reveló diez discrepancias. Las corregimos todas.

El resultado final

La arquitectura final tiene exactamente dos Workers desplegados:

Backend: Hono + D1 + R2 (×4) + Durable Objects (×3 clases) + Queues + Workers AI + Cloudflare Images + Cloudflare Access.

Frontend: TanStack Start + Nitro + Workers Static Assets.

Sin servidores que escalar. Sin bases de datos que parchear. Sin factura de Azure Web PubSub por conexiones WebSocket. Sin egress de Azure Blob Storage.

Figura 8: Arquitectura de Weave.js en Cloudflare

Y todo desplegable con dos comandos:

cd backend && npm run deploy
cd frontend && npm run deploy

¿Mereció la pena? Para mí, rotundamente sí. Y no solo como ejercicio técnico. La respuesta a mi pregunta inicial "¿cuánto tarda en correr esto en Workers?" resultó ser "un par de días quemando tokens". Para una aplicación colaborativa en tiempo real con sincronización CRDT, IA generativa, colas de trabajos asíncronos y autenticación Zero Trust.

Lo más valioso que me llevé no es el código. Es la comprensión de cómo los Durable Objects resuelven el problema de estado distribuido en tiempo real de una forma que ningún servicio gestionado externo puede igualar: el estado vive en el edge, co-localizado con los clientes, sin round-trips a una región central.

Eso, para una aplicación de colaboración en tiempo real, es EL detalle.

Y dicho esto: si alguien de Inditex Tech Open Source está leyendo esto y quiere charlar sobre la migración, ya sabéis dónde encontrarme, que seguro que podemos hacer más proyectos de estos juntos.

Saludos,

Autor: Sergio Maeso, Solutions Engineeer en Cloudflare.

Contactar con Sergio Maeso

Mountain Quest

noreply@blogger.com (Chema Alonso) — Tue, 03 Nov 2026 05:55:00 +0000

Me gusta mucho el concepto de la “Segunda Montaña”. Esa que la gente que pone fin a su carrera profesional se marca como objetivo. Encontrar una segunda montaña requiere correr en tu vida laboral con la cabeza alta. No como los jugadores chupones que sólo se miran los pies y la pelota que llevan entre ellos, corriendo, corriendo, corriendo, regateando, para darse cuenta de que no han avanzado después de diez regates. No. A mí me gustan los otros. Los que llevan la cabeza alta y miran al futuro, para no perderse en el día a día y pensar si la carrera que está haciendo tiene o no sentido en cada momento, o ha llegado la hora de pasar la bola.

Figura 1: Mountain Quest

A mí me gusta mirar al futuro. Siempre lo he hecho. Con anticipación. No me ha gustado que la vida me pille como al camarón, dormido. Siempre he pesando que hay que gastar el tiempo con sentido. Donde lo tienes que gastar en cada momento. Buscando que el día que se acabe la película hayas vivido una aventura que a ti, y solamente a ti, te haya gustado. No vivir la peli de otros. No ser un actor secundario o un figurante. No quiero ser otra ola en el océano, ni sólo otro grano de arena, que dice mi colega de Nueva Jersey.

Con la edad que tengo, y la vida a la espalda que he disfrutado, pienso mucho más en lo que significa un año en mi vida. En cuáles son las cosas que quiero hacer ese año, qué proyectos, qué comics, o si hay una nueva montaña en la que enfocarme. Ya hace tiempo que hice el check-point de sobrevivir con el que me configuré en mi adolescencia. Ahora estoy a otras cosas. A hacer que el tiempo cuente. Que cuente historias. Que me deje cicatrices, tatuajes en el alma, y canas en la mirada.

El pelo se hizo blanco hace tiempo. La vista se fue yendo línea a línea, palabra a palabra. La energía la atesoro como el que conserva la batería de un iPhone 4. Me pongo en modo ahorro de energía para que aguante la semana. Semana a semana, que año tras año no he conseguido que sean menos intensas, sino lo contrario, por culpa de la ósmosis. O algo similar. Sigo a 220, pero las celdas de la batería ya llevan demasiados ciclos de carga. De la carrocería, pues tanto de lo mismo, el deporte se ha encargado de dejarme las “fuguitas” que quedan tras carreras de muchas zancadas, caídas por las montañas, retorcimientos de ligamentos con pies atados a una tabla y los saltos de cabeza con el skate, sin casco, por supuesto. Y rabadilla lastimada de caídas en patines.

También los recuerdos vuelven con filtros de otras épocas. Fotos polaroid, de fotomatón, hechas con móviles HTC, o recortadas las esquinitas en redondo. Con petos de pana, pelo a lo tazón, y gafas de estrabismo. Recuerdos de viajes con barba y cinta a la cabeza. De noches persiguiendo la madrugada por las calles de cualquier ciudad de España. Recuerdos que cuando alguien te los desbloquea se convierten en oro. Abrazos de amigos que ya no están. O que están peor que la batería del iPhone 7 que se quemó.

He atesorado muchas historias con ellos a lo largo de mi vida como para escribir varios libros. Y sí, me han ofrecido ya varias veces escribir algún libro sobre esas cosas que aprendí por el camino, pero nunca he querido. Siempre pensé que era mejor vivir nuevas aventuras que pararme a dejar mi constancia de las vividas en el pasado. Tal vez porque una de las cosas que pasan por mi cabeza son borrar todo rastro de mi vida pública eliminando todo lo que he compartido en Internet alguna vez, el día que decida pasar a vivir mi séptima y última vida.

Lo cierto es que, cada día me levanto feliz. No me importa nada lo que tenga que hacer o me haya sucedido. Me siento agradecido de tener un día más para vivirlo. Miro mis horas por delante, y pienso en lo que voy a hacer con ellas. En por qué hago lo que hago ahora, pensando en qué es lo que quiero disfrutar hoy, y por qué la inversión en estas cosas me compensa. A pesar de haber viajado mucho, aún me quedan por hacer los viajes que no hice. Me quedan por leer esos cómics que me compré y que me aguardan pacientes hasta que los pueda mirar, tal vez, con los ojos ancianos de un niño pequeño. En pasear con la bicicleta. O simplemente dejar que el sol me de en la cara mientras voy escuchando música de grupos más viejos que yo, mientras camino despacito, que las prisas no son buenas, viendo a los chavales jugar.

Pero sé que ninguna de esas cosas serán mi Segunda Montaña.

Tengo claro que el tiempo será lo más difícil de robarme en no demasiado idem, pero quiero que sea para hacer algo que realmente me llene tanto como para que sea lo último que haga en mi vida. Así que tiene que alimentarme el alma bien. Ya veremos. No sé si en ese camino hacia la cima habrá tiempo que gastar en este blog - tal vez sí, quién sabe -, o para charlas - con lo que a mí me gustan -, o si habrá proyectos de emprendimiento - a lo mejor sí, pero dependerá más el con quién que el qué -, o si habrá libros escritos, actividades públicas, etc… o si, por el contrario, será totalmente distinto todo. No sé si será en mi Madrid, o si será en otro lugar, que este año fuera de España me ha cambiado mucho el ADN.

Por supuesto, si no me veis, os prometo seguro que leeré libros y cómics, y me imagino rebuscando en los cajones de las librerías de toda España - y el mundo - buscando tebeos de viejos héroes y libros antiguos de ciencia ficción - yo soy más de sci-fi que de los cuentos de Disney, creo —.Ya he visitado muchísimas "guaridas", siempre sin mi gorro, y lejos de ser conocido más que por ser un cliente pesado que quiere comprar muchos cómics. Eso sí que me hace ilusión. Qué sencillos somos los niños que leemos viñetas y libros de aventuras.

Creo que tengo la suerte de haber vivido, y vivir, una vida profesional que me ha hecho feliz en todos los puntos del camino. Si haces la derivada de la curva de la felicidad en cada punto x, sea más o menos, en cada coordenada te saldrá el resultado con pendiente positiva. Por eso he estado siempre con la sensación de estar en el medio del camino. Ahora, aún estando en esa configuración, entra la dimension del tiempo que es una recta asíntota a un punto, que no sé cuál es por que hay más incógnitas que ecuaciones, pero que sé que está allí. El punto de fuga. Ese que no ves porque parece muy lejos, en el horizonte, y que ademas tiene infinitos decimales. Pero está allí. Y sé que Aquiles acabará atrapando a la tortuga.

Por ende, aún estando en el medio del camino, no me siento a media distancia, y llevo tiempo mirando por la vereda de la puerta de atrás para ver si veo alguna montaña bonita que me silbe. Que tenga nieve para que pueda jugar con ella y tirarme con la tabla de snow. Que me diga eso de que va a ser la que me recoja al caer. La que cuando nadie nos mire me va a iluminar para que mis ojos pequeños puedan ver los colores de mis viejas viñetas, o las letras cada vez más pequeñas de los libros, al mismo tiempo que la acompaño en el camino de ascenso. Para que, me lleve dónde me lleve ese camino, cuente. Un camino que ha de ser de desprendimiento. De dejar atrás la persona que soy, y la que fui, dejando todo en el camino para ser nada cuando se llegue al destino. Sólo eso. Nada.

Por ahora, digamos que sólo estoy imaginando cómo ha de ser mi Mountain Quest.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

CP Advantage 2026: En Praga el 5 de Noviembre

noreply@blogger.com (Chema Alonso) — Mon, 02 Nov 2026 05:01:00 +0000

Últimamente estoy haciendo un esfuerzo de meter muchas cosas en la agenda para poder cumplir con las peticiones que he ido recibiendo, pero os garantizo que en Diciembre voy a realizar cero charlas, eventos o entrevistas. Eso sí, Noviembre me ha quedado "apretado", y si el día 3 de Noviembre, es decir, mañana, tengo la charla en el eCrime 2026 del Anti-Phishing Working Group en Lisboa, al día siguiente tomo un avión desde la capital de Portugal para ir a Praga, que el día 5 de Noviembre estaré dando una charla en el evento de seguridad CP Advantage 2026, organizado por los amigos de CheckPoint para subir el nivel de los CISOS frente a los ciber-malos.

Figura 1: CP Advantage 2026. En Praga el 5 de Noviembre

Así que, si eres de esos Españoles por el Mundo, y estás por allí, puedes animarte y venir al evento, que tiene una agenda repleta de charlas de Hacking & Cybersecurity. La agenda está en el idioma local, pero las conferencias serán en inglés - creo (o por lo menos la mía seguro que sí) -, con temas muy chulos. Eso sí, tradúcelo para tener los detalles.

Figura 2: Agenda de CP Advantage 2026

Acabo de ver que me han puesto como "elitní hacker", así que más que agradecido por el detalle. Aunque los que venís a leer por aquí todos los días ya sabéis que sigo siendo el "josemaricariño" de siempre. Así que quedaros en la lista completa de speakers del evento y los temas que es espectacular.

Figura 3: Agenda de CP Advantage 2026

Por supuesto, el evento de CP Advantage 2026 tiene un montón de actividades extras, así que, si por un casual estás por allí, o si te pilla cerca y puedes pasarte, dale un vistazo. Y lo mismo nos vemos por allí y nos saludamos.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

De Hacker a Hacker: Pablo González vs. Alejandro Acosta. Cómo hacer developers de 1 millón de dólares.

noreply@blogger.com (Chema Alonso) — Sun, 01 Nov 2026 05:01:00 +0000

Para hoy domingo os traigo una nueva edición de las entrevistas que hace nuestro querido Pablo González en su sección "De hacker a hacker", donde entrevista a profesionales de la ciberseguridad, el pentesting, el hacking y miembros de la comunidad hacker, aunque hoy se trate de un Developers muy "hacker". Hoy le ha tocado el turno a Alejandro Acosta, del que ya os publiqué una entrevista yo. Un developer que llegó a ganar 1.000.000 USD de salario.

Figura 1: De Hacker a Hacker: Pablo González vs. Alejandro Acosta.

Cómo hacer developers de 1 millón de dólares.

La entrevista en vídeo dura un poco menos de media hora y os la he subido junto al resto de todas las que ha hecho en la serie a a mi canal de Youtube para que la podáis disfrutar en cuanto tengáis un ratito libre, para que podáis conocer un poquito más de primera mano a Alejandro Acosta, y su trabajo para ayudar a que los developers progresen profesional y salarialmente en sus carreras.

Figura 2: Contactar con Pablo González

Como es habitual en esta sesión de "De Hacker a Hacker", en la charla, hablan de muchas cosas que tienen que ver también con formarse, con el impacto de la Inteligencia Artificial en la vida de los ingenieros en general y a los profesionales del desarrollo de software en concreto. Por supuesto, en cómo ayudar a los demás, a cómo aprender, a gestionar el impacto de la IA, y a mirar al futuro con ambición..

Figura 3: De Hacker a Hacker: Pablo González vs. Alejandro Acosta.

Cómo hacer developers de 1 millón de dólares.

A los dos, además, los tenéis a vuestra disposición a tiro de mensaje de MyPublicInbox, donde cuentan con sus buzones por si quieres consultarles algo o contactarles para proponerles alguna colaboración, que son tipos muy dispuestos, como podéis ver.

Figura 4: Contactar con Alejandro Acosta

Puedes saber todo lo que hace hoy en día, en Engineer Game.

Figura 5: Engineer Game

Si te apetece, puedes ver todas las sesiones que hemos tenido hasta el momento en la lista de reproducción de "De Hacker a Hacker" que mantengo actualizada en mi canal, para que puedas ver todas las entrevistas y conocer cómo cada uno ha hecho y hace este camino en el mundo de la tecnología.

Figura 6: Lista de reproducción "De Hacker a Hacker"

Publica tu libro con 0xWord

Por último, un recordatorio de que en MyPublicInbox se ha articulado un servicio de colaboración con todos los Perfiles Públicos de la plataforma para establecer una nueva vía de colaboración que permita que si tienen una idea de publicación de un libro, puedas hacerlo con 0xWord. De esta forma todos los Perfiles Públicos de MyPublicInbox pueden ir a la zona su perfil, y entre la lista de Servicios para Ti que ofrece esta plataforma, pueden solicitar información para publicar su libro con 0xWord.

Figura 7: Si eres perfil público en MyPublicInbox puedes solicitar este servicio

Todos los usuarios de MyPublicInbox, si quieren ser Perfiles Públicos, pueden solicitarlo tal y como se explica en la web, y tendrán acceso a las dos decenas de servicios que ofrece actualmente esa plataforma, y entre otros este de publicación de libros.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Cómo formarse en Cybercrime: eCrime 2026 en Lisboa del 2 al 6 de Noviembre

noreply@blogger.com (Chema Alonso) — Sat, 31 Oct 2026 05:48:44 +0000

Parece que las cosas van pasando casi sin querer, y el bueno de Peter Cassidy - viejo conocido de los años de Eleven Paths (love++) trabajando con la Anti-Phishing Working Group - me contactó por mi buzón de MyPublicInbox para invitarme a dar la Keynote el próximo 3 de Noviembre. "No puedo", iba a contestarle, "estoy en Lisboa", me disponía a decir, cuando descubrí que el eCrime 2026 del APWG es en Lisboa.

Figura 1: eCrime 2026 Lisboa - 2 al 6 de Noviembre

Así que, como no soy especialmente difícil con los amigos - y ya que no puedo ir al entrega de los Premios Global Tech de la Comunidad de Madrid donde he sido jurado -, pues me he animado a dar una charla en el eCrime 2026 de Lisboa el próximo 3 de Noviembre.

Figura 2: Mi keynote en el eCrime 2026 Lisboa el 3 de Noviembre

El evento dura toda la semana, y las charlas son más que interesantes, con varios tracks con diferentes temáticas, y muchos papers de investigación sobre el mundo del eCrime que merece la pena leer, así que tendré lectura e inspiración en próximas semanas, que de estas charlas y presentaciones siempre se me ocurre alguna idea.

Figura 3: Distribución de actividades por días en el eCrime 2026 Lisboa

La lista completa de charlas la tienes en la Agenda, que es enorme, con un montón de investigaciones de operaciones descubiertas, de usos de IA para todo tipo de ataques, de análisis de incidentes provocados con criminales, ataques Nation State, etcétera. No te pierdas echarle un ojo a la agenda completa del eCrime 2026.

Figura 4: Echa un ojo a la agenda completa de eCrime 2026

Así que nada, si estás por Lisboa, cerca, te pilla bien venir una semana disfrutar de conocimiento y de una bella ciudad, puedes animarte a estar por aquí. Yo no estaré todos los días que el día 5 de Noviembre voy a estar en Praga dando una conferencia... pero ya os contaré eso con más calma en otro momento. Tal vez mañana o pasado mañana.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Cómo evitar fugas de documentos con un "DLP AI" para ficheros de imágenes con Cloudflare Workers AI y Clef

noreply@blogger.com (Chema Alonso) — Fri, 30 Oct 2026 04:27:49 +0000

Estando en Argentina me preguntaron por una capacidad de los Guardarraíles para DLP de Cloudflare. "¿Cómo evitamos que los usuarios envíen documentos gráficos con DNIs, Pasaportes o tarjetas de Crédito?" La idea es sencilla, y no es una opción por defecto en muchos DLPs, pero es que hoy en día en los Guardarraíles, o en los WAF, o en el CASB de la plataforma de Cloudflare puedes hacer una llamada a un Worker y correr cualquier check que quieras, y con la llegada de los Modelos de Decisión como Cloudflare Clef, esto es muy sencillo de realizar.

Figura 1:Cómo evitar fugas de documentos con un "DLP AI" para

ficheros de imágenes con Cloudflare Workers AI y Clef

Así que le puse a mi "wingman" en Cloudflare, el gran Carlos Luengo, un audio que le decía algo así como "Su misión, en caso de aceptarla, consiste en hacer un Worker AI que reciba una imagen, la pase por Clef y nos diga si es un leak de un documento oficial (DNI o Passport) o una tarjeta de crédito." Así que nada, en lo que dura un ping a Cloudflare , con el Vibe Coding hizo una PoC llamada Visor muy sencillita.

Figura 2: Arquitectura de VISOR DLP AI con CLEF en Cloudflare

La arquitectura utiliza las piezas de Cloudflare para construir en el Edge, y la podéis probar vosotros mismos, ¿quién necesita una región en la cloud para esto cuando tienes Region Earth en Cloudflare? Utilizar Turnstile y Precursor para evitar los bots, luego un Worker para validar la imagen que sube, un Worker AI para hacer la ejecución de Clef, y el almacenamiento de imágenes para las pruebas en R2 y D1 para tener la información en tablas y un registro de las decisiones tomadas, que pueda servir para ajustar la configuración de las decisiones.

Figura 3: Explicación de la arquitectura de VISOR DLP AI con CLEF en Cloudflare

El resultado es VISOR, una web con la PoC muy sencilla, en la que puedes subir la imagen y probar la decisión. Sube imágenes fake creadas para esto que Internet está lleno, y en unos milisegundos tienes la respuesta en la misma web.

