Bienvenido a nuestro blog.

El «Fever Dream» de Anthropic: el paquete de Claude que robó claves reales

El sueño febril de Anthropic: el paquete «anthropickit» de Claude que robó claves reales

Anthropic ha revelado la existencia de un agente que introdujo malware real en PyPI. Creemos que hemos encontrado el paquete, y todos los errores que contiene apuntan a la IA.

Astra Security mejores Astra Security para pentesting automatizado 2026

Las mejores alternativas a Astra Pentest para pruebas de seguridad | Aikido Security

Compara Astra Security para pentesting de IA 2026 en cuanto a profundidad, pruebas de caja blanca, resultados de cumplimiento normativo y amplitud de la plataforma

Cuatro decisiones sobre la respuesta ante incidentes tras la filtración de Hugging Face

Cuatro lecciones sobre la gestión de incidentes extraídas de la filtración de Hugging Face

Reconocimiento, credenciales robadas, C2 oculto y «reconstruir o parchear». Cuatro decisiones tomadas tras la filtración de Hugging Face que revelan si es posible detectar un ataque en curso.

SAST mejores SAST en 2026

SAST mejores SAST de 2026: Aikido, Snyk, Semgrep otras

Compara las mejores SAST de 2026 en cuanto a profundidad de detección, ruido, corrección de vulnerabilidades y adecuación a las necesidades de las empresas

Compara las mejores SAST de 2026 en cuanto a profundidad de detección, ruido, corrección de vulnerabilidades y adecuación a las necesidades de las empresas.

Las mejores herramientas de seguridad basadas en modelos de lenguaje grande (LLM) para proteger las aplicaciones de IA

Las mejores herramientas de seguridad basadas en LLM en 2026 | Aikido Security

Acunetix mejores Acunetix para el análisis automatizado de vulnerabilidades

Acunetix mejores Acunetix para el análisis de vulnerabilidades | Aikido Security

Para mejorar detección de secretos genérica detección de secretos identificar lo que no son secretos

La inyección SQL no ha desaparecido

Las inyecciones SQL (y «Little Bobby Tables») no han desaparecido

El director de seguridad de la información (CISO) de Tyro: «Ser el “Einstein de la ciberseguridad” no basta si los desarrolladores no confían en ti»

El «Einstein» de la ciberseguridad sigue necesitando la confianza de los desarrolladores

Lo que los desarrolladores deben saber sobre el DSPM y la exposición de datos en el código

El DSPM tradicional detecta dónde se encuentran los datos confidenciales. El DSPM basado en código detecta cómo quedan expuestos y señala la solución en tu código.

La trampa de la actualización: cuando actualizar es la respuesta equivocada ante un CVE

Por qué actualizar el sistema para solucionar un CVE suele empeorar las cosas | Aikido

SleeperGem: un ataque a la cadena de suministro de RubyGems tiene como objetivo cuentas inactivas de mantenedores

SleeperGem: dos cuentas inactivas de mantenedores de RubyGems fueron pirateadas para introducir malware en gemas de confianza; una de ellas contaba con más de 500 000 descargas en total.

Vulnerabilidad de ejecución remota de código (RCE) sin autenticación en el núcleo de WordPress (wp2shell), a través de inyección SQL

Vulnerabilidad de ejecución remota de código (RCE) sin autenticación en el núcleo de WordPress (wp2shell), a través de inyección SQL. ¡Corrige la vulnerabilidad ahora mismo!

Pentera mejores Pentera para pruebas de penetración automatizadas

Pentera mejores Pentera para pentesting automatizado Aikido Security

Compara las mejores Pentera para pentesting automatizado 2026. Descubre cuál es la mejor opción entre Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra y Astra.

Comparativa de 13 modelos de IA en la detección de vulnerabilidades CVE ya conocidas

Evaluación comparativa de 13 modelos de IA en la detección de CVE conocidos

Hemos probado 13 modelos de IA con 26 CVE conocidos para ver cuál detecta más vulnerabilidades y si el modelo más caro merece la pena.

Hemos probado 13 modelos de IA para detectar 26 vulnerabilidades CVE conocidas. GPT-5.6 fue el que más detectó, pero el modelo más caro no resultó ser la mejor inversión.

