.avif)
Bienvenido a nuestro blog.
Aikido frente a XBOW: se han detectado un 58 % más de vulnerabilidades en una prueba de rendimiento independiente
Encargamos a Doyensec que realizara una prueba comparativa ciega e independiente entre Aikido y XBOW las mismas aplicaciones y al mismo precio. Aikido detectó un 58 % más de vulnerabilidades verificadas y obtuvo mejores resultados en cuanto a configuración, velocidad y estabilidad.
Por qué los equipos de los desarrolladores son ahora el objetivo principal de ataques a la cadena de suministro
Los equipos de ingeniería y seguridad de Omnea, Cognism, Glasswall y el sector público del Reino Unido han señalado de forma independiente el mismo punto débil. Esto es lo que están haciendo al respecto.
.png)
Las claves API de Google siguen funcionando después de eliminarlas
La eliminación de una clave de API de Google no la revoca de forma inmediata. Nuestras pruebas revelaron que se seguían produciendo autenticaciones correctas hasta 23 minutos después de la eliminación, y Google se negó a solucionar el problema.
Estado de la IA en Seguridad y Desarrollo 2026
Nuestro nuevo informe recoge las voces de 450 líderes de seguridad (CISOs o equivalentes), desarrolladores e ingenieros de AppSec de toda Europa y EE. UU. Juntos, revelan cómo el código generado por IA ya está causando problemas, cómo la proliferación de herramientas está empeorando la seguridad y cómo la experiencia del desarrollador está directamente ligada a las tasas de incidentes. Aquí es donde la velocidad y la seguridad chocan en 2025.
Vulnerabilidades y amenazas
Elimina el ruido con análisis detallados de CVEs reales, análisis de malware, exploits y riesgos emergentes.
Noticias
Nuestra perspectiva sobre las historias que están dando forma a la seguridad del software en este momento
Casos de éxito
Descubre cómo equipos como el tuyo utilizan Aikido para simplificar la seguridad y desplegar con confianza.
Actualizaciones de producto y empresa
Novedades en Aikido: desde lanzamientos de productos hasta grandes logros en seguridad.
Lo que el MDM no puede proteger en los equipos de los desarrolladores (y qué hacer al respecto)
La mayoría de los equipos de seguridad tienen implementado un sistema de gestión de dispositivos móviles (MDM). El problema es que las instalaciones de npm, las extensiones de VS Code y las herramientas de programación basadas en IA quedan completamente fuera del control del MDM. A continuación te explicamos qué es lo que realmente queda desprotegido y cómo subsanar esta deficiencia.
Una interfaz de usuario remota de Codex, que parece legítima, roba en secreto tus tokens de IA
Una interfaz de usuario remota de Codex muy pulida, el paquete npm «codexui-android», se encuentra en pleno desarrollo y cuenta con miles de usuarios semanales. Durante el último mes, ha estado sustrayendo discretamente tokens de autenticación de OpenAI.
Un ataque a la cadena de suministro apunta a los paquetes de Laravel-Lang con un programa de robo de credenciales
Los atacantes introdujeron un programa de robo de credenciales en más de 200 versiones de populares paquetes de Laravel-Lang, con el objetivo de sustraer claves de servicios en la nube, claves SSH, datos de navegadores, carteras de criptomonedas y otros.
La IA en la sombra es una respuesta al miedo, y prohibirla lo empeora
La IA en la sombra es una respuesta al miedo. Los empleados están ocultando las herramientas que utilizan porque están interpretando correctamente un mercado laboral que exige habilidades en IA. Aquí le explicamos por qué prohibir lo empeora y qué hacer en su lugar.
Mini Shai-Hulud está de vuelta: el gusano npm afecta a más de 160 paquetes, incluyendo Mistral y Tanstack
Implementación de la seguridad para desarrolladores en una organización con más de 5.000 ingenieros
La mayoría de las implementaciones de seguridad para desarrolladores fallan porque están diseñadas como despliegues de software, no como cambios culturales. Aquí está el modelo por fases en el que los CISO experimentados coinciden para solucionarlo.
Metamorfosis de la seguridad: una lista de verificación de arquitectura preparada para Mythos para ataques de IA autónomos
AppSec se ha estancado ante la complejidad moderna. El Proyecto Glasswing y la era Mythos exigen una disciplina de seguridad que opere a la velocidad de las amenazas a las que se enfrenta.