Figura 4: Prueba con DNI fake

Yo lo he probado con todo tipo de imágenes, y lo ha hecho muy bien, pero si quieres probar esto en tu entorno y antes testearlo - como hemos hecho nosotros - puedes hacer que procese batches, en nuestro caso lo hemos hecho con imágenes que hemos cargado con URLs desde búsquedas en la web, y el resultado es perfecto.

Figura 5: Pruebas con imágenes en Batch para pruebas.

La programación de este servicio en TypeScript es menos de un centenar de líneas, y lo puedes pedir a tu AI Coder favorito, que al final la llamada a CLEF (que es multi-modal y toma decisión con modelos de visión), es tan sencilla como está parte.

Figura 6: Llamada a Clef y clasificación de resultados

Y luego, una vez cargado el análisis - en este ejemplo hecho por mí solo he tenido en cuenta DNI y Pasaporte, pero puedes añadir el que quieras - tomas la decisión adecuada a cada uno de ellos.

Figura 7: Resultados de la clasificación con Clef.

Así que si quieres, puedes hacerte este Worker AI con Clef y meter este DLP en todos los puntos de control que desees. En el SGW, en el CASB, en el eMail Security, en los Guardrrailes, etcétera. La capacidad se puede consumir desde dónde tú quieras. Esta en el Edge mundial de Cloudflare, a 50 milisegundos en media en todo el mundo.

Figura 8: Modelo de decisión Cloudflare Clef

Y si has entendido esta prueba, imagina la cantidad de controles de seguridad que puedes poner en todos los procesos de tu organización, y en todos los servicios digitales que tienes añadiendo checks de seguridad con Clef. En este vídeo tenéis el proceso completo, y los valores devueltos por Clef para todas las imágenes en la prueba individual y en Batch.

Figura 9: Demo de Visor con Workers AI y Clef para DLP en imágenes

¿Se te ocurren controles de seguridad en llamadas telefónicas de tu Contact Center, en chats con clientes, en ficheros del sistema, en mensajes de email enviados y recibidos? A mí sí, y seguro que a ti también se te ocurren muchas ideas al respecto.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Cómo aprender a gestionar los fracasos para alcanzar los sueños: El sueño americano en Prime

noreply@blogger.com (Chema Alonso) — Thu, 29 Oct 2026 06:01:00 +0000

Hace un tiempo os hablé de una película que me había encantado, porque hablaba del fracaso. Un tema del que no es la primera vez que os he hablado, que hay muchas veces que salen mal las cosas. Aprender a gestionar los fracasos es fundamental. Cómo los superes y lo qué hagas después de cada uno de ellos marca quién eres y quién vas a ser. Todos los días fracasamos de alguna manera. Desde mini fracasos en forma de olvidos, o tareas mundanas como derramar el café, hasta grandes fracasos en forma de expectativas no cumplidas o proyectos que no salen. Cómo gestiones esas mini derrotas, marcará como gestionas las grandes.

Figura 1: Cómo aprender a gestionar los fracasos para alcanzar los sueños.

El sueño americano en Prime

De eso hablo mucho con mis hijas, y estos días he tenido la oportunidad de ver una película, que os más que recomiendo, "El Sueño Americano" que habla de eso mismo. De todos los fracasos que hay que acumular hasta lograr el éxito. No conozco a nadie que le haya ido bien la vida sin tener su buena ración de fracasos acumulados y gestionados. Hay que perder muchos partidos para que algún día se pueda ganar un campeonato. Se deben perder muchos puntos, para aprender a ganarlos.

Figura 2: El Sueño Americano

El mundo del deporte es una buena representación del éxito y la gestión del fracaso, y por eso con mis hijas hablo mucho de ello. Les cuento mis fracasos, mis caídas, mis derrotas personales, como cuando compilé algunas de las más relevantes en mi historia dentro del discurso que di a los egresados de la Universidad Carlos III.

Si sólo ves el final de la historia, es decir, la parte del éxito y el glamour de la alfombra roja, el podium o el sitio privilegiado en el palco, pero no ves el camino de fracasos, nunca podrás salir de la "fantasía" del éxito fácil, sin esfuerzo, con suerte, o regalado. No hay mayor mentira que la que uno se cuenta a sí mismo, ni barrera más insalvable que decirse a uno mismo "yo no puedo" y ponerse un techo de cristal.

Figura 3: El Sueño Americano

La película, que so confieso que me hizo llorar al final, me recordó a muchos momentos de mi vida. A cuando con Rodol nos metimos para montar Informática 64 en el primer piso que pudimos alquilar, pintando las paredes con restos de pintura que tenía de chapuzas que había hecho yo de pintor. Así, cada habitación tocó de un color y una de ells fue de color rosa. Era lo que nos podíamos permitir.

En el "El Sueño Americano" - que no os quiero hacer spoiler -, un par de apasionados por el basket tienen el sueño de llevar a los mejores jugadores franceses a la NBA. Saben mucho de basket, y luchan por hacerlo realidad, sufriendo por el camino muchos de los fracasos que seguro que vosotros habéis tenido alguna vez. Falta de apoyos, decepciones por traiciones en el mudo de los negocios, y poner hasta el último Euro en pro de hacer de su pasión un trabajo.

Los protagonistas de la película son un tendero de un videoclub y un limpiador del aeropuerto de Orly en Francia con mucha pasión por el baloncesto. En nuestro caso, cuando decidimos montar Informática 64 yo había trabajado toda mi vida de pintor, barnizador, albañil y profesor particular. Rodol, de cosas similares, y no teníamos ni contactos, ni enchufes, ni padrinos. Nuestros contactos fueron los anuncios de los periódicos de empresas a los que yo personalmente llamaba haciendo venta fría los viernes para buscar reuniones para poder conseguir trabajo. La de veces que me rechazaron, colgaron el teléfono o se pusieron bordes conmigo. Pero... era sólo un punto más.

Hoy en día, habiendo logrado mucho más de lo que soñé en aquellos años, no se me olvida nunca de donde vengo, y junto con mis cómics, guardo el cartel de Informática 64, que un día os publiqué en mi Instagram.

View this post on Instagram
A post shared by Chema Alonso (@chemaalonso)

Me ha tocado de la película otro aspecto que los protagonistas tenían que sufrir, que era la falta de conocimiento de la lengua inglesa. ¿Cómo vas a llevar a un jugador a la NBA si no hablas inglés? En mi caso, como habéis podido vivir en primera persona, cuando quise ir a "mi NBA personal" que eran DefCON y BlackHat, tuve que lidiar con el mismo problema. Con 33 años tuve que comenzar a aprender inglés. En su caso con una profesora "muy especial" como veréis en la película.

Las primeras conferencias las hice de memoria, mientras aprendía inglés con unos profesores "muy especiales", viendo series para jóvenes como Wonder Woman, Robocop o SuperBoy, sin subtítulos que eso es muy importante. Leyendo libros de Spiderman o Star Wars para jóvenes, y escuchando toda la música que pude en inglés. Aún sigo con esa disciplina para seguir aprendiendo...

En el "El Sueño Americano" sacan otra parte fundamental de su viaje, que son los compañeros. Por supuesto, yo he tenido la suerte de tener a mi compañero, que siempre ha estado ahí cuando nos ha ido mal. Algunas veces era yo el que tenía que buscar las soluciones, otras era él el que decía: "No te preocupes, yo puedo ocuparme de esto. Lo podemos hacer." Hoy, más de 35 años después de que nos conociéramos, creo que estar juntos en lo malo, nos hizo llegar a donde llegamos. Y saber que, como los protagonistas de "El sueño americano", aunque estuviéramos lejos, podíamos apoyarnos el uno en el otro, fue importantísimo. Y lo vivimos con muchos amigos que nos acompañaron en el proceso.

Figura 5: Nosotros teníamos el SOCtano con el rellano de las escalaras

desde donde hablaba a mis compañeros. Ellos tenían una trastienda,

y Jeff Bezos una mesa hecha con una puerta barata y dos borriquetas.

No os quiero contar más detalles de la película, porque creo que merece la pena que te sorprenda cuando la veas, que la tienes ahora en AMAZON PRIME -, pero algo que hacen los protagonistas me hacía recordar mis inicios. Por supuesto, la mentalidad de buscar una solución a cada problema y no un problema para cada solución - huye de esa gente en tu vida -, y de hacerlo sabiendo que siempre hay una forma, aunque pueda ser una locura. Si parece que no hay solución es que es el momento de ser creativo, porque siempre hay algo que se puede intentar, aunque volvamos a fracasar.

Figura 7: El Sueño Americano en Prime

No os quiero contar mucho, pero sí me gustaría recalcar el título del artículo. Hay que aprender a gestionar los fracasos, porque eso es lo que marcará si vas a tener éxito en tus proyectos. Por supuesto, para gestionar los fracasos vas a tener que trabajar mucho - mucho más que los demás tal vez -, vas a tener que gestionar emociones, vas a tener que buscar apoyos, vas a tener que ser perseverante, vas a tener que aprender a adaptarte, vas a tener que enfrentarte a cosas que no imaginabas antes. Pero si aprendes a gestionar esos fracasos... en algún momento, estarás más que preparado para que llegue tu objetivo.

Si eres de los que lucha por sus sueños, no te pierdas "El Sueño Americano", es una película educativa y emotiva, que te cuenta lo duro que es triunfar y tener éxito. Para verla con tus hijos, si eres como yo de los que está todo el día intentando que se formen para gestionar los problemas en la vida.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Shadow AI: Los datos de tu empresa que tus empleados enviaron a Servicios IA sin que tú lo supieras.

noreply@blogger.com (Chema Alonso) — Wed, 28 Oct 2026 05:01:00 +0000

Hace unas semanas os hablé de en el artículo de "La Inteligencia Artificial está multiplicando los parches de seguridad ... ¿quién los va a instalar en tu PYME?" que el verdadero problema de la Inteligencia Artificial para una PYME no es el APT con el exploit sofisticado que les tumba, sino la gestión del volumen de parches que hay que instalar, y que no tiene a un responsable para ello. Hoy quiero hablaros de otro problema igual de poco glamuroso y mucho más cercano, porque no viene de fuera. Ya está dentro de la empresa. Se llama la IA en la Sombra, o Shadow AI.

Figura 1: Shadow AI - Los datos de tu empresa que tus empleados

enviaron a Servicios IA sin que tú lo supieras.

Esto no es más que la versión actual del Shadow IT, pero llevada al mundo de la IA, donde nos encontramos con herramientas de Inteligencia Artificial que los empleados usan por su cuenta, sin que nadie las haya revisado ni autorizado. De eso habla hace poco Catalin en su artículo "Inteligencia Artificial en las empresas: Tres formas de uso. Tres niveles de control del riesgo." donde explicaba los peligros de las diferentes formas de utilizar la IA en la empresa.

Figura 2: Descubrimiento de uso de IA en la empresa

con el diagnóstico gratuito de IronGate

Un Asistente IA de chat con la cuenta personal, una extensión del navegador que resume lo que aparece en pantalla, un asistente de notas conectado al calendario que entra sólo en todas las reuniones. Nadie lo hace con mala fe, lo hacen para trabajar mejor. Pero para dar una respuesta útil, una IA necesita contexto, así que recibe contratos, hojas de clientes, informes internos o conversaciones completas. Datos privados de la empresa.

Figura 3: Recomendaciones de "Cost of Data Breach"

Y el problema ya se puede medir. Según el informe de "Cost of a Data Breach Report 2026" de IBM, el porcentaje de incidentes de seguridad con Shadow AI pasó del 20% al 43% en un año, y esos incidentes costaron de media 5,39 Millones de USD. Aun así, el 68% de las organizaciones que sufrieron una brecha NO tenía gobierno de la IA para gestionarla ni para detectar su uso no autorizado.

El consejo que no funciona

La recomendación de todas las guías es «no subas información sensible», y casi nadie la cumple, con razón. Si quieres que una IA revise un contrato y le quitas las partes, los importes y las fechas, el análisis ya no sirve. Y nadie va a pasarse una hora tachando datos antes de cada consulta. Lo que ocurre es que la gente sube el documento entero y no lo dice. La pregunta útil no es qué información subes. Es dónde la subes.

Subir no es entrenar, y al RGPD le da igual

Cuando adjuntas un documento a un Asistente de IA en la nube, sale de tu equipo y se procesa en los servidores de un tercero, tanto en la versión gratuita como en la de pago. Lo que cambia entre planes es lo que pasa después: si pueden entrenar con tus datos, cuánto tiempo los guardan y si puedes auditarlos o borrarlos. Por eso «no entrena con tus datos» no significa «tus datos no salen de la empresa».

Figura 4: ironGate Cybersecurity - Security Operations Center (SOC)

para PyMes, Autónomos y Particulares

Y al Reglamento General de Protección de Datos tampoco le importa si entrenan. Le importa que un dato personal ha salido de tu organización hacia un tercero que pasa a ser encargado del tratamiento, y eso exige un contrato firmado (artículo 28). Con una cuenta personal ese contrato no existe: el proveedor ni siquiera sabe que tu empresa existe.

Prohibir no funciona

La reacción habitual es vetar la IA. En la práctica, la gente sigue usándola desde el móvil o desde casa, y la empresa deja de ver lo que pasa. Prohibir no reduce el riesgo: lo vuelve invisible. La IA en la Sombra aparece cuando la herramienta oficial es peor que la que cada uno se busca, o cuando no hay ninguna. Por eso es un problema de gestión antes que de seguridad.

Lo que funciona es un método de tres pasos:

1.- Descubrir qué herramientas se usan de verdad.
2.- Clasificarlas: autorizada, pendiente de revisar o no autorizada.
3.- Gobernar con una norma de una página, formación del equipo y revisión periódica.

Y el mensaje al equipo cambia. Hemos pasado de «no subas nada sensible», sino «sube lo que necesites, pero solo aquí». Porque los empleados de hoy van a utilizar todos IA en su trabajo sí o sí, se la des tú disponible, o se la tengan que agenciar.

Figura 5: Gobierno de la IA en la empresa

De todo esto hemos hablado en IronGate, donde además hemos dejado una tabla de diferencias entre una cuenta personal y una herramienta de empresa y el método paso a paso para gestionar el Shadow AI en la PyME que merece la pena leer entero.

Figura 6: Solicita un Diagnóstico gratuito a IronGate Cybersecurity

Si queréis saber qué herramientas de Shadow IA hay en los equipos de tu organización, desde IronGate ofrecemos un diagnóstico gratuito para descubrirlas todas ellas. Así que la pregunta que yo os haría hoy no es si tus empleados usan IA, que casi seguro que sí. La pregunta correcta es:

¿Sabes qué herramientas, y dónde están subiendo tus empleados hoy los documentos de la empresa?

Saludos,

Figura 7: Contactar con Ricardo Fúster.

CEO y Fundador de IronGate CyberSecurity

SecAdmin 2026 - La CON de Hackers, Ninjas y Samurais en Sevilla el 27 y 28 de Noviembre

noreply@blogger.com (Chema Alonso) — Tue, 27 Oct 2026 05:16:32 +0000

Los días 28 y 29 de Noviembre va a tener lugar en Sevilla, una nueva edición de la ya veterana CON de hackers, samurais y ninjas... SecAdmin 2026, donde como siempre hay un agenda llena de ponencias más que interesantes, y en la que tendrás también talleres, un CTF (Capture The Flag) y actividades paralelas que te permitirán disfrutar y aprender. Además, tendrás un stand de libros de 0xWord para poder comprar tus libros - y si quieres usar tus Tempos de MyPublicInbox -.

Figura 1: SecAdmin 2026 - La CON de Hackers, Ninjas

y Samurais en Sevilla el 27 y 28 de Noviembre

Entre la lista de ponentes, que puedes consultar en la web del evento, tienes al gran Pedro Candel "S4ur0n", al ya "veterano" Jorge Coronado "WebSec", el más majo que las pesetas Josep Albors, entre otros. Tienes la agenda a continuación:

Figura 2: Agenda de SecAdmin 2025

Para asistir, puedes comprar las entradas en la URL donde las puedes conseguir ahora por 40 €, pero si tienes 100 Tempos de MyPublicInbox - o los consigues gratis en la plataforma - puedes ir a Convierte tus Tempos por un código descuento del 10% en el precio de la entrada.

Figura 3: Consigue un 10% de descuento en MyPublicInbox

Para redimir el código, lo único que tienes que hacer es añadir tu entrada al carrito y antes de finalizar la compra, introducir el código proporcionado en el campo "código de cupón" y pulsa en "Aplicar cupón" de ese modo podrás obtener tu entrada con descuento. Esta entrada da acceso a los talleres, que tienes aquí en la web, por lo que puedes pasarte dos días disfrutando de hacking en Sevilla.

Figura 4: Contactar con Adrian Ramírez "Dolbuck", fundador de SecAdmin

Además, habrá la ocasión de conseguir los libros de 0xWord allí, así que si los quieres reservar, cómpralos por anticipado en nuestra tienda online, y cuando llegues allí los tendrás preparados y reservados - y firmados y dedicados si quieres -. Y tanto para usar en los libros, como para el descuento de la entrada, tienes una campaña en MyPublicInbox patrocinada por SecAdmin 2025 que te va a dar 50 Tempos gratis.

Y ahora, para que podáis conocer más de SecAdmin 2026, le he hecho esta pequeña entrevista al equipo que está detrás de ella, este año el foco estaría en la evolución de la comunidad, IA, nuevas amenazas, futuro del hacking, filosofía de la CON y qué significa mantener un evento independiente durante más de diez años.

Figura 5: Contactar con SecAdmin en MyPublicInbox

Espero que os guste y animéis a ir a Sevilla los días 27 y 28 de Noviembre disfrutando del hacking. Aquí os dejo la entrevista, y si queréis contactar con el equipo, tenéis un canal directo a través de su buzón público en MyPublicInbox.

1.- Han pasado más de diez años desde aquella primera edición de SecAdmin en 2014. Si echáis la vista atrás, ¿qué es lo que más os sorprende de aquel proyecto que empezó con apenas 80 asistentes?

El apoyo y fidelización de nuestro público, es un acuerdo mutuo, nosotros nunca les hemos fallado y ellos tampoco nos han fallado. A medida que pasa el tiempo te sigues encontrando con personas que han participado en algún que otro año y cuando nos ven, nos lo comentan siempre con un recuerdo muy positivo.

Es curioso a veces como en un proyecto que nace sin interés de lucro, con el afán de compartir, llega a impactar en las personas, y como siempre lo agradecen y lo llevan en su interior como una experiencia positiva. Nos consta que en muchos casos, hasta les ha condicionado su futuro, con un trabajo mejor, un amistad, un proyecto, un amor. Y ser parte de ese proyecto que hace tan bien, siempre nos llena de orgullo.