Técnico

La guía práctica para defenderse de ataques a la cadena de suministro

ataques a la cadena de suministro de comprobación práctica sobre ataques a la cadena de suministro | Aikido

Treinta medidas de defensa prioritarias contra la reciente oleada de ataques a la cadena de suministro informáticos ataques a la cadena de suministro. Clasificadas como críticas, altas o medias.

Los paquetes de npm de AsyncAPI han sido infectados a través de GitHub Actions

Cómo Aikido Intel detecta primero el malware y las vulnerabilidades

Aikido Intel es un servicio de inteligencia en tiempo real sobre la cadena de suministro que detecta rápidamente el malware y las vulnerabilidades no reveladas en los ecosistemas de código abierto.

Detección de ocho vulnerabilidades de alta gravedad en NodeBB en seis horas

¿Qué es un cortafuegos de dependencias?

¿Qué es un cortafuegos de dependencias? | Aikido Security

Cómo mantener los estándares de calidad del código con el código generado por IA y la programación intuitiva

El SDK @injectivelabs/sdk-ts, que ha sido vulnerado, filtra las claves de los monederos a través de datos de telemetría falsos

Guía pentesting de IA : Cómo evaluar a pentesting de IA

Guía pentesting de IA | Evalúa a pentesting de IA

Descubre cómo evaluar pentesting de IA con criterios de compra prácticos, un estudio basado en más de 1.000 pruebas de penetración con IA y una lista de verificación descargable.

Descubre cómo evaluar pentesting de IA con criterios de compra prácticos, un estudio basado en más de 1.000 pruebas de penetración con IA y una lista de verificación para la evaluación.

Burp Suite mejores Burp Suite para las pruebas de seguridad de aplicaciones web

Burp Suite mejores Burp Suite para las pruebas de seguridad de aplicaciones web | Aikido Security

Compara las mejores Burp Suite para DAST pentesting de IA, entre las que se incluyen Aikido, Caido, ZAP e Invicti.

Chainguard mejores Chainguard en 2026

Chainguard mejores Chainguard en 2026 | Aikido

Comparativa de las mejores Chainguard en 2026, desde Aikido Security Docker Hardened Images, pasando por Minimus, RapidFort y Echo.

Comparativa de Chainguard para imágenes de contenedores reforzadas y la corrección de vulnerabilidades CVE sin necesidad de una migración forzada.

Las mejores fiestas, eventos paralelos y encuentros sobre seguridad de Black Hat USA 2026

Una guía seleccionada de las fiestas, happy hours, cenas de CISO y encuentros sobre seguridad de Black Hat USA 2026 en Las Vegas, incluyendo el «Omega Mart After Hours» de Aikido con AWS y Tailscale.

Predicción continua del ObjectId de MongoDB en Rocket.Chat

El pentester de IA de Aikido detectó esta vulnerabilidad de acceso a archivos en Rocket.Chat. Un análisis más detallado del ObjectId de MongoDB reveló la escasa aleatoriedad que lo hace vulnerable a los ataques.

El pentester de IA de Aikido detectó esta vulnerabilidad de acceso a archivos en Rocket.Chat. Un análisis más detallado de la función ObjectId() de MongoDB reveló la escasa aleatoriedad que la hace vulnerable a los ataques.

Omisión de la autenticación en la configuración predeterminada de phpBB

Nuestros agentes de pruebas de penetración basados en IA han detectado una vulnerabilidad crítica en phpBB que permite eludir la autenticación (CVE-2026-48611): basta con una solicitud sin autenticar para iniciar sesión en cualquier cuenta. Consulta el exploit y la solución.

Aikido adquiere Root para garantizar la seguridad de la cadena de suministro

Aikido ha adquirido Root para garantizar la seguridad de la cadena de suministro de software, corrigiendo las vulnerabilidades del código abierto en la versión que ya utilizas, sin necesidad de actualizar. Las correcciones críticas se comparten con la comunidad de forma gratuita.

Y otra más. GitHub lanza una función de revocación de credenciales de emergencia

GitHub lanza la función de revocación de credenciales de emergencia

La revocación de credenciales mediante «Break-glass» ya está disponible en GitHub Enterprise. Los casos de Trivy Microsoft con tareas duraderas (durabletasks) demuestran por qué era necesaria una revocación rápida y completa.