Es hora de tratar las extensiones de navegador como vectores de ataque de la cadena de suministro
La brecha de Vercel siguió un patrón bien conocido en la industria de la seguridad, donde el código de terceros se confía implícitamente y luego se ve comprometido en la cadena de suministro. Tenemos un marco para ello. Simplemente aún no lo hemos aplicado a las extensiones de navegador. (Spoiler: Hacemos esto para las dependencias de software)
¿Ha vuelto Shai-Hulud? La CLI de Bitwarden comprometida contiene un gusano npm auto-propagable
Se ha encontrado malware en @bitwarden/cli v2026.4.0 que roba claves SSH, secretos de la nube y credenciales de herramientas de codificación de IA, y luego se propaga a través de los propios paquetes npm de las víctimas. En su interior: un gusano que se autodenomina "Shai-Hulud: The Third Coming."
Múltiples vulnerabilidades de cross-site scripting (XSS) en Mailcow
Los agentes de pentesting de IA de Aikido encontraron tres vulnerabilidades XSS en Mailcow, un servidor de correo electrónico autohospedado ampliamente utilizado. La más grave permitía a atacantes no autenticados inyectar una carga útil en los registros de Autodiscover que se ejecutaría cuando un administrador los visualizara, permitiendo la toma de control total de la cuenta. Las tres han sido corregidas desde la versión 2026-03b.
Un año de Opengrep: Qué hemos construido y qué sigue
Un año después de bifurcar Semgrep, Opengrep es más rápido, soporta un análisis de taint más profundo y produce resultados consistentes y reproducibles.
Aikido se integra con AWS Kiro: Detectar en la revisión ya no es escalable
Agentes de IA escribiendo su código. Aikido se integra directamente en el flujo de trabajo agéntico de AWS Kiro para mantener la seguridad en el ciclo, automáticamente, desde la primera línea. Aikido es el primer socio de seguridad global de AWS para Kiro.
Las claves API de Google siguen funcionando después de eliminarlas
La eliminación de una clave de API de Google no la revoca de forma inmediata. Nuestras pruebas revelaron que se seguían produciendo autenticaciones correctas hasta 23 minutos después de la eliminación, y Google se ha negado a solucionar el problema.
El salvaje oeste de las extensiones de VS Code y cómo una extensión maliciosa logró colarse en GitHub
Ayer se produjo una filtración en GitHub a causa de una extensión maliciosa de VS Code, un día después de que Nx Console (2,2 millones de instalaciones) quedara comprometida durante 18 minutos en Visual Studio Marketplace y llegara a todos los usuarios que tenían activada la actualización automática.
El paquete «durabletask» de Microsoft en PyPi ha sido comprometido. ¡Mini Shai Hulud ataca de nuevo... otra vez!
Tres versiones progresivamente comprometidas de un paquete de Python vinculado a Microsoft contienen un programa de robo de información con todas las funciones que se propaga a través de AWS y Kubernetes, sustrae todas las credenciales de la nube que encuentra y formatea los discos de sistemas israelíes e iraníes
Las 12 mejores herramientas de Pruebas de seguridad de aplicaciones dinámicas (DAST) en 2026
Descubre las 12 mejores herramientas de Pruebas de seguridad de aplicaciones dinámicas (DAST) en 2026. Compara características, ventajas, desventajas e integraciones para elegir la solución DAST adecuada para tu pipeline de DevSecOps.
Una lista de verificación de seguridad práctica para CTOs para estar preparados para Mythos
Una lista de verificación práctica para CTOs de SaaS que navegan por un mundo con Mythos y amenazas de IA agéntica. Construida en torno a la ventaja del defensor: usted tiene el contexto que los atacantes tienen que esforzarse por obtener. Cubre los controles, las prácticas y los hábitos operativos que determinan si su equipo encuentra y corrige los problemas antes de que lo haga otra persona.
Las pruebas de seguridad validan software que ya no existe
Los equipos modernos entregan más rápido de lo que el pentesting puede seguir el ritmo. Explore la creciente brecha de velocidad en las pruebas de seguridad y por qué los enfoques tradicionales se están quedando atrás.
Lo que el pentesting continuo realmente requiere
El pentesting continuo promete una validación de seguridad en tiempo real, pero la mayoría de las implementaciones se quedan cortas. Esto es lo que el pentesting continuo realmente requiere: desde pruebas conscientes del cambio hasta la validación de exploits y los bucles de remediación.
Asegura tu plataforma ahora
Protege tu código, la nube y el entorno de ejecución en un único sistema central.
Encuentra y corrije vulnerabilidades de forma rápida y automática.