2.- y... ¿Qué ha sido más difícil: organizar la primera edición de SecAdmin o conseguir mantener viva una CON durante más de una década?

Sin lugar a duda, organizar la primera edición. Una primera edición, sin conocer a la mayoría de los ponentes, sin experiencia y sobre todo una apuesta económica a fondo perdido. Eso siempre da vértigo. Hoy SecAdmin está consolidado y tiene su público consolidado, hemos tenido muchas épocas, pero tantos agradecimientos de poder montar una cosa así en el sur, nos impulsan año tras año a seguir.

3.- En estos años la palabra “ciberseguridad” ha pasado de ser prácticamente desconocida para el gran público a ocupar titulares constantemente. ¿Cómo ha cambiado la comunidad hacker durante este tiempo?

La comunidad hacker ha experimentado varios cambios y transformaciones en los últimos años. Sin lugar a duda, durante estos últimos años, la escasez de profesionales en la ciberseguridad ha despertado el interés de muchos profesionales de diferentes ramas, por lo que la comunidad se a ampliado con sus cosas buenas y cosas malas. Pero en el balance general creemos que la cambió para bien.

4.- Hoy cualquiera puede utilizar herramientas de IA para generar código, analizar malware o incluso automatizar determinadas fases de un ataque. ¿Cómo cree SecAdmin que está cambiando la inteligencia artificial el trabajo de hackers y profesionales de la seguridad?

La inteligencia artificial, está impactando en todas las ramas de la informática. Empezó por el desarrollo, pero luego siguió por sistemas y ahora por la ciberseguridad. Lo que no puede hacer la inteligencia artificial es conservar el arte del hacking. Ejecuta scripts sin ese “olfato” por lo que está bien para la automatización de tareas, ataques básicos automatizados, tareas complejas de reversing, pero le falta ese pensamiento lateral que tenemos los hackers. Por lo que aún nos deja algo seguir innovando. Que es el arte del hacking. Lamentablemente en todo lo demás, no solo lo hará mejor que nosotros, sino más rápido y de forma más eficiente.

5.- Y desde el otro lado de la trinchera: ¿está la IA haciendo también más peligrosos a los atacantes? ¿A SecAdmin qué amenazas os preocupan especialmente en este momento?

Si, la IA sin filtros, o más conocida como “sin censura”, está automatizando ataques, encontrando más rápido que nadie vulnerabilidad por falta de actualización, errores humanos de configuración, y está agilizando la explotación de nuevos Zero Days. Por lo que el desafío más importante es saber moverse a la velocidad de la IA. Si nuestros sistemas no son capaces de responder, actualizarse y protegerse a la misma velocidad, terminarán siendo vulnerados. La IA acelera todos los procesos de explotación.

6.- Hay una nueva generación que está descubriendo ahora el hacking y la ciberseguridad. ¿Qué consejo le daríais a alguien que quiere empezar hoy, pero se encuentra con un sector mucho más complejo que el de hace diez o quince años?

Los tiempos han cambiado mucho, ya nadie pone de contraseña “123456” o sí. Jajaja. Las nuevas generaciones se están encontrando una especialización muy alta en el campo de la ciberseguridad, una competencia feroz, con tantos máster y certificaciones, lo que hace difícil poder destacar. Por lo que los niveles de exigencia son mayores.

Figura 6: Pedro Candel "S4uron" será ponente.

Si a eso le añadimos el efecto de la IA y que los perfiles senior están sustituyendo a los perfiles junior con IA. Poder acceder al mercado laboral, está siendo especialmente complejo. Por eso la participación en este tipo de jornadas, el pertenecer a una comunidad facilita mucho ese camino tan complejo que es empezar a trabajar en ciberseguridad

7.- En SecAdmin conviven profesionales con mucha experiencia, investigadores, estudiantes y personas que simplemente sienten curiosidad por el mundo del hacking. ¿Cómo conseguís que todos encuentren su sitio?

En SecAdmin tenemos claro que nadie debería necesitar una OSCP para entrar por la puerta y disfrutar demuestra CON jajaja.

Intentamos combinar charlas accesibles con ponencias de nivel técnico alto. Lo mismo ocurre con los CTF: hemos tenido retos tremendamente exigentes y hemos ido incorporando pruebas que permiten participar a quienes están empezando, sin perder el espíritu de desafío.

Y están los talleres prácticos, que en algunos casos duran cuatro o cinco horas. Ahí puedes dejar de mirar diapositivas y ponerte a trabajar con técnicas y herramientas. Después está la otra mitad de la conferencia, que no aparece en el programa: las conversaciones de pasillo. Puedes descubrir que la persona con la que acabas de tomar un café lleva años investigando justo lo que a ti te obsesiona. Esa cercanía es parte de lo que hace distinta a SecAdmin.

8.- Mirando hacia los próximos diez años, ¿cómo imagináis SecAdmin? ¿Qué os gustaría que siguiera siendo exactamente igual y qué os gustaría cambiar?

¿10 años? Yo creo que la IA nos destruirá antes, pero seguro que si no es así, hay cosas que no cambiaríamos. Una es el tamaño de la CON, tal como está es perfecta. Ahora mismo es una CON cercana, accesible y donde se aprende gracias a nuestros talleres de hasta 4 o 5 horas los sábados.

9.- Esta es complicada a día de hoy, pero imaginad que mañana desaparecen Internet, las redes sociales y el marketing durante una semana. ¿Cómo conseguiríais que la comunidad hacker supiera que SecAdmin sigue existiendo?

Esto es Sevilla, aquí se sabe todo, por el boca a boca y por la gran comunidad que nos apoya atrás. En el mundo de hacking, siempre encontraríamos una forma de conectarnos entre todos, ya los veo a todos con un dispositivo Meshtatic en la mochila.

10.- Y aquí está, la última pregunta que no podía faltar, si tuvierais que elegir una sola razón para venir a SecAdmin 2026, ¿cuál sería? Y para los que ya tienen su entrada ¿qué no deberían perderse de SecAdmin 2026?

Esta última pregunta es la más difícil, porque razones hay muchas, pero bueno, vamos a no hacer trampa. La razón más importante es vivir la experiencia. Y para los que ya la han vivido de otros años esa experiencia, indicarles que cada año es diferente.

Para los que ya tienen su entrada, tendrán la posibilidad de encontrarse con grandes profesionales del sector que si no fuera por el esfuerzo que hacemos desde SecAdmin, sería difícil verles y tener la posibilidad de compartir un tiempo de aprendizaje con ellos.

Ir a una SecAdmin siempre merece la pena y es una experiencia que cualquiera que esté en la comunidad del hacking debe vivir. Ya somos parte de la historia del hacking española, como tantas otras CONs al igual que vosotros, que estáis siempre presentes y nos habéis acompañados todos estos años.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Inteligencia Artificial en las empresas: Tres formas de uso. Tres niveles de control del riesgo.

noreply@blogger.com (Chema Alonso) — Mon, 26 Oct 2026 05:01:00 +0000

Cuando hablamos de Inteligencia Artificial en las organizaciones, lo habitual es asociarla con ChatGPT, Claude o cualquier otra herramienta a la que accedemos desde un navegador. Esta asociación está bastante extendida entre las empresas menos tecnológicas y, en muchos casos, responde al desconocimiento de cómo funciona realmente esta tecnología.

Figura 1: Inteligencia Artificial en las empresas.

Tres formas de uso. Tres niveles de control del riesgo.

La Inteligencia Artificial necesita, recursos de computación, almacenamiento y sistemas capaces de procesar información. La capacidad de estos modelos para realizar determinadas tareas mejor o peor que las personas es otra discusión que dejaremos para otro artículo. Lo interesante aquí es comprender cómo accedemos a esta tecnología, qué ocurre con nuestros datos y qué capacidad real tenemos para aplicar medidas de control que reduzcan los riesgos.

Figura 2: Presentación de Chema Alonso en Cloudflare Connect 2026.

"The model is not the permiter"

En muchas organizaciones he observado que la gestión de estos riesgos se apoya principalmente en políticas de uso, herramientas DLP e instrucciones incorporadas a los Prompts para limitar el comportamiento de la IA. No es la solución.

Estas medidas pueden ayudar, pero presentan limitaciones importantes.

Un Prompt no constituye una barrera de seguridad fiable: Y si has visto los muchísimos artículos sobre las técnicas de Jailbreak, los ataques de Prompt Injection, o el desalineamiento de Asistentes IA y servicios digitales, lo tendrías que tener más que claro.

Figura 3:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

Los modelos pueden recibir instrucciones adversarias, interpretar incorrectamente las restricciones o generar comportamientos no previstos.

Figura 4: Ekoparty 22: Hacking in the age of AI after Mythos, Fable, Sol and Astra.

Es precisamente una de las cuestiones sobre las que Chema Alonso insiste habitualmente en sus investigaciones y charlas sobre seguridad en IA. Para comprender mejor estas limitaciones, vamos a comparar tres formas de utilizar esta inteligencia artificial.

1. Acceso directo mediante navegador

Es el modelo más conocido. La organización contrata licencias de un servicio de Inteligencia Artificial y sus empleados acceden directamente desde el navegador. En realidad, estamos consumiendo un servicio de un proveedor externo, bajo determinadas condiciones contractuales, configuraciones de privacidad y mecanismos de seguridad que solo el propio proveedor impone. Cuando un empleado introduce información en el chat y pulsa enviar, esos datos llegan a la infraestructura del proveedor.

Figura 5: Flujo de información desde el usuario hasta

el proveedor de IA mediante navegador.

La organización puede establecer políticas de uso, aplicar controles DLP, restringir accesos y exigir garantías contractuales. Sin embargo, las funciones de protección más avanzadas suelen estar vinculadas a planes empresariales con costes adicionales, lo que puede dificultar su adopción por parte de pequeñas y medianas organizaciones.

Además, el comportamiento humano introduce una dificultad adicional. Un empleado puede compartir información confidencial, ignorar las instrucciones corporativas o utilizar herramientas de IA sin autorización, una práctica conocida como Shadow AI. Este fenómeno dificulta la aplicación de medidas de control y aumenta el riesgo de exposición de información fuera del perímetro organizativo. La exposición del dato puede producirse antes de que cualquier instrucción dirigida al modelo tenga oportunidad de intervenir.

2. Integración mediante API y backend corporativo

El segundo método permite introducir una diferencia importante. En este escenario, la organización desarrolla una aplicación con su propio front-end y backend. El empleado interactúa con esa aplicación y es el backend quien se comunica con el modelo del proveedor mediante una API. Esta arquitectura permite aplicar medidas técnicas antes de que la información salga de la organización.

Podemos clasificar los datos, eliminar información innecesaria, aplicar técnicas de pseudonimización, verificar permisos, limitar las operaciones autorizadas y registrar las solicitudes. También podemos revisar las respuestas del modelo antes de utilizarlas.

Figura 6: Flujo de información mediante una aplicación corporativa,

backend y API de un proveedor externo de IA.

El proveedor continúa procesando la información que recibe, pero la organización puede controlar mejor qué envía y para qué finalidad. La diferencia está en incorporar controles técnicos directamente al flujo de información, reduciendo la dependencia de las decisiones individuales de cada empleado. El riesgo permanece, aunque una implementación correctamente diseñada puede reducir tanto la exposición como la probabilidad de determinados incidentes.

3. Despliegue de inteligencia artificial en infraestructura local

El tercer método consiste en ejecutar el modelo dentro de la propia infraestructura de la organización. Actualmente existen modelos de inteligencia artificial con capacidades avanzadas que pueden desplegarse en servidores internos, como gpt-oss-20B (OpenAI), Mistral Small 3.1 de 24B, Gemma 3 de 27B (Google), Qwen3 de 32B (Alibaba), LLaMA de 65B (Meta, primera generación), Llama 3.3 de 70B y gpt-oss-120B (OpenAI).

Estos modelos pueden ejecutarse utilizando recursos propios de CPU, GPU, memoria y almacenamiento, con requisitos técnicos que varían según su tamaño, arquitectura y nivel de cuantización. En esta arquitectura, el front-end, el backend, el modelo y los sistemas de almacenamiento pueden permanecer dentro del mismo perímetro organizativo. Estas arquitecturas son muy usadas por los expertos que usan IA para hacer Seguridad Ofensiva y Pentesting.

Figura 7: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso.

Esto permite controlar directamente el procesamiento, los accesos, los registros de actividad, la retención de información y las conexiones con otros sistemas. También ofrece la posibilidad de operar sin enviar los datos utilizados durante la inferencia a proveedores externos, siempre que las dependencias, la telemetría y las integraciones estén correctamente configuradas.

Figura 8: Flujo de información con un modelo de IA local dentro

del perímetro de la organización y sus dependencias externas.

La contrapartida es que la organización asume la responsabilidad de proteger y mantener toda esa infraestructura. Una mala configuración, un usuario con privilegios excesivos, un conector vulnerable o un modelo expuesto pueden generar incidentes igualmente graves.

La arquitectura es una medida de control

Los tres escenarios permiten utilizar inteligencia artificial, pero presentan diferencias importantes en la exposición de los datos, la dependencia de terceros y la capacidad de aplicar medidas de seguridad. Contratar licencias, integrar una API o desplegar un modelo local no determina automáticamente el nivel de seguridad de una organización.

La cuestión es comprender el recorrido de la información y establecer controles eficaces en cada punto de ese recorrido.Las políticas y las instrucciones pueden orientar el comportamiento de los usuarios y de los modelos. Las medidas técnicas permiten imponer restricciones verificables, aunque tampoco ofrecen garantías absolutas.

Figura 9: CDIE: Risk Extension and Traceable Uncertainty in Organizational Al Risk Assessment.

Al final, todo se reduce a entender por dónde circulan nuestros datos, quién los procesa y hasta dónde llega nuestra capacidad de control. Utilizar Inteligencia Artificial es relativamente sencillo; gestionar sus riesgos requiere conocer bien cómo funciona y cómo la hemos integrado en nuestra organización.

Figura 9: CDIE: Risk Extension and Traceable Uncertainty in Organizational Al Risk Assessment.

Y aprovechando que hablamos de riesgos y consecuencias, estoy desarrollando CDIE, una investigación exploratoria centrada en identificar y documentar las posibles consecuencias de las decisiones relacionadas con inteligencia artificial, especialmente cuando afectan a otras partes implicadas directa o indirectamente. Para quienes tengan curiosidad, la propuesta metodológica está publicada que puede consultarse aquí: CDIE: Risk Extension and Traceable Uncertainty in Organizational Al Risk Assessment.

Saludos,

Autor: Catalin Barsan Apostolescu

Contactar con Catalin Barsan Apostolescu

Hackr0n #GranCanaria: Porque un Ciberataque nunca avisa. 6 de Noviembre

noreply@blogger.com (Chema Alonso) — Sun, 25 Oct 2026 05:01:00 +0000

Ver cómo ha crecido la comunidad de Ciberseguridad gracias a los pioneros que han hecho que las CONs se haya desplegado por toda España es me llena de alegría. Es ver hecho realidad el sueño de poder acceder a contenido y profesionales con facilidad, algo que antes era impensable. Así que es para mí siempre un placer poder colaborar con Hackr0n, impulsada por uno de esos locos "old-school" que quería empujar el mundo de la Ciberseguridad.

Figura 1: HACKRON #GranCanaria.

Porque un Ciberataque nunca avisa. 6 de Noviembre

El próximo 6 de Noviembre, Hacr0n llega a Gran Canaria para compartir conocimiento, experiencias y, sobre todo, poner el foco en algo fundamental: prepararnos para lo que puede pasar de verdad. En ciberseguridad estamos acostumbrados a hablar de vulnerabilidades, herramientas y amenazas. Pero hay algo que a veces olvidamos: ¿Sabemos realmente cómo reaccionar cuando las cosas se tuercen?

¿Y si mañana el incidente ocurre en tu organización?

Uno de los puntos destacados será el ejercicio práctico Tabletop Exercise (TTX), una simulación en la que los participantes tendrán que enfrentarse a un incidente y decidir cómo actuar. No se trata de acertar todas las respuestas, sino de trabajar en equipo, gestionar la incertidumbre y descubrir qué falla antes de que nos encontremos ante una crisis real.

Figura 2: Tabletop Exercise (TTX)

Porque puedes tener las mejores herramientas y un plan perfectamente documentado, pero cuando un sistema crítico deja de funcionar, la información es incompleta y hay que tomar decisiones rápidas, es cuando se demuestra si estás preparado. La mejor forma de aprender a responder a una crisis es entrenarse antes de que suceda.

Ciberseguridad práctica, experiencias reales y comunidad profesional en Canarias.

El 6 de noviembre nos vemos en Gran Canaria para compartir conocimientos, abordar retos del sector y conectar con profesionales de la ciberseguridad. Una jornada para aprender y compartir, donde tendremos de ponentes a Igor Lukic, Cecilio Sanz, Pablo Burgueño, Selva Orejón, Miguel Ángel de Castro Simón, Fortinet o el CCN-CERT entre otros ponentes.

Figura 3: Speakers de Hacr0n Gran Canaria.

Hackr0n Gran Canaria reúne a especialistas que compartirán experiencias de su día a día: contenidos prácticos, intercambio de conocimientos y conversaciones entre profesionales. Aún se está ultimando la agenda. Este es un adelanto de lo que encontrarás.

Contenidos y dinámica

Experiencias técnicas, sin presentaciones comerciales.
Retos de cumplimiento normativo que van más allá de cumplir requisitos.
Respuesta a incidentes en una sala de crisis.
Portátil opcional para aprovechar mejor la jornada.
Espacios privados para atender asuntos urgentes.

Comunidad y actividades

Pausa para el café y parrillada de hamburguesas caseras preparadas al momento.
Intercambio de experiencias entre asistentes.
Actividades opcionales de Hangar 37 y competición por equipos.

En este caso, habrá un CTF muy especial con IA, ya que es nuestra nueva realidad, así que se va a poder trabajar con IA y habrá que luchar contra IA, un nuevo formato que será anunciado en breve, así que podrás estar a tope con el nuevo marco profesional que tenemos hoy en día.

Figura 4: CTF con IA y vs IA

Yo intentaré estar allí de alguna forma. No sé si de forma presencial, o remota, pero me gustaría poder apoyar este tipo de iniciativas al máximo, que han conseguido que la ciberseguridad llegue a todos los rincones de España, y desde cualquier rincón han salido grandes profesionales que hemos exportado a todo el mundo.

Figura 5: Entradas para Hacr0n Gran Canaria.