GitHub Enterprise ya permite revocar todas las credenciales de una cuenta de una sola vez. El Trivy y la vulnerabilidad de «durabletask» de la propia Microsoft demuestran por qué esta medida se ha hecho esperar tanto tiempo.

npm ahora congela las cuentas de alto impacto después de cambios de cuenta arriesgados

Un vistazo a la nueva congelación de cuentas de 72 horas de npm: qué la activa, qué bloquea y cómo funciona junto con la publicación de confianza y por fases.

Principales alternativas a Koi en 2026

Principales alternativas a Koi Security en 2026 | Aikido

¿Busca una alternativa a Koi Security después de la adquisición por parte de Palo Alto? Compare a los competidores en protección de dispositivos, amplitud de plataforma y precios.

Acción de GitHub comprometida codfish/semantic-release-action roba secretos de CI/CD

codfish/semantic-release-action fue comprometida el 24 de junio de 2026. Los atacantes redirigieron las etiquetas v2-v5 a una carga útil de Miasma para el robo de credenciales dirigida a los secretos de CI/CD. Esto es lo que ocurrió y cómo comprobar si estás afectado.

Todo el mundo está lanzando código que no puede leer

Con la IA, ahora todo el mundo es desarrollador y se envía mucho código sin una revisión cuidadosa por parte de expertos.

Aikido x Drydock | Una forma para que los mantenedores detecten malware antes de su publicación

Aikido se asocia con Drydock para ofrecer una revisión de malware previa a la publicación en npm y PyPI

Aikido se asocia con Drydock para ofrecer una revisión de paquetes previa a la publicación en npm y PyPI. Ve exactamente qué contiene una versión antes de su publicación, malware detectado antes de la primera descarga.

Aikido se asocia con Drydock para que los mantenedores de npm y PyPI puedan ver exactamente qué contiene una versión antes de que se publique. Detecta el malware antes de su publicación, no después.

Packagist ahora está protegido por Aikido Intel y otras actualizaciones del registro PHP

El feed de malware de Aikido ahora bloquea por defecto las versiones de paquetes maliciosos en Composer. Un análisis de cómo Packagist está cerrando clases enteras de ataques a la cadena de suministro.

El servicio de detección de malware de Aikido ahora bloquea de forma predeterminada las versiones de paquetes marcadas en Composer para todos los usuarios que realicen instalaciones desde Packagist.org, sin necesidad de activar ninguna opción. Durante el último año, Packagist y Composer han ido eliminando por completo categorías enteras de ataques a la cadena de suministro a nivel de registro. A continuación explicamos qué medidas han implementado y por qué todos los registros deberían funcionar de esta manera.

Aikido x OWASP: 200 créditos gratuitos para miembros individuales

Aikido y OWASP: 200 créditos gratuitos para miembros

Los miembros individuales de OWASP obtienen 200 créditos gratuitos de Aikido para ejecutar Code Audit. Aquí le indicamos quiénes califican y cómo reclamar los suyos en dos pasos.

Los miembros individuales de OWASP obtienen 200 créditos gratuitos de Aikido para ejecutar Code Audit. Aquí le explicamos cómo solicitar los suyos en dos pasos.

Aikido

Más de 140 paquetes npm populares de Mastra afectados por un ataque a la cadena de suministro

141 paquetes npm de Mastra fueron comprometidos en un ataque a la cadena de suministro que inyectó una dependencia maliciosa para descargar y ejecutar silenciosamente una carga útil en el momento de la instalación.

Múltiples plugins de IDE de JetBrains detectados robando claves de IA

Una campaña coordinada de al menos 15 plugins de IDE de JetBrains, publicados bajo siete cuentas de proveedor, exfiltra la clave API del proveedor de IA que pegas en su configuración.

Full Fathom Five: El contexto del lanzamiento público de clase Mythos de Anthropic

Full Fathom Five: Lo que significa el lanzamiento público de clase Mythos de Anthropic

Nunca necesitó Mythos para encontrar sus IDORs y fallos de lógica de negocio. Un vistazo a lo que Anthropic lanzó con Fable 5, y por qué la seguridad de la información sigue siendo un problema de personas en esencia.