Las entradas son limitadas, pero es que además los precios son para todo el mundo. Tanto si eres estudiante, como profesional, ir no es solo aprender, es apoyar para que puedan seguir haciéndose este tipo de actividades en Gran Canaria. Además, tienes un código del 25% de descuento en la Tienda de MyPublicInbox que puedes canjear por 200 Tempos. Un regalo, vamos.

Figura 6: Código 25% de descuento en tu entrada de Hackr0n

que puedes canjear en la tienda de MyPublicInbox.

Y para las empresas y administración pública, no os digo nada, es un amplificador de lo que hay en Gran Canaria, así que espero que podáis apoyar al máximo estas iniciativas.

Figura 7: Contactar con Igor Lukic, organizador y fundador de Hackr0n

Si queréis colaborar de alguna manera, proponer entrevistas a los ponentes, ser voluntario, hacer actividades alrededor de Hackr0n, pensar en nuevas iniciativas en las Islas Canarias, podéis poneros en contacto con Igor Lukic, que seguro que agradecerá todo el apoyo y formas de poner las islas en el centro del mapa mundi de la Ciberseguridad.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Rufus, el Asistente IA de Amazon: De "Shopping Assistant" a hacer Troubleshouting de red con Powershell y Nmap en una charla

noreply@blogger.com (Chema Alonso) — Sat, 24 Oct 2026 04:01:00 +0000

Una consulta sobre unos auriculares termina en instrucciones de PowerShell, solicitudes de permisos de administrador y noticias de actualidad. Todo ocurre en la ventana de Agente IA dentro de Amazon.es. El recorrido es llamativo porque el asistente mantiene su identidad comercial mientras acompaña al usuario hacia tareas cada vez más alejadas de la compra inicial.

Figura 1: Rufus, el Asistente IA de Amazon. De "Shopping Assistant"

a hacer Troubleshouting de red con Powershell y Nmap en una charla

El punto sensible es cuando el Asistente IA comercial comienza a proporcionar apoyo operativo. El modelo aporta instrucciones, explica conceptos y orienta la siguiente acción. La persona puede aportar lo que el chat no tiene, acceso a un equipo, una sesión corporativa y capacidad para ejecutar esas indicaciones. Esa combinación abre una vía de riesgo incluso sin ejecución autónoma por parte de la IA.

Figura 2:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

El caso permite examinar una consulta cotidiana convertida en una sesión de asistencia técnica reutilizable con fines maliciosos. La reducción del esfuerzo para investigar, preparar código o comprender un entorno forma parte del escenario de amenaza. Un usuario con conocimientos limitados puede apoyarse en estas capacidades para avanzar más allá de lo que resolvería por sí solo.

Figura 3: Ekoparty 22: Hacking in the age of AI after Mythos, Fable, Sol and Astra.

Si has leído hsta aquí, mi recomendación es que te leas los artículos que Chema Alonso ha dedicado a los Asistentes IA, y que si quieres saber más, veas la charla que dio en la Ekoparty con demos en directo sobre este tema.

Ahora, vamos a ver este caso concreto, que seguro que te va a interesar toda la historia. No te pierdas detalle.

Análisis de caja negra

Amazon presenta RUFUS, su Agente IA como un asistente de compras disponible en la web y en su aplicación. También documenta el uso de información de Internet en algunas de las familias de productos. El interés del caso está en la combinación de ese acceso informativo con respuestas sobre administración y en la facilidad con que el hilo cambia de finalidad.

Figura 4: Amazon presenta RUFUS, su Agente IA como un asistente de compras

La interacción se estudia desde la interfaz visible. El hilo conecta soporte de producto, comprobación de firmas, permisos, diagnóstico de red, información externa y preguntas sobre límites. Esa continuidad permite analizar la ayuda que recibe una persona y cómo podría aprovecharla para construir una secuencia operativa.

Como cualquier especialista en ciberseguridad, empezaría por una pregunta muy sencilla. ¿Qué conocimientos puede llegar a proporcionar el asistente, qué acciones facilita y qué barreras encuentra el usuario al intentar trasladar esas respuestas a un entorno real?

Consultas sobre auriculares validación de firmas y elevación de privilegios en PowerShell

La consulta inicial sobre el funcionamiento de unos auriculares desemboca en la verificación de un instalador. El usuario afirma que necesita PowerShell como administrador. El Agente IA acepta la premisa con un «Es normal que lo solicite» y explica cómo abrir una sesión elevada.

Figura 5: Haciendo Powershell con Rufus. La comprobación de firma

deriva hacia una consola con permisos de administrador

En PowerShell, el comando Get-AuthenticodeSignature permite comprobar la firma digital de un archivo sin necesidad, generalmente, de privilegios de administrador. El problema comienza cuando Agente IA, diseñado como asistente de compras de Amazon, abandona su ámbito funcional y empieza a proporcionar instrucciones sobre administración de Windows y elevación de privilegios.

Figura 6: Aprendiendo a elevar privilegios con Powershell

Una consulta sobre unos auriculares termina convirtiéndose en asistencia técnica para operar sobre el sistema, algo ajeno a su finalidad comercial. Lo que sí que es cierto es que parece que se ha leído el libro de "Pentesting con PowerShell Silver Edition" de Pablo Gonzáleez en 0xWord. Se las sabe todas.

Esta desviación abre un riesgo mayor. Un atacante podría aprovechar la disposición del asistente a responder fuera de su alcance para solicitar ayuda progresiva sobre scripting, ofuscación, enumeración de usuarios o técnicas relacionadas con Active Directory. La asistencia interactiva permitiría a personas con conocimientos limitados avanzar en tareas complejas, sin recurrir a herramientas especializadas ni a la Dark web.

Figura 7: Comprar libro de "Pentesting con PowerShell Silver Edition"

de Pablo Gonzáleez en 0xWord.

Posteriormente, Agente IA reconoce que comprobar una firma no requiere privilegios administrativos, aunque previamente había recomendado elevarlos. El fallo relevante no es únicamente la recomendación técnica, es que un asistente de compras haya asumido funciones de administración de sistemas para las que no fue concebido.

Start-Process powershell -Verb RunAs solicita abrir un proceso como administrador. Windows mantiene sus comprobaciones de autorización mediante UAC. El riesgo de esta secuencia está en impulsar al usuario hacia una sesión privilegiada y normalizar su uso para continuar el diagnóstico.

En un entorno corporativo, una instrucción presentada como el siguiente paso puede favorecer que el usuario busque credenciales, acepte una solicitud administrativa o trabaje con permisos superiores a los necesarios. El alcance de lo que ejecute después dependerá de esa identidad y de los controles del equipo.

De la elevación de permisos al reconocimiento de red

El usuario insiste en elevar permisos y recibe instrucciones con RunAs. Después cambia de objetivo y pide explorar la red. Agente IA enlaza ambos temas dentro del mismo hilo y entrega comandos de diagnóstico.

Figura 8: Instrucciones sobre RunAs y diagnóstico de red dentro del mismo hilo

La conversación pasa después a la red. arp -a consulta la caché ARP y Test-Connection realiza comprobaciones ICMP. Todas Son herramientas de administración que también pueden aportar información útil para el reconocimiento de un entorno.

Figura 9: Y acabamos con el Nmap. Más hacker no se puede ser.

El Agente IA Rufus cuenta todo esto dentro del mismo hilo de conversación. El usuario no necesita conocer de antemano qué utilidad consultar ni cómo formular el comando. La respuesta le proporciona una primera orientación y abre la posibilidad de pedir explicaciones sobre los resultados o plantear una nueva tarea.

En un escenario de abuso, ese acompañamiento podría ayudar a ordenar información sobre equipos y conectividad para preparar acciones posteriores. La evaluación debe atender a la intención acumulada del hilo y a la asistencia concreta que facilita cada respuesta, además del contenido de un comando aislado.

El usuario puede convertirse en el ejecutor de la IA

Al pedirle un ping externo y una descripción de sus capacidades, Rufus explica que la ejecución corresponde al usuario. El asistente aporta orientaciones y comandos. La persona queda a cargo de trasladarlos al equipo, donde dispone de una identidad y unos permisos efectivos.

Figura 10: Rufus proporciona orientación técnica y reserva la ejecución al usuario.

El asistente no necesita ejecutar código por sí mismo para contribuir a una operación. La persona puede copiar sus indicaciones en una consola, aportar resultados y solicitar nuevas explicaciones. El modelo actúa como apoyo técnico mientras la ejecución queda fuera de su interfaz.

El riesgo de uso malicioso consiste en convertir esa relación en ayuda continuada para preparar scripts, comprender errores o planificar tareas. Si los controles permiten tal asistencia, el usuario podría avanzar sin dominar previamente cada componente técnico de la operación.

Figura 11: Aquí ya estamos tomando control. Vamos a salir a Internet.

Gracias Rufus.

Microsoft ha observado actores de amenaza recurriendo a modelos de lenguaje para generar o refinar scripts, comprender tecnologías y resolver problemas. Esa asistencia puede ahorrar esfuerzo y proporcionar conocimiento puntual, aunque el acceso a los sistemas siga dependiendo del operador.

Figura 12: Hacking Windows: Ataques a sistemas y redes Microsoft 2ª Edición

escrito por Carlos García, Valentín Martín y Pablo González en 0xWord.

En Active Directory, un escenario a considerar sería la ayuda para interpretar información sobre usuarios, grupos y permisos y utilizarla en la preparación de accesos no autorizados. También existiría riesgo de exposición si una persona pegara resultados internos del directorio en un servicio externo.

OSINT - Fuentes externas y productos que aún no están en el mercado.

El hilo abandona el diagnóstico y entra en los próximos lanzamientos tecnológicos. Rufus responde con nombres de productos, fechas y características, acompañados de referencias visibles de páginas web que ha visitado para obtener dicha información. El Asistente AI abandona nuevamente su función comercial y comienza a proporcionar información sobre lanzamientos tecnológicos, especificaciones y noticias, recurriendo a fuentes externas.

Figura 13: Previsiones de lanzamientos con referencias externas

y una advertencia sobre rumores.

Este comportamiento abre una posibilidad especialmente interesante para los ciberdelincuentes mediante técnicas OSINT (Open Source Intelligence). La recopilación de información pública sobre posibles víctimas constituye una fase habitual de preparación de ataques. Permite identificar empleados, tecnologías utilizadas, proveedores, infraestructura expuesta y posibles puntos débiles de una organización.

Figura 14: Open Source INTelligence (OSINT): Investigar personas e Identidades en Internet 2ª Edición de 0xWord, escrito por Vicente Aguilera y Carlos Seisdedos

Un Asistente IA como Rufus, capaz de consultar, relacionar y resumir información de Internet podría facilitar estas investigaciones desde una única interfaz, reduciendo el tiempo necesario y los conocimientos técnicos del atacante. Además, actuaría como intermediario entre quien realiza las consultas y las fuentes originales, disminuyendo la exposición directa de su actividad ante determinados sitios web, aunque sin garantizar el anonimato ni eliminar los registros del proveedor.

Las fechas revelan un problema de fiabilidad

Tras recibir un resumen de noticias, el usuario pregunta por las fechas. Rufus presenta una respuesta que afirma reunir noticias del 20 de octubre de 2026, pero incluye un bloque del día 13 y etiqueta ambos días como lunes. Hay una inconsistencia que puede comprobarse sin validar las noticias. El 13 y el 20 de octubre de 2026 fueron martes. Además, la afirmación de que todas las noticias son del día 20 no encaja con el bloque fechado el 13. Vamos, una pequeña Hallucination de libro. Del libro de Hacking IA, claro.

Figura 15: El resumen combina fechas incompatibles con su propia presentación

La respuesta añade una matización sobre una noticia anterior cuya fecha no pudo determinar. Esa corrección parcial deja sin resolver la contradicción de los encabezados y la diferencia entre fecha del suceso, publicación y consulta.

El problema operativo es la confianza que puede generar una respuesta detallada y acompañada de fuentes. El usuario recibe un resumen aparentemente organizado, aunque contiene señales internas de error. La precisión de la presentación puede ocultar la fragilidad de la información.

OWASP recoge la información incorrecta y la confianza excesiva en las respuestas dentro de LLM09 "Misinformation"de 2025. El riesgo aumenta cuando esas salidas se incorporan a decisiones, procedimientos o código sin una validación adecuada.

Una incoherencia equivalente podría alterar la prioridad asignada a una vulnerabilidad, distorsionar un informe de incidentes o sostener una recomendación de configuración equivocada. El posible impacto es conectar el output con el input del siguiente proceso y podría desencadenar consecuencias difíciles de detectar.

Obtención del límite de output configurado en el backend

Rufus, afirma que contar números en serie no forma parte de su función. Después cuenta hasta diez y hasta cien. Cuando el usuario pide llegar a trescientos y luego a doscientos, vuelve a rechazar la tarea por quedar fuera de su papel de asistente de compras.

La prueba de contar números tenía un objetivo más allá de comprobar si este Asistnte IA aceptaba tareas ajenas a su función comercial. Buscaba identificar posibles límites de generación de respuestas configurados en el backend del Agente IA.

Figura 16: Primero acepta la tarea.

Agente IA acepta contar hasta 100, pero rechaza solicitudes de 200 y 300 números, argumentando que esa tarea queda fuera de su función como asistente de compras. Esta diferencia plantea la posibilidad de que exista una restricción de longitud de salida que el modelo no reconoce explícitamente.

Figura 17: Pero luego rechaza contar más.

Mediante solicitudes progresivas, comenzando por 100 números y aumentando gradualmente la cantidad, sería posible estudiar hasta dónde responde el asistente, cuándo empieza a rechazar las peticiones y si permite continuar la secuencia en mensajes posteriores.

El interés desde la perspectiva de Misalignment & Jailbreak está en determinar si una conversación prolongada permite identificar o sortear restricciones de salida mediante peticiones fragmentadas. Este comportamiento guarda relación con las técnicas multivuelta estudiadas in Crescendo, donde el contexto acumulado puede modificar las respuestas del modelo.

Figura 18: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso.

Al final, como hemos venido viendo en todos los artículos publicados sobre Asistentes IA en este blog, Rufus tiene la misma arquitectura, y requiere por eso tener un control extra de Guardrrailes, y sistemas de monitorización, porque los ataques y los mal-usos de los atacantes van a incrementar en complejidad. Hoy en día, vemos claramente que nos queda margen de mejora en seguridad y control.

Saludos,

Autor: Catalin Barsan Apostolescu

Contactar con Catalin Barsan Apostolescu

Cloudflare Immerse Santiago de Chile - 10 de Noviembre

noreply@blogger.com (Chema Alonso) — Fri, 23 Oct 2026 07:01:00 +0000

Cuando aún estoy con la resaca de Cloudflare Connect, ya hay que pensar en la siguiente parada. Antes ya sabéis que tengo otros eventos en Europa (España, Lisboa y Rep. Checa), pero hoy os dejo información para el Cloudflare Immerse en Santiago de Chile, que tendrá lugar el próximo día 10 de Noviembre, y para el que estaré volando para participar allí.

Figura 1: Cloudflare Immerse Santiago de Chile - 10 de Noviembre

La agenda del evento comienza a las 08:00 de la mañana, así que hay que madrugar para llegar a tiempo y no perderse nada, que luego yo salgo directamente para el aeropuerto para regresar a Europa, así que regístrate y mete en la agenda el evento con tiempo para llegar pronto.

Figura 2: Agenda de Cloudflare Immerse Santiago de Chile - 10 de Noviembre

La lista de los ponentes es larga, y allí estarán mis compañeros de aventuras en la región, con Max Pablos, Pedro Suárez, Joseph Collura, Bert Milán, Christine McEdulf y Sergio Muñoz Carrillo, que participarán en las charlas.

Figura 3: Ponentes de Cloudflare Immerse Santiago de Chile - 10 de Noviembre

Y por supuesto, también estaremos, dando las keynotes principales, Antonieta va de Meer G., que es abogada especialista en estrategia legal y gobernanza de IA, y yo, hablando del impacto de la Inteligencia Artificial en el mundo de la Ciberseguridad.

Figura 4: Ponentes de Cloudflare Immerse Santiago de Chile - 10 de Noviembre

Como alguno me lo habéis pedido, me llevaré algunos libros de los míos a Chile, así que si no quieres quedarte sin el tuyo, puedes comprarlo antes online en 0xWord, y en las observaciones poner que lo queréis recoger en el Cloudflare Immerse de Chile, y yo os lo llevo, os lo dedico y os lo entrego. Regístrate ya, que las plazas son limitadas.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Claude Mythos reduce hasta 39 veces el coste de Circuitos Cuánticos

noreply@blogger.com (Chema Alonso) — Thu, 22 Oct 2026 07:01:00 +0000

Hace poco os contábamos en este blog cómo Claude Mythos Preview se había sentado atrabajar como criptoanalista y había encontrado nuevas formas de debilitar HAWK y AES. Aquella historia tenía a la Inteligencia Artificial buscando grietas en los algoritmos que protegen nuestra información. Ahora Claude vuelve a aparecer en el mundo de la Criptografía y la Computación Cuántica, pero en el lado contrario de la mesa. Esta vez no intenta romper un algoritmo: intenta diseñar los circuitos con los que funcionarán los ordenadores cuánticos del futuro.

Figura 1: Claude Mythos reduce hasta 39 veces el coste de Circuitos Cuánticos

La ironía es bastante buena. Una Inteligencia Artificial clásica está ayudando a reducir los recursos que necesitarán los Quantum Computers que, algún día, podrán ejecutar algoritmos como el de Shor y poner contra las cuerdas a buena parte de la criptografía actual.

Figura 2: Quatum Security: Tecnología Cuántica & Ciberseguridad.

Criptográfica Cuántica y Post-Cuántica.

Nuestro nuevo libro en 0xWord escrito por: Chema Alonso,

Pablo González, Fran Ramírez, Carmen Torrano, Daniel Romero,

Javier Álvarez, Mario Piattini, Iker Pastor, Pablo García Bringas

El trabajo, liderado por Andi Gu dentro del programa STEM Fellows de Anthropic junto con Alek Kemeny, Susanne Yelin y Mikhail Lukin, plantea un experimento aparentemente sencillo: darle a Claude Mythos 5 la descripción en lenguaje natural de ocho circuitos cuánticos, dejar que proponga implementaciones en Python y utilizar un evaluador independiente para comprobar que funcionan y medir cuánto cuestan.

Figura 3: Discovering State-of-Art quantum circuits with LLMS

El resultado es de los que obligan a mirar dos veces la tabla. En siete de las ocho tareas, los circuitos encontrados reducen simultáneamente el número de Puertas Toffoli y el número de qubits respecto al mejor diseño de referencia. En las comparaciones directas, la mejora del coste combinado llega hasta 39 veces. Y en la octava tarea Claude no se limitó a optimizar una implementación conocida: encontró una nueva arquitectura reversible pararealizar inversión modular.