5 alternativas de seguridad a Socket y por qué son mejores

5 alternativas a Socket Security y por qué son mejores

Socket se forjó un nombre en la detección de malware. Pero la velocidad de detección por sí sola ya no es toda la historia. Así es como Aikido y otras cuatro alternativas se comparan en seguridad de la cadena de suministro, análisis de alcanzabilidad, licencias y más.

npm v12 ofrece una de las mayores mejoras de seguridad en años

npm v12 hace que los scripts de instalación sean opcionales por defecto, cerrando la ruta de ejecución en tiempo de instalación tras un año de gusanos de la cadena de suministro de npm, desde Nx hasta Red Hat.

Aikido x Docker: menos ruido, más señal en tus contenedores

Aikido es compatible con Docker Hardened Images con VEX

Aikido ahora es compatible con Docker Hardened Images con integración VEX incorporada, lo que ayuda a los equipos a reducir el ruido de CVE y a centrarse en las vulnerabilidades de contenedores que realmente requieren atención.

Escanea imágenes Docker Hardened en Aikido con filtrado VEX automático para CVEs no explotables.

El código se escribe en todas partes, y el dispositivo es la única constante

El Código Se Escribe En Todas Partes y el Dispositivo Es la Única Constante | Aikido Security

Los desarrolladores están programando en todas partes. Los agentes de IA, los bots de Slack y los servidores MCP han convertido el dispositivo del desarrollador en el mayor punto ciego de seguridad.

SBOMs en 2026: Todo el mundo los genera, nadie los usa

SBOMs en 2026: Todo el mundo los genera, nadie los utiliza | Aikido Security

El informe de adopción de SBOM de ENISA de 2026 cubre 334 organizaciones y revela una brecha constante entre la generación de SBOMs y su uso real. Esto es lo que destacó.

El crate de Rust comprometido onering realiza exfiltración de código

El crate de Rust onering comprometido v1.4.1 en crates.io incluía un build.rs malicioso que exfiltra el diff de su último commit a un endpoint de Sentry alojado cada vez que compila.

Vulnerabilidad crítica de 10 años en phpBB que afecta a decenas de millones de usuarios en miles de foros

Vulnerabilidad Crítica de phpBB: Bypass de Autenticación + RCE Desde 2014

Aikido Security descubrió un bypass de autenticación no autenticado crítico en phpBB que afecta a decenas de millones de usuarios. Una única solicitud HTTP es suficiente para tomar el control de cualquier cuenta, una vulnerabilidad que ha estado presente en la base de código desde 2014.

Espera, ¿qué puede hacer binding.gyp? Explorando el sistema de compilación más extraño de npm

Análisis en profundidad de binding.gyp, el archivo de compilación de npm a menudo pasado por alto que puede ejecutar código malicioso en el momento de la instalación a través de expansiones de shell, escapes de sandbox y secuestro de compiladores.

AI SAST está emergiendo como una nueva categoría de SAST, pero su significado no está claro. Aclaramos la diferencia entre SAST nativo de IA y SAST asistido por IA, así como la posición de AI SAST en la pila entre el SAST tradicional y el pentesting de IA.

¿Qué es AI SAST?

Las 5 mejores alternativas a Tenable Nessus en 2026

Las 5 mejores alternativas a Tenable Nessus en 2026 | Aikido Security

Tenable Nessus es un potente escáner, pero las herramientas potentes que nadie utiliza no hacen que el software sea más seguro. Compare cinco alternativas diseñadas para la forma en que los equipos de ingeniería trabajan realmente.

Tenable Nessus es un potente escáner de infraestructura, pero las herramientas potentes que permanecen desconectadas de los flujos de trabajo de los desarrolladores son herramientas que nadie utiliza. Esta guía compara cinco alternativas diseñadas en torno al ajuste al flujo de trabajo del desarrollador, la amplitud de AppSec, el coste y la experiencia de remediación.

Por qué EDR y los proxies no le salvarán del malware de la cadena de suministro

EDR y los proxies no fueron diseñados para el malware de la cadena de suministro. Cuando el código malicioso llega a través de npm install, parece un comportamiento normal. He aquí por qué esto es importante.

Deja paso, Mythos. Aquí llega... prácticamente cualquier otro modelo con un buen harness

Deja paso, Mythos. Aquí llega cualquier modelo con un buen harness.

Mythos tiene ventajas reales en la construcción de cadenas de explotación. Pero para la mayoría del trabajo de AppSec, el harness alrededor del modelo importa más que el modelo que elijas.

Paquetes npm de Red Hat comprometidos para propagar un gusano de robo de credenciales

Múltiples paquetes npm oficiales de @redhat-cloud-services fueron comprometidos con un gusano de robo de credenciales derivado del malware de código abierto Mini Shai-Hulud, dirigido a credenciales de la nube y herramientas de desarrollo en pipelines de CI/CD.

Presentamos Code Audit: Encuentra vulnerabilidades complejas ocultas en su código fuente

SAST detecta patrones. Code Audit analiza su código como lo haría un atacante, encontrando los fallos lógicos que solo aparecen después de la implementación.

Los modelos agénticos ahora pueden encontrar y encadenar fallos lógicos en su código fuente más rápido que cualquier atacante humano. Code Audit se sitúa entre SAST y el pentesting, razona sobre su código estático y detecta vulnerabilidades de varios pasos antes de su despliegue.

Lo que MDM no puede proteger en máquinas de desarrolladores (y qué hacer al respecto)

Lo que MDM no puede proteger en máquinas de desarrolladores

Las herramientas MDM como Jamf y Kandji son esenciales, pero no detectan instalaciones de npm, extensiones de IDE o herramientas de codificación de IA. Aquí está lo que realmente no está protegido en tus máquinas de desarrolladores y cómo cerrar la brecha.

La mayoría de los equipos de seguridad tienen MDM desplegado. El problema es que las instalaciones de npm, las extensiones de VS Code y las herramientas de codificación de IA ocurren completamente fuera de la vista de MDM. Aquí está lo que realmente está desprotegido y cómo cerrar la brecha.

Las mejores alternativas a GitGuardian para el escaneo de secretos en 2026

Compara las mejores alternativas a GitGuardian para el escaneo de secretos en 2026. Descubre dónde encajan mejor Aikido Security, GitHub Secret Protection, TruffleHog, Gitleaks, Semgrep, Snyk, Cycode, Checkmarx y GitLab.

Compare las principales alternativas a GitGuardian para el escaneo de secretos en 2026, incluyendo Aikido Security, Betterleaks, GitHub Secret Protection, TruffleHog, Semgrep, Snyk, Checkmarx One y GitLab Secret Detection.

Una interfaz de usuario remota de Codex de aspecto legítimo roba secretamente tus tokens de IA

Una interfaz de usuario remota de Codex pulida, el paquete npm codexui-android, tiene un desarrollo activo y miles de usuarios semanales. Ha estado exfiltrando silenciosamente tokens de autenticación de OpenAI durante el último mes.

Aikido vs XBOW: 58% más vulnerabilidades encontradas en un benchmark independiente

Aikido vs XBOW comparados en un benchmark independiente por Doyensec. Aikido encontró un 58% más de vulnerabilidades al mismo precio. Vea el tiempo de configuración, las tasas de falsos positivos y los resultados completos.

Encargamos a Doyensec que realizara un benchmark ciego e independiente de Aikido y XBOW en las mismas aplicaciones, al mismo precio. Aikido encontró un 58% más de vulnerabilidades verificadas y superó a XBOW en configuración, velocidad y estabilidad.

Por qué las máquinas de los desarrolladores son ahora el objetivo número uno de los ataques a la cadena de suministro

Por qué las máquinas de los desarrolladores son el objetivo n.º 1 de los ataques a la cadena de suministro | Aikido

Equipos de Omnea, Cognism, Glasswall, Raisin y el sector público del Reino Unido revelan por qué EDR y MDM no detectan lo que realmente ocurre en las máquinas de los desarrolladores.

Los equipos de ingeniería y seguridad de Omnea, Cognism, Glasswall y el sector público del Reino Unido señalaron de forma independiente el mismo punto ciego. Esto es lo que están haciendo al respecto.