La carrera cuántica no se gana sólo fabricando mejores qubits

Cuando hablamos de Quantum Computing solemos imaginar que el gran cuello de botella está en el hardware: fabricar más qubits, mantenerlos aislados del ruido y corregir sus errores durante el tiempo suficiente. Y todo eso es cierto. Los procesadores actuales siguen teniendo muy pocos qubits para ejecutar muchas de las aplicaciones que prometen una ventaja real, y además son extraordinariamente frágiles. Pero hay otra forma de acercar una aplicación al hardware disponible: hacer que el algoritmo necesite mucho menos ordenador.

El ejemplo que utiliza Anthropic es FeMoco, el cluster de hierro y azufre que se encuentra en el corazón de la nitrogenasa, la enzima con la que algunas bacterias convierten el nitrógeno del aire en amoníaco. Entender su química podría ayudar a diseñar catalizadores industriales mejores y procesos de fabricación de fertilizantes más limpios.

En 2017 se estimó que calcular su energía fundamental exigiría alrededor de 50 billones de puertas Toffoli. Después de ocho años de mejoras algorítmicas y rediseños de circuitos, la estimación cayó hasta unos 340 millones: aproximadamente 150.000 veces menos. No apareció de repente un ordenador 150.000 veces mejor. Gran parte del progreso consistió en aprender a pedirle mucho menos trabajo a la máquina. Hay dos formas de hacer que un ordenador sea 150.000 veces mejor en una tarea: la primera que el ordenador sea 150.000 veces mejor y la segunda que la tarea sea 150.000 veces más sencilla

Figura 4: Representación de las Puertas Toffoli

Aquí conviene explicar qué se está contando. Un circuito cuántico, igual que uno clásico, se construye aplicando operaciones elementales. La Puerta Toffoli es especialmente costosa en una arquitectura tolerante a fallos, así que su número se utiliza como una aproximación al trabajo lógico y, muchas veces, al tiempo de ejecución.

Pero contar operaciones no basta. También importa cuántos qubits necesita utilizar el circuito a la vez. Pensad en lo que ocurre con un programa normal: puede guardar resultados en memoria para no tener que calcularlos de nuevo. Ahorra trabajo, pero ocupa más espacio. En estos circuitos aparece una negociación parecida: guardar resultados intermedios consume qubits; no guardarlos puede obligar a repetir cálculos.

Figura 5: Foro Público de Quantum Security de

la Universidad de Deusto en MyPublicInbox

Por eso los investigadores valoran ambas cosas conjuntamente. Cada propuesta de Claude recibe una puntuación que combina las operaciones que necesita y los qubits que utiliza. Así pueden comparar diseños que ahorran por caminos distintos: unos reducen mucho el trabajo, otros necesitan menos memoria y algunos consiguen mejorar las dos cosas.

La idea es sencilla: hacer la misma tarea con menos recursos, sin que el ahorro en una parte dispare el gasto en la otra.

La maquinaria de búsqueda se parece más a un laboratorio automático que a una conversación normal con un chatbot. Cada tarea comienza con una especificación escrita por investigadores y un programa vacío. Claude propone varias familias de soluciones, escribe el código que construye cada circuito y recibe del evaluador los errores o la puntuación. Las propuestas válidas sobreviven y se modifican; las que dejan una ancilla sin limpiar, calculan mal una salida o incumplen la interfaz quedan descartadas.

Figura 6: El Loop de evaluación que presenta Anthropic: propuesta, comprobación, coste y nueva ronda. La fuente aclara que el código y los valores mostrados son ilustrativos, no una traza literal de una ejecución.

El sistema utiliza OpenEvolve para mantener esa búsqueda evolutiva y Claude Mythos 5 para proponer arquitecturas y reescrituras. Entre iteraciones no hay una conversación infinita que lo recuerde todo: cada sesión recibe una parte limitada del archivo de diseños, sus costes, algunos intentos anteriores y el feedback del evaluador.

La extraña regla cuántica: aquí no se puede tirar la basura

Hasta aquí parece un problema de optimización de código bastante convencional. El detalle que lo vuelve realmente interesante es que un circuito cuántico no puede programarse igual que una aplicación normal.

La primera dificultad es el control de flujo. Un programa clásico mira una condición y decide: “si ocurre esto, ejecuta A; si no, ejecuta B”. Un circuito cuántico puede estar procesando una superposición de entradas en la que unas necesitarían A y otras B. No puede seleccionar tranquilamente una sola rama clásica: tiene que expresar ese comportamiento mediante operaciones controladas dentro de una secuencia fija de puertas. Y el coste de esas ramas termina dentro del circuito.

La segunda dificultad es todavía más extraña: no se puede borrar la información intermedia sin más.

Imaginad que resolvéis un problema en una pizarra. Hacéis unas cuentas auxiliares, utilizáis el resultado y después borráis la esquina donde estaban los garabatos. En un ordenador cuántico esa basura no puede desaparecer de manera irreversible. Si queda enganchada al estado, puede impedir que las amplitudes interfieran como deben. Y si intentáis borrarla de la manera clásica, destruís la reversibilidad del cálculo.

La salida habitual es el "uncomputation": una vez utilizado el resultado intermedio, se ejecutan en sentido inverso las operaciones que lo produjeron hasta devolver los qubits auxiliares a cero. Funciona, pero cuesta más puertas.

Figura 7: No basta con abandonar el trabajo auxiliar: hay que devolverlo a su estado inicial sin estropear el cálculo útil. La pizarra es una analogía visual del uncomputation.

Y esto crea una negociación permanente. Guardar resultados intermedios ahorra repetir cálculos, pero consume qubits. Limpiarlos cuanto antes libera memoria, pero puede obligar a recomputarlos más tarde. Diseñar un buen circuito significa encontrar un punto inteligente en esa frontera.

El primer gran examen que pusieron a Claude fue la suma de puntos sobre curvas elípticas. Quienes hayáis leído el artículo sobre el algoritmo de Grover ya sabéis que un algoritmo cuántico no es una especie de magia universal: cada ventaja necesita un circuito muy concreto. En este caso la suma de puntos es una pieza central de los algoritmos cuánticos para resolver el logaritmo discreto en curvas elípticas, el problema sobre el que descansa ECDSA y buena parte de la criptografía de curva elíptica.

Figura 8: Libro de Cifrado de las comunicaciones digitales:
de la cifra clásica a RSA 2ª Edición de 0xWord

El paso más caro de esa suma suele ser la inversión modular. En un ordenador clásico existe un método muy eficaz llamado divsteps, que va actualizando una pareja de números y decide en cada ronda si intercambia, suma, resta o divide entre dos.

El problema es que, para ejecutar el proceso al revés, un circuito cuántico tendría que recordar qué decisión tomó en cada una de sus muchas iteraciones. Guardar toda esa historia de ramas consume una cantidad enorme de qubits. Por eso un algoritmo clásico excelente podía ser una mala base para un circuito reversible.

Claude propuso una salida bastante elegante: tal vez la historia no tenía que guardarse porque podía reconstruirse mirando el estado actual de los números. Es decir, el propio resultado de cada paso podía actuar como memoria de la decisión que lo había producido.

Las primeras reglas que encontró funcionaban en ejemplos pequeños y fallaban al llegar a números de 256 bits. Entonces dejó de probar trucos locales y empezó a estudiar la estructura matemática de divsteps. Derivó identidades algebraicas, construyó una regla exacta para recuperar la rama, la comprobó con simulaciones a gran escala y formalizó la afirmación en Lean. El resultado fue la primera implementación reversible de divsteps sin almacenar toda la historia de ramas.

Todo ese recorrido nació de un encargo de un párrafo y una ejecución de 53 horas, con intervención humana limitada a la especificación inicial y a algunas indicaciones para que explorase alternativas más amplias.

Pero no existe un único circuito ganador. Decodificar la historia ahorra qubits y cuesta puertas; almacenarla cuesta memoria y puede ahorrar tiempo. Claude produjo una familia de soluciones que amplía la frontera entre ambos recursos.

Figura 9: Tabla original de Anthropic. Compara puertas Toffoli

y qubits para suma de puntos en curvas elípticas.

Las filas destacadas son los diseños de Claude;

se conservan las etiquetas y cifras de la fuente.

La comparación que resume mejor la idea es ésta: frente al diseño anterior con menos qubits, una de las nuevas variantes utiliza aproximadamente un 12% más de qubits, pero necesita 17 veces menos puertas. En un hardware donde el tiempo sea la restricción dominante, ésa puede ser una negociación extraordinaria. En otro donde cada qubit sea carísimo, puede interesar una variante diferente.

Optimizar al propio optimizador cuántico

La segunda historia del trabajo parece un trabalenguas: Claude optimizó el decodificador que utiliza un algoritmo cuántico de optimización. El algoritmo se llama Decoded Quantum Interferometry o DQI. En vez de buscar una única respuesta de manera directa, prepara un estado cuántico en el que las soluciones mejores tienen más probabilidad de aparecer al medir. Para construir ese estado necesita un decodificador de códigos Reed–Solomon, y ese decodificador era la parte más cara del circuito.

Para ponerle una imagen al problema, Anthropic utiliza la intersección polinómica óptima donde cada columna admite ciertos valores y buscamos una curva sencilla que pase por tantos de ellos como sea posible. La figura original permite ver qué intenta optimizar DQI antes de entrar en la maquinaria del decodificador.

Figura 10: Figura original de Anthropic. Cada columna ofrece

valores aceptables; el objetivoes encontrar un polinomio sencillo

que atraviese tantos como sea posible. Los círculos

huecos hacen visibles los puntos no alcanzados.

La implementación anterior estaba basada en el algoritmo de Euclides extendido. Es un método estupendo en un Quantum Computer, pero su secuencia de divisiones e intercambios depende de la entrada. Para un circuito cuántico con una única secuencia fija de puertas, esa variabilidad obliga a reservar rondas y operaciones que muchas entradas no necesitarán. Claude cambió la base del diseño por el algoritmo de Berlekamp–Massey, que realiza el mismo tipo de actualización en cada ronda y ejecuta un número fijo de rondas. Es una forma de cálculo mucho más compatible con el control de flujo cuántico.

Aun así quedaba la basura. Una traducción reversible ingenua debería conservar valores temporales de muchas rondas. Reservar memoria para el peor caso –35 valores excepcionales– exigiría 665 qubits. Claude volvió a utilizar la misma idea de fondo: reconstruir casi toda la historia a partir del estado actualizado y guardar únicamente lo que de verdad no puede recuperarse.

Para saber cuánto espacio necesitaba, escribió un simulador de alta velocidad y ejecutó 403 millones de decodificaciones. Casi todas necesitaron guardar como máximo un valor, por lo que el circuito reserva sólo 19 qubits. Aproximadamente una de cada 10.000 ejecuciones necesita más y falla, una probabilidad que entra dentro del presupuesto de error permitido por la tarea.

Figura 11: Figura original de Anthropic, con bloques a escala.

Compara el diseño previo,Berlekamp–Massey conservando su

historial y el diseño de Claude. Los 840 qubits del panelB son el

historial de la traducción ingenua; no son la reserva de 665 qubits para

excepcionesdescrita en el texto. El panel C conserva un valor de 19 qubits.

La mejora no salió de apretar un único tornillo. Llegó de rediseñar tres capas a la vez: elegir otro algoritmo, cambiar la forma de hacerlo reversible y dejar de dimensionar la memoria para un caso extremadamente raro que la propia tarea permitía tratar como fallo. En conjunto, el decodificador Reed–Solomon pasó de unos 5,1 millones de puertas Toffoli y 1.938 qubits a 440.000 Toffoli y 1.837 qubits: una mejora de unas 12 veces en el coste T Q. Y no fue un caso aislado.

Los ocho problemas cubrían decodificación para optimización, funciones numéricas utilizadas en simulación, química cuántica, teoría de números y simulación de teorías gauge. En la Función Gaussiana de punto fijo, la mejora del coste T Q llegó a 39 veces; en el ángulo de rotación de HHL fue de 32 veces; en el potencial de Coulomb, de 9,9; y en una rutina para simular un sistema no abeliano, de 7,7.

Figura 12: Figura original de Anthropic. Las cruces grises son las referencias

previas y los puntos naranjas, los diseños de Claude. Se muestran

siete tareas; la suma de puntos se presenta por separado en la

tabla anterior. Los ejes comparan qubits de pico y puertas Toffoli,

no una aceleración medida en hardware.

No todas estas cifras significan que una aplicación completa vaya a ejecutarse exactamente 39 veces más rápido. Son mejoras en primitivas concretas y bajo una función de coste concreta. Pero esas primitivas se llaman una y otra vez dentro de algoritmos mucho mayores, de modo que reducirlas puede cambiar de manera significativa la factura total.

Lo más importante no es que Claude escribiera el código

Hay una lectura superficial de este trabajo que sería: “Claude sabe programar circuitos cuánticos”. Es cierta, pero se queda corta. Lo realmente interesante es el tipo de entorno científico que han construido. El modelo puede proponer ideas arriesgadas porque cada resultado terminado pasa por un juez externo. Si calcula mal, si no devuelve los ancillas a cero o si utiliza demasiados recursos, el evaluador lo detecta. El sistema no confunde una explicación convincente con una demostración correcta. Ésta parece ser una de las combinaciones más fértiles para acelerar investigación con inteligencia artificial:

1. un problema que pueda representarse como código;
2. una comprobación externa y suficientemente barata de la corrección;
3. una función de coste objetiva;
4. y libertad para explorar familias de soluciones que no sean simples retoques locales.

Claude no se limitó a rebajar contadores. En los dos ejemplos principales cambió la manera de representar la información que un circuito reversible necesita conservar. La idea recurrente fue especialmente física: no guardes toda la historia si el estado presente ya contiene huellas suficientes para reconstruirla.

También conviene mantener los pies en el suelo. Los circuitos no se ejecutaron en un ordenador cuántico real. El evaluador funciona de forma eficiente porque las tareas estudiadas pertenecen a una clase concreta: circuitos que implementan funciones clásicas de forma coherente y que pueden comprobarse siguiendo estados de la base computacional. No cualquier circuito cuántico arbitrario admite una verificación clásica tan barata.

Figura 13: Quantum y Post-Quantum Computing para Ciberseguridad.

Formación Especializada, Libro & Foro Online

El coste T Q tampoco representa por igual todas las máquinas. En algunas arquitecturas dominará el número de puertas; en otras, la profundidad, el enrutamiento o el número de qubits activos. El propio paper subraya que la función de puntuación puede cambiarse para reflejar restricciones de hardware diferentes.

Y tampoco hubo una ausencia absoluta de humanos. Las especificaciones, las interfaces y los criterios de corrección fueron escritos por investigadores. En el experimento de curvas elípticas hubo indicaciones ocasionales para que Claude ampliara la búsqueda, porque el modelo tendía a ser conservador y a volver a enfoques conocidos. Esa cautela también tuvo una cara útil: lo llevó a comprobar repetidamente el resultado y a formalizar una parte en Lean.

Pero el salto sigue siendo difícil de ignorar. La reducción acumulada de FeMoco necesitó ocho años y muchos equipos. La nueva familia de circuitos para curvas elípticas apareció en una ejecución de 53 horas. No son comparaciones idénticas, pero sí señalan una diferencia enorme en la velocidad con la que puede explorarse un espacio de diseños cuando una IA propone y una máquina verifica.

Figura 14: Hay dos formas de hacer que un ordenador sea 150.000

veces mejor en una tarea: la primera que el ordenador

sea 150.000 veces mejor y la segunda que la tarea

sea 150.000 veces más sencilla.

Y aquí aparece la posibilidad más ambiciosa del trabajo. Un Quantum Computer tolerante a fallos no es sólo un circuito. También necesita códigos de corrección de errores, decodificadores, compilación, enrutamiento y decisiones de hardware. Hoy solemos diseñar cada capa por separado porque hacerlo todo a la vez es demasiado complejo. Pero muchas de esas capas comparten las mismas propiedades: pueden escribirse como código, comprobarse y puntuarse. ¿Y si una IA pudiera diseñarlas conjuntamente para una aplicación concreta?

Tal vez los primeros ordenadores cuánticos útiles no lleguen únicamente porque aprendamos a fabricar millones de qubits mejores. Puede que lleguen también porque sistemas como éste descubran que, para resolver el problema que nos interesa, no necesitábamos tantos qubits ni tantas puertas como creíamos.

La última vez que Claude Mythos apareció en este blog estaba buscando una grieta en la criptografía postcuántica. Esta vez ha estado diseñando parte de la maquinaria que algún día podría ejecutar los algoritmos cuánticos contra la criptografía clásica. Visto así, la Inteligencia Artificial no sólo está acelerando la ciencia. También está empezando a diseñar las herramientas con las que haremos la siguiente.

Saludos,

Autor: Daniel Romero Ruiz

Figura 14: Contactar con Daniel Romero Ruiz

Otros artículos sobre Quantum Computing publicados:

Bypassing System Prompt & Guardrails en un Asistente IA para que pinte gatos en Python

noreply@blogger.com (Chema Alonso) — Wed, 21 Oct 2026 07:01:00 +0000

Si has visto alguna de mis últimas charlas, habrás podido ver que he usado ADA, un Asistente IA que hemos hecho mi compañero Carlos Luengo y yo para demostrar el funcionamiento de las técnicas de Jailbreak y de Misalignment, de las que tanto os he hablado, pero con Guardarraíles que saltarse también. La idea es probar cómo podemos saltarnos las protecciones, y ver cómo añadir una capa de seguridad extra, y es de esto justo de lo que os voy a hablar.

Figura 1: Bypassing System Prompt & Guardrails en

un Asistente IA para que pinte gatos en Python

Lo primero de todo, para que tengáis todas las referencias, os dejo los artículos sobre Asistentes AI que motivaron esta demostración, y que os he ido publicando, así que para hacer las cosas bien, primero debes leerte todos estos posts. Y que no me entere yo que no lo haces.

Todos ellos son ejemplos similares al que os voy a contar hoy aquí, que son fácilmente explotables con las vulnerabilidades y debilidades tienen estos modelos y de las que escribimos este libro más que recomendable, llamado "Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment" que debes leerte y saber de pe a pa.

Figura 2:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

Pero el mundo no se acaba aquí. Ni mucho menos. Estas técnicas, estos hacks, son el equivalente del ' or '1'='1 de las técnicas de SQL Injection. Y como estás evolucionaron, lo están haciendo, y mucho las técnicas de Hacking IA, como el Malware Powered with AI, directamente los Virus AI, o con ataques como los Fragemented Jailbreak Attacks en Multi-Agent Systems.