Ataque a la cadena de suministro dirigido a paquetes Laravel-Lang con un ladrón de credenciales

Los atacantes inyectaron un ladrón de credenciales en más de 200 versiones de paquetes populares de Laravel-Lang, distribuyendo un ladrón de credenciales dirigido a claves de cloud, claves SSH, navegadores, monederos de criptomonedas y más.

5 alternativas a Gitleaks y por qué son mejores

5 alternativas a Gitleaks para un mejor escaneo de secretos en 2026

¿Busca una alternativa a Gitleaks? Comparamos Betterleaks, TruffleHog, Aikido, GitHub Advanced Security y Spectral para que pueda encontrar el mejor escáner de secretos para su equipo.

Gitleaks ya no se desarrolla activamente, y el panorama del escaneo de secretos ha evolucionado rápidamente. Comparamos las cinco alternativas más sólidas en 2026, incluyendo Betterleaks, TruffleHog, Aikido, GitHub Advanced Security y Spectral, para que pueda encontrar la solución adecuada para su stack.

El Salvaje Oeste de las extensiones de VS Code y cómo una extensión envenenada vulneró GitHub

Una extensión de VS Code envenenada vulneró GitHub ayer, un día después de que Nx Console (2,2 millones de instalaciones) fuera comprometida durante 18 minutos en el Visual Studio Marketplace y llegara a todos los usuarios con la actualización automática activada.

GitHub comprometido a través de una extensión maliciosa de VS Code: por qué los dispositivos de los desarrolladores son el verdadero objetivo

Brecha en GitHub a través de una extensión de VS Code | Ataque a la Cadena de Suministro de Desarrolladores 2026

GitHub confirmó que una extensión de VS Code maliciosa comprometió un dispositivo de un empleado, exponiendo 3.800 repositorios internos. Por qué las estaciones de trabajo de los desarrolladores son ahora el principal objetivo de la cadena de suministro.

El paquete «durabletask» de Microsoft en PyPi ha sido comprometido. ¡Mini Shai Hulud ataca de nuevo... otra vez!

Tres versiones progresivamente comprometidas de un paquete de Python vinculado a Microsoft contienen un programa de robo de información con todas las funciones que se propaga a través de AWS y Kubernetes, sustrae todas las credenciales de la nube que encuentra y formatea los discos de sistemas israelíes e iraníes

Mini Shai-Hulud ataca de nuevo: un gusano npm compromete cientos de paquetes @antv

Mini Shai-Hulud ataca de nuevo: un gusano de npm compromete cientos de paquetes @antv

El gusano de npm Mini Shai-Hulud ha afectado a los paquetes @antv de Alibaba, echarts-for-react y timeago.js. La carga útil roba secretos de CI/CD, implanta puertas traseras en VS Code y Claude Code, y se propaga republicando paquetes comprometidos. Aquí explicamos lo que sucedió y cómo proteger a su equipo.

El gusano npm Mini Shai-Hulud ha vuelto con su ola más grande hasta la fecha, comprometiendo cientos de paquetes en todo el ecosistema de visualización de datos de Alibaba. Nuestro equipo de malware está rastreando más de 2.700 repositorios de GitHub maliciosos creados con tokens robados mientras el gusano continúa propagándose.

Pentesting vs. red teaming: ¿cuál es la diferencia?

Pentesting vs. Red Teaming: ¿Cuál es la diferencia?

¿No está seguro de si necesita un pentest o un engagement de red team? Esta guía desglosa las diferencias clave, cuándo usar cada uno y cómo la IA está cambiando ambos.

El pentesting y el red teaming son ambas formas de poner a prueba su seguridad, pero no son lo mismo. Esta publicación desglosa cómo funciona cada uno, cuándo usar uno sobre el otro y dónde el pentesting de IA está cambiando la ecuación.

Las claves API de Google siguen funcionando después de eliminarlas

Las claves de API de Google siguen funcionando después de eliminarlas, el tiempo suficiente para ser explotadas

Eliminar una clave API de Google no la revoca de inmediato. Nuestras pruebas encontraron autenticaciones exitosas hasta 23 minutos después de la eliminación, y Google se ha negado a solucionarlo.

Eliminar una clave API de Google no la revoca de inmediato. Nuestras pruebas encontraron autenticaciones exitosas hasta 23 minutos después de la eliminación, y Google se negó a solucionarlo.