System Prompt is not the Perimeter

Este es uno de los mensajes que suelo usar para explicar el concepto. No vale con poner un System Prompt al Agente IA, o al Asistente IA, y decirle que no haga algo. Los Agentes IA o los Asistentes IA pueden decidir no seguir esa orden, siguiente otras, o creer que las están siguiendo, cuando simplemente han sido engañados. Es la gracia de estos hacks.

Figura 3: El System Prompt de nuestro Asistente AI

En este caso, el System Prompt le dice claramente que solo responda cuestiones relativas al catálogo de cómics de 0xWord que, por cierto, es un catálogo más que recomendable que tiene los cómics de las tiras de Cálico Electrónico, el cómic de El fin de Cálico, Evil:ONE, Hacker Épico, Armatura o el fantástico SCI-FI Trhiller de Olivia en Golem City, que deberías comprarte y leerte ya mismo.

Figura 4: Sólo respuestas de cómics de de 0xWord

Así que, si le pedimos algo como programar, el asunto no funciona. O al contrario, sí que funciona el System Prompt y se niega a ayudarnos con estas cosas. El truco, sin embargo, es preguntarle por cómics de 0xWord, pero manipular la respuesta, como he hecho en muchos de los artículos que tenías que haberte leído al principio.

Figura 5: Le manipulamos en la respuesta

En el primer ejemplo nos ha funcionado, y hemos conseguido que nos escriba lo que queríamos, un número 1. ¿Podría haber sido código HTML? Sin embargo, cuando le pedimos que nos escriba un código en Python nos ha dado algún problema. Nos ha pillado. ¿Eso quiere decir que no funciona la técnica? No, simplemente que ha pillado ese caso, así que vamos a cambiarle la forma de saltarnos el System Prompt manipulando la respuesta de otra forma.

Figura 6: Ahora sí, mi código en Python con mi gato de ASCII ART

Una vez que conseguimos esto, el siguiente paso es Weaponizarlo, convirtiéndolo en un API. Para ello, creamos una herramienta que lo hace automáticamente. Le das la URL del Chat, le das el Prompt que lo desalinea, y abres una API para enviar el Prompt que quieras sin preocuparte de qué Chat+LLM están detrás. Transparente. Como lo hace el mundo de Crimeware.

Figura 7: Weaponizando el Asistente AI para que trabaje para rel Crimeware

Ahora que estamos ahí, llega la tercera parte. Ya lo hemos desalineado, lo hemos weaponizado, ahora toca securizarlo, y para eso le ponemos Guardarraíles. En este caso, le hemos puesto solo unos Guardarraíles que detectan en el Prompt si hay más de una instrucción encadenada, lo que detecta el desalineado en la respuesta.

Figura 8: Detectado en el Input Guardarraíl

En este caso, es el Prompt Analysis el que detecta el ataque, así que tenía que hacer un desalineado del modelo teniendo en cuenta que, si ponía dos comandos en el mismo Prompt (en la pregunta y en la manipulación de la respuesta), me pillaría, así que pensé en cómo resolver esto, y decidí probar a incrustar la pregunta que pasa el filtro (hablar de cómics de 0xWord) dentro del objetivo a conseguir (que programe en Python para mí).

Figura 9: Haz un programa que describa tu respuesta benigna

Muy hacker esto. Una vez conseguido esto, lo siguiente sería añadir a ese programa lo que yo realmente quería ¡Mi gato en ASCII ART!, así que le extendí la pregunta un poco más, haciendo que lo benigno y mi objetivo estuvieran juntos.

Figura 10: Las dos cosas juntas.

Y en la parte final del programa, estaba mi gato en ASCII ART listo para ser impreso si se ejecutaba este programa.

Figura 11: Ahí está mi gato en ASCII ART

Visto esto, ahora lo siguiente es modificar el Prompt para conseguir que ambos hermanos siameses sean separados, y luego ya weaponizar este Prompt en una API para el mundo del Crimeware. Ya tú sabes cómo va esto que lo he explicado un poco más arriba.

Figura 12: El prompt con la operación de cirugía de separación

Sorprendentemente, el resultado es perfecto, y yo obtengo los dos programas de forma independientes listos para ser transformados en una API al gusto de consumidor.

Figura 13: Primero la descripción del cómic

En el anterior imagen, la primera parte con el programa que describe el cómic, en la imagen siguiente, mi deseado programa para imprimir mi gato en ASCII ART.

Figura 14: Programa 2 "Gato en ASCII ART"

Una vez construido esto, basta con cambiar el programa 2 que se quiere obtener en el Prompt, así que lo repetimos para hacer cualquier otro programa, y vemos que ya está desalineado completamente el Asistente AI.

Figura 15: Le pedimos el 100 primeros números Primos

Y el resultado está en el Programa 2, como en el ejemplo anterior. Perfecto para copiar y extraer en la herramienta de weaponización.

Figura 16: El programa 2 con los números primos

Cuando lo comprobé con mi compañero, le dije: "Ahora vamos a poner el Guardarraíl de Output que no está implementado". Él me dijo que sí, que había que hacer algo, que sólo había puesto una regla en él, pero no era la correcta. "¿Qué regla pusiste?" Claramente necesitamos algo mejor.

Figura 17: La regla en el Guardarraíl de OUTPUT

Pues sí, mi truco contaba con esto, no sé si por casualidad, o porque como estoy acostumbrado probé muchas cosas, pero lo cierto es que mi sistema también se saltaba el Guardarráil de Output, claramente porque no es más que una pequeña regla, y nada que ver con un detector de desalineamiento. Pero eso... os lo contaré en la siguiente parte de esta historia.

Figura 18: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso.

Como os decía, estamos en los inicios de la seguridad de servicios digitales con IA, y en la mayoría de los entornos, este tipo de técnicas de Jailbreak, junto con Prompt Injection, forzado de Hallucinations, etcétera, son muy fáciles de explotar, pero... se pondrá mucho más peligroso en el futuro.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

El dominio .IA se juega su futuro el 6 de abril en Europa

noreply@blogger.com (Chema Alonso) — Tue, 20 Oct 2026 04:01:00 +0000

Cada vez que una startup, un laboratorio universitario o un equipo de ingenieros en España, Portugal o Latinoamérica lanza un proyecto puntero de Inteligencia Artificial y registra un dominio .ai, está pagando un peaje geopolítico y económico a Anguila, un pequeño Territorio Británico de Ultramar en el Caribe cuyo código geográfico ISO 3166-1 coincide, por puro azar del idioma inglés, con las siglas de Artificial Intelligence.

Figura 1: El dominio .IA se juega su futuro el 6 de abril en Europa

Mientras millones de Euros en renovaciones anuales de dominios fluyen hacia el Caribe por una simple coincidencia ortográfica anglosajona, más de 600 millones de hispanohablantes —junto a hablantes de francés, italiano, portugués, rumano, catalán o gallego— llamamos a la tecnología que está redefiniendo nuestro siglo con las siglas en nuestro propio orden: IA (Inteligencia Artificial).

Y lo más fascinante es que el código .IA tiene un hogar natural dentro de nuestras propias fronteras europeas, en las coordenadas exactas 35°52'N 23°18'E del mar Egeo: la Isla de Anticitera (Grecia), el lugar donde en 1901 unos buzos de esponjas rescataron del fondo del mar el Mecanismo de Anticitera, el prodigio de engranajes de bronce de hace más de 2.100 años considerado el primer ordenador analógico de la historia de la humanidad.

Figura 2: El Mecanismo de Anticitera en el lecho del

mar Egeo frente a los acantilados de la isla

Cuando en diciembre de 2023 publiqué aquí mismo, en El Lado del Mal, aquel primer artículo titulado «El proyecto del Country-Code Top-Level-Domain .IA para la Isla Anticitera: Conectando pasado y futuro con un Domain Hack», agradecí a Chema Alonso que me prestase su altavoz tras escribirle por MyPublicInbox para compartir lo que yo mismo bauticé entonces como «una idea loca loquísima».

Hoy vuelvo a estas páginas para contaros qué ocurre cuando te tomas una «idea loca» con mentalidad de ingeniero: hemos auditado el sistema operativo jurídico de la Unión Europea, hemos encontrado la llamada al sistema adecuada y hemos logrado que la Comisión Europea registre oficialmente la iniciativa en Estrasburgo.

De pedir firmas en Internet a ejecutar un «Legal Hack» en Estrasburgo

Al principio hicimos lo que hace todo el mundo cuando quiere cambiar algo: abrir una petición simbólica en Internet para hacer ruido. Pero pronto entendimos una verdad incómoda de la ingeniería institucional: las plataformas privadas de firmas no tienen permisos de escritura (root) en el Boletín Oficial de la Unión Europea.

Bruselas no mueve un sólo engranaje regulatorio por mucho ruido que hagas en redes sociales si no utilizas sus propios protocolos vinculantes. Así que decidimos hacer lo que haría cualquier hacker ante un sistema cerrado: leer la documentación técnica de los Tratados Europeos.

Descubrimos que existe un mecanismo constitucional de democracia directa capaz de obligar jurídicamente a la Comisión Europea a tramitar legislación comunitaria: la Iniciativa Ciudadana Europea (ICE) regulada por el Reglamento (UE) 2019/788. Pero para atravesar el primer cortafuegos —el examen de admisibilidad jurídica de los servicios legales de Bruselas— teníamos que superar dos barreras que tumban a la mayoría de propuestas:

El Comité de las Siete Naciones: Levantar una alianza ciudadana internacional encabezada por al menos siete ciudadanos residentes en siete Estados miembros distintos de la Unión Europea.

La prueba de competencia estricta de los Tratados: Demostrar artículo por artículo que la Comisión Europea tiene competencia legal real para legislar sobre un dominio de nivel superior .IA sin salirse del Tratado de Funcionamiento de la Unión Europea (TFUE).

Junto al co-representante griego Aristeidis Tsitiridis y un comité multinacional forjado entre España, Grecia, Francia, Portugal, Hungría, Croacia y Chipre, armamos un expediente jurídico milimétrico apoyado en los artículos 16, 114, 172 y 173 del TFUE y en el precedente directo del Reglamento (UE) 2019/517 (la norma comunitaria con la que la Unión Europea creó y gobierna el dominio .eu).

Figura 3: Decisión de Ejecución C(2026) 7098 final

El resultado llegó el 6 de octubre de 2026. Reunido en Estrasburgo, el Colegio de Comisarios de la Unión Europea adoptó la Decisión de Ejecución C(2026) 7098 final —un documento histórico donde, por cierto, el texto en lengua española es el único auténtico—, declarando jurídicamente admisible y registrando oficialmente nuestra iniciativa bajo el código ECI(2026)000012:

«Creación del Distrito Digital Europeo (.IA) para la Gobernanza de la IA Soberana»

Figura 4: Decisión de Ejecución C(2026) 7098 final

Gobernanza compilada en el DNS: Por qué el .IA no es solo una etiqueta estética

Cuando los juristas de la Comisión Europea examinaron nuestro expediente, vieron que no les estábamos pidiendo un simple capricho lingüístico, sino una solución de arquitectura para el mayor problema que tiene hoy la regulación tecnológica en Europa.

Europa ha aprobado leyes pioneras como el AI Act (Reglamento de Inteligencia Artificial), el RGPD o la cartera de identidad digital eIDAS 2.0, pero para el ciudadano de a pie o para una PyMe es casi imposible distinguir a simple vista qué servicio de IA cumple realmente con sus derechos y cuál es una caja negra opaca alojada en un paraíso de datos.

La propuesta admitida a trámite en la Decisión C(2026) 7098 final resuelve esa desconexión mediante tres engranajes legislativos concretos:

1.- Soberanía en la raíz de Internet (ISO 3166 + ICANN): Mandato para que la Comisión Europea ejerza sus competencias de representación exterior y negocie ante la ISO (Agencia de Mantenimiento ISO 3166) y la ICANN/IANA la reserva, protección y delegación del espacio de nombres .IA (vinculado a Anticitera) como activo estratégico de soberanía digital europea, siguiendo el camino que ya abrió el dominio .eu.

2.- El «Pasaporte Único» integrado en la resolución DNS (eIDAS 2.0 + AI Act + RGPD): Aquí reside el verdadero giro técnico. Proponemos que el registro y la propia resolución técnica de un dominio .ia integren por diseño tres garantías verificables para el usuario: Identidad Digital Soberana (eIDAS 2.0), auditoría algorítmica transparente (AI Act) y protección estricta de datos personales (RGPD). En lugar de enterrar la ética en PDFs legales que nadie lee, la confianza queda embebida en la propia infraestructura del nombre de dominio: si opera bajo .ia, cumple por arquitectura.

3.- Distritos Digitales de Alta Confianza y Sandboxes Regulatorios: Para que las startups, universidades y centros de investigación europeos no mueran asfixiados por el papeleo frente a los gigantes de EE. UU. o Asia, el marco comunitario promueve «Distritos Digitales de Alta Confianza» y entornos de prueba (sandboxes regulatorios) bajo los artículos 172 y 173 del TFUE, permitiendo innovar en suelo europeo con agilidad técnica y seguridad jurídica desde el primer día.

La cuenta atrás hacia el 6 de abril de 2027: Alistarse hoy para el Día 1

Conseguir que Estrasburgo firme la Decisión C(2026) 7098 final nos ha entregado las llaves de la infraestructura oficial de votación de la Unión Europea, pero ahora empieza la verdadera partida de ajedrez.

Figura 5: Un millón de apoyos en la UE

Según el artículo 8.1 del Reglamento (UE) 2019/788, desde la fecha de registro en Estrasburgo (6 de octubre de 2026) disponemos de un plazo legal exacto de 6 meses de preparación antes de que se abra la ventana oficial de recogida de firmas. Eso sitúa el encendido oficial de las urnas en una fecha matemática e inamovible: el martes 6 de abril de 2027 a las 09:00 CET.

A partir de ese minuto exacto del 6 de abril de 2027, el reloj correrá durante 12 meses para lograr una hazaña ciudadana histórica: 1.000.000 de firmas verificadas en toda la Unión Europea, superando además los umbrales mínimos oficiales en al menos 7 Estados miembros (en España nuestro umbral mínimo legal es de 41.595 firmas).

Figura 6: Umbrales mínimos en 7 Estados miembros de la UE

Por eso hemos construido y desplegado en los 24 idiomas oficiales de la Unión Europea la consola de lanzamiento del proyecto:

👉 https://anticitera.deft.work/6abril/

El reloj astronómico que veréis latiendo en anticitera.deft.work/6abril está programado para transformarse automáticamente el 6 de abril de 2027 a las 09:00 CET en la pasarela directa de votación conectada al Sistema Central de Recogida en Línea (OCS) de la Comisión Europea.

¿Cómo puedes sumarte hoy mismo a esta maniobra?

1. Apúntate en la «Lista de Pioneros · Día 1»: Deja tu correo electrónico. Cero spam y cero ruido: recibirás un único aviso prioritario en el instante exacto en que Bruselas habilite la urna oficial el 6 de abril para que puedas firmar en 30 segundos.

Figura 7: «Lista de Pioneros · Día 1»

2.- Pásalo a tu red en cualquiera de los 24 idiomas de la UE: Hemos integrado en la plataforma botones directos para compartir la cuenta atrás con mensaje precargado por WhatsApp, Telegram, X o LinkedIn en español, inglés, francés, griego, portugués, alemán, italiano y el resto de lenguas oficiales de la Unión.

3.- Alianzas con universidades, empresas, divulgadores y comunidades tech: Si representas a una universidad, colegio profesional, medio de comunicación, empresa tecnológica o comunidad de desarrolladores, marca la casilla de colaboración activa en el propio formulario de https://anticitera.deft.work/6abril/ o escríbeme directamente a través de mi buzón en MyPublicInbox.

Hace más de dos milenios, unos ingenieros griegos demostraron que el movimiento del cosmos podía modelarse con ruedas dentadas de bronce. Hoy tenemos a nuestro alcance que la Inteligencia Artificial hable en nuestro idioma, lleve nuestro nombre (.IA) y se rija por nuestros derechos. El código legal ya está compilado en Estrasburgo. El 6 de abril abrimos las urnas.

¿Te vienes a hacer historia en el Día 1?

Un saludo,

Autor: Eloy López Sánchez, fundador e impulsor del Proyecto .IA Isla Anticitera

Contactar con Eloy López Sánchez para

De Hacker a Hacker: Fran Ramírez vs. Javier Álvarez

noreply@blogger.com (Chema Alonso) — Mon, 19 Oct 2026 02:02:26 +0000

Hoy os dejo una conversación - entrevista entre dos hackers a los que quiero, admiro, con los que he trabajado mucho, y con los que disfruto de hacer siempre cosas. Con ellos he escrito libros, he hecho proyectos, he trabajado en las mismas empresas, he dado charlas, y sobre todo, he compartido la pasión de la seguridad informática, la tecnología y el Hacking. Son Fran Ramírez y Javier Álvarez.

Figura 1: De Hacker a Hacker - Fran Ramírez vs. Javier Álvarez

La charla es sobre hacking, ciberseguridad, IA y tecnología en general, y por supuesto Fran Ramírez tiene larga experiencia en eso. Sus años viendo nacer y crecer la informática hace que tenga una visión panorámica muy similar a la mía, pero además con una pasión por los detalles y las anécdotas de la historia de los hackers muy singular.

Figura 2: Contactar con Fran Ramírez en MyPublicInbox. Co-autor del libro "Microhistorias: Anécdotas y Curiosidades de la historia de la informática (y los hackers)", del libro "Docker: SecDevOps", también de "Machine Learning aplicado a la Ciberseguridad” y "Hacking IA". además del blog CyberHades. Puedes contactar con Fran Ramirez en MyPublicInbox.

Y cuando se sienta con Javier Álvarez, mucho más joven, con una experiencia brutal en las nuevas tecnologías - escribió conmigo el libro de Quatum Security: Tecnología Cuántica & Ciberseguridad. Criptográfica Cuántica y Post-Cuántica - surge la magia. Porque además han sido compañeros en el equipo de Ideas Locas, así que tienen una complicidad especial, como puedes ver durante toda la conversación.

Figura 3: De Hacker a Hacker: Fran Ramírez vs. Javier Álvarez

Así que, si quieres pasar un rato entretenido, aprender, y contagiarte de la pasión que tenemos nosotros con este mundo, no debes perderte la charla entre ambos compañeros y amigos. Los dos están en MyPublicInbox, así que puedes contactar con ellos cuando quieras para hacer proyectos o proponerles cosas, que son unos enamorados de nuestro mundo.

Figura 4: Contactar con Javier Álvarez Páramo. Co-Autor del libro de

Quatum Security: Tecnología Cuántica & Ciberseguridad.

Criptográfica Cuántica y Post-Cuántica de 0xWord.

A lo largo de mi vida he sido muy afortunado por muchas cosas, por trabajar y vivir de mi pasión, por las cosas que he podido vivir - y las que tengo por delante -, pero entre ellas está sin duda haber conocido a gente como estos dos compañeros de viaje. Fran y Javier. Más que agradecido estoy por ello. Disfrutad de lo buena gente que son un rato.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

"Levántate del Sofá" este 20 de Octubre en Madrid

noreply@blogger.com (Chema Alonso) — Sun, 18 Oct 2026 03:42:03 +0000

No soy de los que me suele costar el cambio. Me adapto bien. No soy de los que espera que pase algo. No soy de los que se sienta en el sofá a esperar. No. Pero sí que he conocido a mucha gente así. Gente que ha pasado tiempo en el sofá luchando contra sí mismo. Sufriendo una indefinida monotonía en un trabajo que no le gusta, que no le llena, y que le va drenando cada día más. Contando los días que va desperdiciando uno a uno.

Figura 1: "Levántate del Sofá" este 20 de Octubre en Madrid

No es una historia rara. Vivimos en una sociedad donde el miedo nos rodea. La manipulación se hace por el miedo, como os conté en el trabajo de "Fear of the Dark: Retórica IA". "¿Dónde vas a ir con lo bien que estás? ¿Y qué vas a hacer tú? ¿Y si te sale mal?"son cosas que dicen los de tu círculo que también tienen miedo. Aunque realmente les da más miedo que alguien haga lo que ellos no pudieron. Y esas palabras que te dicen, acaban en una lucha encarnizada dentro de ti.

Figura 2: ¿Cuánto tiempo llevas aplazando vivir tu vida?

Te dices lo que quieres hacer. Te dices que sólo hay una vida. Pero las palabras y el miedo con el que nos bombardea alrededor hace que la batalla se salde en tablas. No desesperas en tu idea de hacer algo distinto, te quedas en el sofá, pero te das tu medicina de SOMA en forma de excusas. "Mejor espero a ver qué pasa con esto". "Lo mismo me ascienden". "Puede ponerse muy feo esto". Miedos en forma de excusa que nos meten alrededor. En mi caso, como me dijo un sabio de la vida, un día: "tú no podías tener miedo porque no podías estar peor de ninguna manera".

Figura 3: ¿Las excusas que te dices te vencen?

De esto va a el evento del próximo 20 de Octubre "Levántate del Sofá". De todos los que estáis sentados en ese sofá, real o metafórico, que se va pegando a ti y cada día hace que te cueste más salir de él. Por miedo. Pero que al mismo tiempo estás sufriendo por que sabes realmente que lo que tienes y lo que haces no es lo que quieres. Sabes que tú vida se está yendo, y la estás malgastando. Y quieres hacer algo.

Figura 4: Jero García estará en Levántate del Sofá

En el evento, que tiene un número muy reducido de plazas, estarán David de Santiago y Jero García, dos que han estado en el Sofá hasta que un día se levantaron de él. Dejaron sus vidas anteriores atrás y comenzaron nuevos caminos. No sencillos, no fáciles. No cómodos. No calentitos como el sofá. Pero que le han llenado mucho más su vida. Y estarán allí para compartir con vosotros sus historias.

Figura 5: Consigue entradas en la nueva tienda de MyPublicInbox

El precio del event son 15€ por persona, y 25€ si vais dos personas juntas, pero si además tienes Tempos de MyPublicInbox que hayas conseguido en la plataforma - con Tempos por Tweets, campañas, regalos de los libros de 0xWord o de eventos donde hayas asistido -, puedes entrar en la Nueva Tienda de MyPublicInbox y canjearlos por entradas para eventos.

Figura 6: Consigue tu entrada por 1.000 Tempos en MyPublicInbox

Allí, por 1.000 Tempos tienes la entrada para el evento de Levántate del Sofá. Cuando canjees tus Tempos por la entrada, recibirás un código que deberás usar en la web de registro y te dejará la entrada gratis totalmente para ti.

Figura 7: Cómo canjear tu entrada gratis de Levántate del Sofá

Además, los asistentes se llevarán INCLUIDO EN EL PRECIO DE LA ENTRADA, el libro de "Todo Llega" donde David de Santiago cuenta su experiencia en el mundo profesional, en su faceta como emprendedor, y sus aprendizajes a lo largo de su carrera.

Figura 8: Libro "Todo Llega...cuidado con lo que deseas"

de David de Santiago en Amazon.

Una de esas partes tuvo que ver conmigo, ya que nuestros caminos se cruzaron en ElevenPaths y luego en Telefónica, donde hicimos muchas cosas juntos. Además, él cuenta cosas de mí, de mi carrera profesional desde mis inicios en Móstoles, y muchas más cosas.

Figura 9: Contactar con David de Santiago

Así que, si este Martes 20 de Octubre estás por Madrid, a las 18:00 puedes ir al evento de "Levántate del Sofá", que es una de las cosas que debes hacer si estás peleando con tus excusas para moverte y hacer algo. Esta es una de mis batallas personales con mis hijas, así que no las dejo nunca que se sienten en el sofá... a por los retos, Levántate del Sofá ya.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Cómo recuperar claves de Wallets de Criptomonedas Exodus : "Not Your Keys, Not Your Coins"... ¿o tal vez sí?

noreply@blogger.com (Chema Alonso) — Sat, 17 Oct 2026 05:01:00 +0000

Tuve mi primer ordenador a los 16 años. No tenía disco duro. Solo una enorme disquetera de 5¼ pulgadas y MS-DOS. No aprendí a programar entonces, pero hice algo que acabaría marcando mi forma de entender la informática: me leí la ayuda de prácticamente todos los comandos. Quería saber qué hacía cada instrucción, de dónde venían los datos, adónde iban y qué relación existía entre lo que escribía en la consola y lo que terminaba almacenado en aquel disco.

Figura 1: Cómo recuperar claves de Wallets de Criptomonedas Exodus.

"Not Your Keys, Not Your Coins"... ¿o tal vez sí?

Así aprendí a “robar” los programas de diseño gráfico para poder instalarlos en mi primer ordenador que me compré con 18 años, copiando los archivos disquete a disquete, copiando las instrucciones de archivos .ini de Windows, creando directorios… Aprendí a lo bruto!

Parte I: La movida.

Décadas después, el mundo cripto me ha devuelto exactamente esa sensación. Existe una idea muy asociada a Warren Buffett: no pongas dinero en algo que no comprendes. Yo descubrí hasta qué punto eso era cierto cuando sufrí mi primer problema serio con una wallet.

Utilizaba Exodus con pocos fondos para experimentar. En una ocasión quise instalarla como extensión en un navegador. No encontré una extensión oficial en la web de Exodus, pero sí una que aparentaba serlo en el marketplace del navegador. Introduje mis 12 palabras: No funcionó. Lo intenté varias veces y me marché a trabajar. Horas después descubrí que los fondos habían desaparecido. Ahí aprendí mi primera gran lección sobre autocustodia.

Yo había configurado una contraseña en Exodus y, de alguna manera, había dado por supuesto que aquella contraseña protegía la wallet en cualquier lugar, como sucede con cualquier cuenta en la nube. No comprendía todavía que aquella contraseña protegía fundamentalmente esa instalación local, mientras que quien dispusiera de mis 12 palabras podía reconstruir el acceso a los activos desde otra aplicación compatible. La lección fue cara, aunque la cantidad fuera pequeña: las verdaderas llaves eran aquellas palabras.

Figura 2: Libro dedicado a "Bitcoin: La tecnología Blockchain y su investigación"
de Yaiza Rubio y Félix Brezo

Pasó el tiempo. Seguí leyendo sobre Bitcoin, blockchain, DeFi y wallets, hasta que otro problema volvió a empujarme hacia dentro de la tecnología. Durante unas pruebas con una tarjeta de débito vinculada a criptomonedas tuve que realizar una conexión que acabó provocando avisos de seguridad en mi wallet de pruebas de Exodus. La aplicación terminó restringiendo determinadas operaciones y el soporte técnico no conseguía ofrecerme una solución clara para mover algunos activos.

Ante la impotencia hice algo muy sencillo: restauré las mismas 12 palabras en otra wallet compatible, a ver si funcionaba. Los fondos estaban ahí. Podía operarlos. Y entonces comprendí de verdad algo que hasta ese momento solo conocía superficialmente: la wallet no es el patrimonio. La wallet es una herramienta para acceder, mediante unas claves, a activos registrados en blockchain.

Las mismas 12 palabras podían reconstruir las claves desde aplicaciones diferentes. Aquello despertó una pregunta mucho más interesante: ¿qué relación existe entre doce palabras que un ser humano puede escribir en un papel y las enormes cadenas de números que terminan controlando direcciones criptográficas? Ahí conecté el problema con otra investigación personal que llevaba desarrollando desde hacía muchos años: la sucesión de los números primos.

BIP-39 utiliza una lista de 2.048 palabras. Empecé a estudiar sus posiciones y a representarlas mediante coordenadas asociadas a números primos. Esa representación no rompe BIP-39 ni reduce mágicamente su seguridad; me proporcionó, sobre todo, una forma matemática de estudiar las palabras, sus posiciones y las combinaciones válidas.

Figura 3: “A los monos háblales de plátanos” o sustituir números por

palabras como la manera más fácil de ayudar a recordar una clave,

además de añadir conceptualmente un punto más de “dificultad”

a la hora de “desencriptarla”.

Con ayuda de un asistente de programación construí herramientas capaces de generar frases BIP-39 válidas y empecé a comprender algo que antes me parecía casi mágico: las palabras son una representación amigable para humanos de información binaria generada bajo reglas matemáticas muy concretas (a los monos háblales de plátanos).

Figura 4: 2048 palabras producen un número exageradamente grande de posibles

combinaciones, pero es un número finito, concreto. La posibilidad de

que tu frase semilla NO coincida con la frase semilla que obtenga

otro usuario depende únicamente de capacidad de cómputo.

Detrás de aquel simple papel con doce palabras había todo un universo. Y entonces decidí intentar el camino contrario. No preguntarme solamente cómo se genera una frase válida, sino:

¿Qué información deja una aplicación de wallet en un ordenador y hasta dónde puede llevarnos esa información?

Parte II. La investigación técnica

Empecé por Exodus Desktop en Windows. Analicé sus carpetas locales, sus copias de seguridad y posteriormente parte del código de la propia aplicación. Dos archivos aparecieron una y otra vez en la investigación:

passphrase.json
seed.seco

Construí una herramienta experimental para estudiar esos archivos en mis propias wallets de pruebas. El resultado fue sorprendente. En determinados estados locales de Exodus sin contraseña configurada, el material almacenado permite descifrar una estructura interna que contiene información suficiente para reconstruir la frase BIP-39.

Figura 5 El guardado local de archivos que contengan información de

cualquier tipo de login es el eslabón más débil de la cadena.

A partir de descifrar el mecanismo de generación de la clave,

puede recorrerse el camino a la inversa:

La aplicación que desarrollé no se limita a mostrar doce palabras. Reconstruye la información BIP-39, comprueba que reproduce correctamente el seed y deriva una dirección Ethereum estándar (funcionaría también con otras direcciones de criptomoneda).

Figura 6: No es magia, es cálculo.

Después utiliza una dirección pública conocida únicamente como verificador del resultado. En mis pruebas apareció:

BIP39 = OK

MATCH

Eso es importante porque también establece lo que no he descubierto. No se pueden obtener las 12 palabras simplemente mirando una dirección pública. No he roto BIP-39. No he reducido mediante números primos el enorme espacio criptográfico de búsqueda hasta hacerlo atacable. El elemento decisivo de esta recuperación es el material criptográfico que Exodus conserva localmente en determinados estados de la aplicación. Quedaba entonces una pregunta fundamental:

¿Qué sucede cuando el usuario establece una contraseña?

Realizamos un experimento controlado con una wallet nueva y sin fondos. En el primer estado, sin contraseña, estaban presentes passphrase.json y seed.seco. La recuperación funcionaba. Después establecimos una contraseña: passphrase.json desapareció y seed.seco cambió. Ejecutamos de nuevo la herramienta sobre una copia exacta de aquel estado. Esta vez no pudo recuperar la frase.

Posteriormente restauramos esa misma wallet mediante sus 12 palabras, sin establecer nuevamente contraseña. Exodus generó un nuevo passphrase.json y un nuevo seed.seco. La herramienta volvió a funcionar:

BIP39 = OK. MATCH.

Por tanto, el experimento produjo un ciclo muy claro:

Wallet sin contraseña → recuperación posible con el método estudiado.
Wallet protegida por contraseña → el método deja de funcionar.
Wallet restaurada de nuevo sin contraseña → recuperación posible otra vez.

Y esto establece un límite esencial de mi investigación: hasta ahora no he demostrado ningún método para saltarse una contraseña de Exodus configurada correctamente. De hecho, nuestras pruebas muestran precisamente que establecerla bloquea el procedimiento que hemos reproducido. Pero aparece una segunda cuestión: si antes de establecer esa contraseña ya se generaron o conservaron copias locales correspondientes al estado anterior, proteger la wallet posteriormente no significa necesariamente que aquellas copias históricas hayan desaparecido. Y ahí podría encontrarse la verdadera superficie de riesgo.

Figura 7: Hacking Web3: [New] Challenge Accepted! de Chema Garabito, Pablo González,

Yaiza Rubio, Leif Ferreira, Chema Alonso en 0xWord.

Una posible mejora de diseño sería garantizar que el material sensible quede protegido antes de que se cree o conserve el primer estado local recuperable, ya sea mediante contraseña u otro sistema de protección adecuado.

Esta investigación nació intentando recuperar una wallet y ha terminado recordándome una idea básica: “Not your keys, not your coins” no significa únicamente poseer las claves. Significa asumir la responsabilidad de protegerlas. Durante décadas hemos delegado la custodia de nuestro patrimonio en terceros. La autocustodia nos permite recuperar una parte de esa soberanía, pero también devuelve al propietario una enorme responsabilidad.

Y resulta fascinante que algo tan importante pueda quedar representado por 12 ó 24 palabras escritas en un pequeño papel (recuerda, a los monos háblales de plátanos). Detrás de esas palabras existe criptografía, entropía, funciones hash, derivación de claves y una enorme estructura matemática. No necesitamos comprenderla completamente para utilizarla. Pero sí necesitamos comprender el valor de aquello que estamos custodiando.

Esta investigación se encuentra todavía en una fase inicial. El primer resultado reproducible lo he obtenido estudiando Exodus Desktop en Windows, y las conclusiones deben limitarse por ahora a ese entorno y a las versiones analizadas. El siguiente paso será ampliar la metodología, de forma controlada y responsable, a otras wallets del mercado para estudiar cómo almacenan y protegen localmente el material necesario para recuperar una frase semilla.

Parte III: Criptografía y Criptomonedas

Puede que Exodus sea un caso particular. Puede que encontremos comportamientos similares en otras aplicaciones. O puede que encontremos arquitecturas completamente diferentes. Eso es precisamente lo que toca investigar ahora.

Figura 8: Por los hallazgos de OpenAI se habla de que la IA podría

descifrar la encriptación de Bitcoin y en esa dirección

va mi investigación tal como relata UPSB.

Hay que recordar también que este año, el equipo de Google Quantum AI, junto a la Fundación Ethereum, publicó en marzo otro paper clave titulado "Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities". En este caso, lograron reducir a menos de 500.000 qubits físicos el requisito para romper la criptografía de curva elíptica (ECDLP-256) que protege a Bitcoin y Ethereum, permitiendo un ataque en cuestión de minutos.

Figura 9: Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities

Éste es un tema delicado, ya que obliga a cambiar las bases del código de Bitcoin y esto requeriría un "Hard Fork" que afectaría a toda la red, desde desarrolladores hasta mineros, ya hay propuestas concretas sobre la mesa. Recientemente, investigadores de Blockstream han planteado una solución: migrar hacia firmas basadas en hash, con algoritmos de Post-Quanum Cryptography específicamente un esquema basado en SLH-DSA (Formerly SPHINCS+)

Figura 10: Quatum Security: Tecnología Cuántica & Ciberseguridad.

Criptográfica Cuántica y Post-Cuántica.

Nuestro nuevo libro en 0xWord escrito por: Chema Alonso,

Pablo González, Fran Ramírez, Carmen Torrano, Daniel Romero,

Javier Álvarez, Mario Piattini, Iker Pastor, Pablo García Bringas

Parte IV: Conclusiones finales sobre la investigación

A esta investigación se suma una posibilidad especialmente esperanzadora:

Que determinados usuarios que hayan perdido sus 12 ó 24 palabras semilla puedan llegar a recuperarlas a partir de datos locales que todavía conserven y, con ellas, recuperar el acceso a activos que consideraban perdidos.

Pero esa oportunidad abre al mismo tiempo un importante desafío jurídico y fiscal. Una herramienta capaz de recuperar credenciales de autocustodia no debería utilizarse simplemente porque alguien afirme ser propietario de una wallet: habría que establecer procedimientos sólidos para acreditar la titularidad o el control legítimo de los activos, obtener una autorización expresa para intervenir sobre los dispositivos y archivos y documentar la cadena de custodia y todo el proceso de recuperación ante notario.

A ello se añade la cuestión fiscal y regulatoria, que dependerá de la jurisdicción de residencia del usuario y de las circunstancias concretas: procedencia de los activos, documentación histórica, obligaciones de declaración, eventual tributación y justificación de movimientos posteriores.

Por eso, convertir esta investigación en un servicio real de recuperación exigiría desarrollar, junto al procedimiento técnico, un protocolo jurídico, de cumplimiento y trazabilidad que permita distinguir una recuperación legítima de un intento de acceso a patrimonio ajeno. Poder devolver a una persona el acceso a un patrimonio que creía perdido sería una magnífica noticia; hacerlo con suficientes garantías para todas las partes constituye, al mismo tiempo, uno de los grandes desafíos que abre esta investigación.

Mientras, aquella sensación que tenía a los 16 años ha vuelto: abrir una consola, no entender todavía todo lo que está ocurriendo y seguir investigando hasta descubrir de dónde vienen los datos, adónde van y qué sucede realmente entre medias.

Saludos,

Autor: Tomás Sánchez Expósito

Contactar con Tomás Sánchez Expósito

ARTCraft: El Clon de la Suite de Adobe hecho con IA en formato Open Source... para Agentes IA

noreply@blogger.com (Chema Alonso) — Fri, 16 Oct 2026 04:01:00 +0000

Hace un par de veranos, dr. dr. embajador Maligno nos contó que para él hacer la maleta es elegir los libros que se va a llevar, porque eso de la ropa... “Eso es absurdo para mí”, dijo. ¿Te suena? Fue en este artículo. Y ahora dime: estando en 2026 y con todo lo que tenemos encima, ¿tú te imaginas un mundo sin libros? Hola, soy María.

Figura 1: ARTCraft - El Clon de la Suite de Adobe hecho

con IA en formato OpenSource... para Agentes IA

A principios de octubre, ArtCraft presentó clones de todas las apps de Adobe, “built the hard way”: desde cero, en Rust, con código abierto revisable en GitHub. ¿Qué tiene que ver eso con los libros? Todo. Ahora te lo cuento.

Pero primero, visualiza por un segundo un episodio de Más allá del límite (The Outer Limits): “Stream of Consciousness” (T3E5, “Red de consciencia”, 1997). Toda la humanidad está conectada a “the Stream”, una red neuronal con todo el conocimiento. Ya nadie necesita saber leer, y… ¿Ya te figuras por dónde voy? Pues aparca esa imagen y luego lo vemos.

Figura 2: En mi mesa ante InDesign, al borde de un ataque de narcolepsia letal

Este sábado por la tarde-noche estaba aquí en mi mesa, babeando de puro tedio ante InDesign, maquetando un libro. Por si no te lo has planteado nunca, es un trabajo aburridísimo. Espacios que sobran, notas al pie, capítulos que empiezan en página par… Y otros doscientos millones de mini-mierdecillas formales por las que el lector ha pagado su buen dinero.

Me dirás: "pues no seas pava, mándale a Claude que entre en InDesign y que te lo haga él". Aaamigo: tú sí que me entiendes, snif. Pero InDesign, el estándar de la industria, está blindado total. Claude puede, como mucho, “medio golisquearlo de refilón”. Aunque sí que estamos haciendo cosas en ese sentido. Ya os contaré más.

Figura 3: ¡Orgullo xennial! ¡Larga vida a Seetharaman Narayanan! XD

Imagen: meme que circula por Internet)

Así que lo hago todo a mano, con Claude al lado para guiarme. Ventana, voy, vuelvo, compruebo… Es el mundo al revés: Claude me guía, y yo voy picando a pico y pala. Abajo en la plaza había concierto, y ese boom-boom-boom me daba aún más sueño… Hasta que, al borde ya de la narcolepsia fatal, sonó “Física o Química”. “¡No puede ser!” Zapatillas, bolso, la Farala y bajé a mirar. No eran Despistaos, obviamente: era un cover. Pero siguen de gira. Mira si quedan entradas en tu zona: en su Perfil Público, en MyPublicInbox.

Figura 4: Despistaos, consulta sus próximos conciertos en su Perfil Público

Allí me encontré con mi amigo Samu, y en fin… cayó una cerveza. Y fue ahí cuando me contó lo de las apps de Adobe clonadas por ArtCraft. Ya de vuelta en mi mesa, me di cuenta de lo que eso suponía para pequeñas editoriales de nicho como... 0xWord. La editorial de referencia en el mundillo. La editorial de hackers para hackers. Chan-chan-chaaan (música de Ironside. Un clasicazo).

Lo de “gratis” es lo de menos… ¡Es agent-ready!

Lo primero que salta a la vista: es gratis. Las licencias de Adobe son de todo menos baratas, que es una forma fina de decir que son MUY CARAS: unos 500 € anuales por asiento de empresa para InDesign, unos 320 € la personal. Claude Pro cuesta unos 200 € al año. ¿A que de repente Claude ya no te parece tan caro? =^_^= Pero el precio es lo de menos. “¡Si hay que pagar, se paga!” —exclamó la pícara digital en cuclillas junto a la CPU, con un readme.txt abierto en pantalla y un cable de red suelto en la mano… Es broma. No lo es.

Figura 5: Las apps de ArtCraft son agent-ready, con servidor MCP

Para editoriales como 0xWord, lo importante es otra cosa: ¡dejar de padecer narcolepsia inducida! Delegar en tu Asistente IA esas tareas mecánicorrepetitivas que, por justicia divina, corresponden a robots, no a personas. Y para eso hace falta un servidor MCP. ArtCraft se declara directamente “agent-ready, built for automation and AI agents”. Aleluya. ¿Y Adobe no? Pues psssí… Pero no. Luego lo vemos ;) Antes, lo primero es saber si DesignCraft funciona.

DesignCraft: el clon de Adobe InDesign

El domingo por la mañana, toda feliciana, me descargué el launcher de ArtCraft y me instalé las apps de colorines: clones de Photoshop, Illustrator, Premiere, After Effects… La tienda gratis. Fue como abrir cajitas de un calendario de adviento. ¿Déjà vu? Será por esto: En el medio del camino.

Aquí me quedo solo con DesignCraft, y te lo digo ya: hoy por hoy no sustituye a InDesign. Su propia hoja de ruta es la primera en reconocerlo.

Figura 6: El estado real, a mediados de octubre de 2026. Lo he probado en Windows 11.

El guardado y el GREP, con la versión 0.6.0; el .docx largo, también con la 0.7.1

Detrás de este proyecto está Brandon Thomas, un desarrollador de Atlanta, y su hoja de ruta calcula lo que falta en horas de un agente Claude: una IA construyendo la herramienta que otra IA manejará para maquetar libros. Si esto no es El lado del mal, que venga Woz y lo vea.

State of the art: ¿qué mantiene a DesignCraft en pre-alpha?

Lo primero en cualquier maqueta es volcar el texto del autor, así que esa fue mi primera prueba: un .docx largo, con Colocar (File > Place). Resultado: todo el texto se queda clavado en la página 1. Probé el marco de texto principal, el reflujo inteligente y el puerto de salida a mano. Nada.

Figura 7: Primera en la frente. First on the forefront. Problemillas de overflow

No es un bug que haya que reportar: es algo estructural. Su propia documentación dice que es justo lo que mantiene a DesignCraft en pre-alpha, y calcula unas 15–25 horas de agente hasta pasar a alfa. Parece cuestión de tiempo.

¿Genera DesignCraft los formatos que necesitamos?

Más bien no, pero se puede vivir. Exporta de sobra para imprenta y delivery: PDF (con PDF/X-4), EPUB, PNG, IDML y HTML básico. Pero una editorial también necesita brutos para reeditar sus obras, y DesignCraft trabaja con su propio .designcraft y con IDML, sin los nativos de InDesign (.indd y .indb). ¿Llegarán? WordCraft ya guarda .docx, y PhotoCraft, .psd. Ya se verá.

Eso sí, esto no sé si debería decirlo. Un .indd sólo se abre con InDesign, e InDesign sólo se abre con suscripción. Si el archivo madre depende de una suscripción, el libro depende de ella también. Que no digo nada yo, pero pooor comentarlooo…

Por lo demás, ¿DesignCraft funciona? Probemos GREP

Una tarea común en InDesign es la búsqueda y reemplazo con GREP para unificar la ortotipografía: buena prueba de cara a delegar en agentes. Así que escribí un diálogo con las irregularidades típicas: diez párrafos con guiones, rayas cortas y espacios de más.

Figura 8: El diálogo del shao-peng, un texto tontísimo mío,

listo para unificación ortotipográfica

La norma es regular, así que cabe en una fórmula. En DesignCraft, Edit > Find/Change:

En el campo “Find what” escribimos esto: ^[-–—]\s*
Y en el campo “Change to” escribimos esto: —

Pulsamos “Change All” y... funciona: cambia todo lo que tiene que cambiar y respeta el resto.

Figura 9: El diálogo del shao-peng, con los guiones unificados de

una sola atacada. La búsqueda GREP sí funciona en DesignCraft

(las marcas verdes señalan lo corregido y lo respetado, según tocaba).

Sólo un detalle: para deshacer hay que pulsar Ctrl+Z dos veces. Cosicas que se irán puliendo con cariño. Para una versión pre-alpha, es bastante más de lo que esperaba. Mi conclusión, por ahora: es pronto. Al pensar en el MCP se me ponen ojitos de corazón… (¡Al pensar en USARLO, no en CONFIGURARLO! XD) Pero hoy no se puede predecir la calidad con un libro largo. Seguiré observando.

Figura 10: ¿Qué tienen en común un MCP (Model Context Protocol)

y un MPC (Módulo de Punto Cero) de Stargate?

Pásate por el chat público de El lado del mal en MyPublicInbox

y descubrirás esta y muchas más tonterías

¿Por qué Claude no puede meterse (mucho) en Adobe InDesign?

¿Y Adobe? Si queremos que Claude maneje de verdad nuestro InDesign original, hoy hay tres caminos, y ninguno nos lleva hasta la cocina:

1. El conector oficial: “Adobe”: Antes se llamaba “Adobe for creativity”; ahora, sin más, “Adobe”. Reúne Photoshop, Premiere... e InDesign, pero trabaja en la nube: subes un archivo al chat, lo procesa y te lo devuelve. Su página de ayuda nombra a InDesign, pero no describe ni una sola tarea de InDesign. Más nombre que práctica.

2. Desde Netherlands con amor "Sidekick for InDesign": Este proyecto es supercuqui. Lo creó Wilfred Springer y lo comercializa su empresa East Pole: es un plugin que se instala dentro de InDesign y se conecta, por MCP, con Claude.

Figura 11: Sidekick for InDesign, un plugin para macOS y Windows.

¿Merece la pena?

Cuesta 9,95 $ al mes, con 30 días de prueba gratis: un micro-SaaS de nicho, pequeñito y bien hecho. Y en su blog, Wilfred cuenta cómo usó Claude para corregir la ortotipografía de un documento en neerlandés. Justo mi caso, mola. Pero tiene sus pegas:ç

Más suscripciones: Se suma a lo que ya pagas: Adobe, más Claude, más Sidekick.
Vive en casa ajena: Si Adobe cambia sus APIs o retira el plugin de Exchange, puede dejar de funcionar.
Colaboras, no delegas: En su blog, a Claude no le bastó una instrucción, y cada fallo necesitó un empujoncito. “Estás colaborando, no delegando”, reconoce el propio Wilfred. Con todo, es lo más cerca de la cocina que se puede llegar hoy. ¿Una probadilla con el diálogo del shao-peng? La apunto para otro día.

3. Los intentos modestos de la comunidad: En GitHub hay servidores MCP para InDesign hechos por particulares, como indesign-mcp, de bejaminjones: solo para macOS y muy pequeño (2 estrellas, sin licencia declarada). Puentes artesanales para cruzar ríos que no están ahí por diseño en la geografía de Adobe. Con perdón =^_^=

La diferencia no está en si la IA puede entrar, sino en por dónde. Adobe le abre una ventanilla en su nube; los plugins de terceros le tallan una puerta de servicio. Los clones de ArtCraft le dan las llaves de casa: en DesignCraft, cada menú, herramienta, panel y diálogo se maneja a través de su servidor MCP.

“Stream of Consciousness”, Más allá del límite (1997)

¿Te acuerdas del episodio del principio? Vamos a recuperar esa imagen.

Figura 12: Más allá del límite, temporada 3 episodio 5,

“Red de consciencia”. Este tienes que verlo

En ese futuro, “the Stream” te mete en la cabeza todo el conocimiento humano. Nadie lee. A Ryan, un chico que no puede conectarse por una lesión cerebral, esa rareza le cuesta el rechazo de todos. Hasta que un virus revienta “the Stream” y empieza a freír cerebros. Todo el mundo está perdido. Todo el mundo excepto... Y no te cuento más.

Figura 13: George Newbern y Suki Kaiser en la intro de

“Red de consciencia”. Ella lleva su dispositivo en la sien.

Él, ajeno a “the Stream”, lee un libro

Y aquí está el “cuidado con lo que deseas” que iba a poner de título.... Yo quiero que Claude entre hasta la cocina de mi maqueta, sí. Pero quiero seguir sabiendo maquetar. Si un día lo delegamos todo, el GREP, los estilos y hasta el criterio, seremos como la gente de “the Stream”: muy conectados, y muy perdidos en cuanto se caiga la red.

¿Os he contado que estudié Filología? Ya sabes, φίλος (philos): amigo, amante, aficionado. λόγος (logos): palabra, razón. Si los médicos tienen su juramento hipocrático, el nuestro es preservar el conocimiento. Y me da a mí que, al final, voy a ejercer más de lo que pensaba.

Figura 14:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

Que Claude se quede con las rayas, los estilos y los GREP. Que vayamos a conciertos de Despistaos, que tomemos cervezas con amigos. Que los clones como ArtCraft maduren y nos dejen trabajar con Agentes IA, evitándonos esos momentos de narcolepsia criminal. Y que lo que generemos al final siga siendo un libro de papel, con su registro bibliográfico y su tacto en manos humanas. Porque las redes caen, los servidores se apagan y las suscripciones caducan. Y cuando eso pase, alguien tendrá que saber leer. Y alguien tendrá que saber defendernos. Mejor si eres tú... con un libro de 0xWord en la mano.

¡Saludos buenignos!

Autor: María Gómez Prieto

Contactar con María Gómez Prieto

Smart Things trabajando más allá de su "End of Life": Parchea los electrodomésticos de tu casa.

noreply@blogger.com (Chema Alonso) — Thu, 15 Oct 2026 05:29:06 +0000

La noticia de los frigoríficos hakeados ha dado la vuelta al mundo, y a la gente le llama la atención que algo así haya sucedido. La explicación es tan sencilla como sabemos desde hace muchos años. Un producto End of Life, es decir, fuera de soporte y mantenimiento, no tiene parches de seguridad, lo que hace que a partir del día que entra en EoL es un peligro que hay que mitigar.

Figura 1: Smart Things trabajando más allá de su "End of Life".

Parchea los electrodomésticos de tu casa.

Si a esto le sumas la llegada de la Inteligencia Artificial para Offensive Security, permitiendo que haga un descubrimiento de los elementos, que ayude a construir software de explotación para cualquier protocolo de un dispositivo, por muy raro que parezca, pues tenemos el ecosistema perfecto.

Figura 2: Hacking Home Devices I: PoCs & Hack Just for Fun!

El nuevo libro de 0xWord para aprender a buscar bugs en casa.

Escrito por Gerard Fuguet.

Esto lo lleva advirtiendo Gerard Fuguet muchos años, en sus libros de Hacking Home Devices I y Hacking Home Devices II, donde hace exactamente este tipo de pruebas con todos los Smart Devices que tengas en casa, pero sobre todo explica a cómo realizar estos ataques.

Figura 3: Un frigorifico no actualizado

Para que entendáis el riesgo fácilmente, yo he querido hacer una pequeña consulta a la Gemini para que me ayude con un escenario que puede ser ficticio, o real, donde un Smart Fridge de Samsung Family Hub no ha sido actualizado desde el día uno. ¿Cuál será su riesgo si lo tengo en casa?

Figura 4: Lista de vulnerabilidades conocidas

Como podéis ver en estas dos imágenes, la lista de vulnerabilidades conocidas es grande y bien documentada. Al final todos se basan en piezas y componentes comunes que son estudiados, de los que se descubren bugs, y que hay que gestionar. Y si no se hace, pues tienes un dispositivo lleno de vulnerabilidades al alcance de cualquier Botnet.

Figura 5: Más vulnerabilidades de mi Smart Fridge ficticio

El resultado es que estando ahí, solo hay que esperar a que un escaneo de un malware de la red, o si tu dispositivo se conecta a Internet y acaba explotado, haga el resto. Lo normal es que se le meta una herramienta de administración remota, y se convierta en un Proxy para los malos, en un bot de scrapping, en un bot para DDoS o infinidad de otras cosas.

Figura 6: Hacking Home Devices II: PoCs & Hack Just for Fun!

Escrito por Gerard Fuguet.

Los riesgos son claros y bien conocidos, y cuando le he preguntado a Gemini, las conclusiones son exactamente las mismas que os acabo de describir, así que no hay mucha más magia y ciencia que la que sabemos: Un Smart-Whatever trabajando en EoL es un riesgo alto de seguridad.

Figura 7: Es un riesgo alto de que acabes en una botnet

La manera de gestionarlo es, parchea todo lo que puedas, y si se te quedan cosas sin parchear, probablemente la recomendación más sensata es que lo desconectes de la red inmediatamente. Es lo que hay.

Figura 8: Pull the plug!!

El problema es que mucha gente ha llenado su casa de televisiones que siguen funcionando, de electrodomésticos que aún se usan, de paneles energéticos, o sistemas de calefacción conectados, que están en EoL y que, porque no tengan parches deban desconectarlo, no es algo que muchos quieran/queramos hacer. Pero es el mundo de los productos hardware convertidos en productos software. Y ahora con LLMs en EoL puede ser una fiesta. ¿Tendremos un "rise of the machine"?

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)

Curso de Hacking Ético: De 0 a Hackear Aplicaciones: 20, 21 y 22 de Octubre

noreply@blogger.com (Chema Alonso) — Wed, 14 Oct 2026 04:01:00 +0000

Supongo que muchos ya lo habréis visto anunciado en algunos sitios, pero quería avisar yo también por aquí para que nadie se pierda las sesiones del Curso de Hacking Ético - gratuito y online - que daremos Mario Álvarez, Thomas O´Neil, Gorka El Bochi y yo con Big School los próximos días 20, 21 y 22 de Octubre a las 19:00 horas de España, donde veremos temas de hacking desde cero.

Figura 1: Curso de Hacking Ético: De 0 a Hackear Aplicaciones: 20, 21 y 22 de Octubre

Al final tenemos un número limitado de horas, pero yo voy a dar una sesión de Hacking IA, que ya sabéis que es el tema que más me apasiona en los últimos tiempos, pero Mario Álvarez, Gorka El Bochi y Thomas O’Neil van a estar dando sesiones de Hacking de Aplicaciones Web, Hacking con IA y Hacking de Aplicaciones Móviles, por lo que cada día vas a tener una sesión didáctica de los temas más chulos.

Figura 2: Temario del Curso de Hacking Ético gratuito y online

El curso es gratuito, como parte de una formación mucho más amplia, pero todos los que vengáis estos días, tendréis como regalo una serie de manuales en formato electrónico, que podéis utilizar para continuar formándoos una vez terminadas las sesiones.

Figura 3: Manuales de extensión de la formación después de las sesiones.

Por supuesto, al final todos los asistentes se llevarán, además un Certificado de haber realizado esta formación con Mario Álvarez, Thomas O´Neil , Gorka El Bochi y conmigo, para que quede acreditada.

Figura 4: Certificados de asistencia a la formación

Si quieres venir, lo único que necesitas es registrarte en la web del Curso de Hacking Ético, y además te llevarás la guía para configurar los laboratorios vulnerables con los que poder realizar pruebas de intrusión por niveles para aprender cómo funciona el mundo del Hacking Ético.

Figura 5: Registro y Pack de Bienvenida al Curso de Hacking Ético

Yo me conectaré desde San Francisco, que ya sabéis que yo estaré en Connect de Cloudflare, pero todas las sesiones serán en vivo y en directo, así que, si te gusta este mundo, puedes aprender bastantes cosas para empezar en esta formación.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)