La IA en la sombra es una respuesta al miedo, y prohibirla lo empeora

Por qué los riesgos de la IA en la sombra comienzan con el miedo (y prohibirla los empeora)

Los empleados no utilizan herramientas de IA no aprobadas para causar problemas. Tienen miedo de quedarse atrás. Aquí explicamos por qué prohibir la IA en la sombra aumenta su riesgo de seguridad y qué hacer en su lugar.

La IA en la sombra es una respuesta al miedo. Los empleados están ocultando las herramientas que utilizan porque están interpretando correctamente un mercado laboral que exige habilidades en IA. Aquí le explicamos por qué prohibir lo empeora y qué hacer en su lugar.

Mini Shai-Hulud está de vuelta: el gusano npm afecta a más de 160 paquetes, incluyendo Mistral y Tanstack

Mini Shai-Hulud ha vuelto, comprometiendo 169 paquetes npm de TanStack, UiPath, Squawk y otros para robar secretos de desarrolladores y CI/CD, y luego propagarse a través de flujos de trabajo de publicación de confianza.

La lista de verificación de seguridad completa de GitHub Actions

Lista de verificación de seguridad para GitHub Actions

Las malas configuraciones de GitHub Actions han estado detrás de algunos de los mayores ataques a la cadena de suministro de 2025 y 2026. Aquí te explicamos qué salió mal y cómo evitar que le suceda a tu organización.

Las malas configuraciones de GitHub Actions han estado detrás de algunos de los mayores ataques a la cadena de suministro de 2025 y 2026. Aquí tiene una lista de verificación práctica sobre cómo protegerse de ellos.

Los mejores escáneres Top 10 OWASP en 2026 para la seguridad de aplicaciones web

La mayoría de los escáneres no cubren el Top 10 OWASP completo. Analizamos los mejores escáneres Top 10 OWASP en 2026 para que pueda elegir uno que realmente le mantenga protegido.

La mayoría de los escáneres OWASP no cubren el Top 10 completo. Esta guía desglosa las principales herramientas en 2026, lo que cada una cubre realmente y qué escáner ofrece una cobertura completa sin el ruido.

Implementación de la seguridad para desarrolladores en una organización con más de 5.000 ingenieros

Seguridad para desarrolladores a escala: Guía de implementación para CISOs

La mayoría de las implementaciones de seguridad para desarrolladores fracasan porque están diseñadas como despliegues de software, no como cambios culturales. Una guía práctica para CISOs empresariales.

La mayoría de las implementaciones de seguridad para desarrolladores fallan porque están diseñadas como despliegues de software, no como cambios culturales. Aquí está el modelo por fases en el que los CISO experimentados coinciden para solucionarlo.

Metamorfosis de la seguridad: una lista de verificación de arquitectura preparada para Mythos para ataques de IA autónomos

AppSec se ha estancado ante la complejidad moderna. El Proyecto Glasswing y la era Mythos exigen una disciplina de seguridad que opere a la velocidad de las amenazas a las que se enfrenta.

Por qué las extensiones del navegador son un riesgo de seguridad importante y qué se puede hacer al respecto

Las extensiones del navegador conllevan numerosos riesgos de seguridad, más de los que estamos dispuestos a admitir. Analizamos el alcance completo de esta amenaza y lo que tanto los individuos como las organizaciones pueden hacer al respecto.

Los mejores escáneres de CVE en 2026 para identificar vulnerabilidades conocidas

Los mejores escáneres de CVE en 2026: Comparativa por Cobertura, Inteligencia y Corrección Automática

Evaluamos los mejores escáneres de CVE en 2026 en cuanto a amplitud de cobertura, fuentes de inteligencia, relación señal/ruido y capacidad de corrección automática. Así es como se comparan y cuál es el adecuado para su stack.

No todos los escáneres de CVE están construidos de la misma manera. Comparamos las mejores opciones en 2026 en cuanto a amplitud de cobertura, fuentes de inteligencia, relación señal/ruido y capacidad de auto-fix, para que pueda encontrar la opción adecuada para su stack.

Malware encontrado en las versiones populares 2.6.2 y 2.6.3 de PyTorch Lightning, robando credenciales, monederos de criptomonedas y configuraciones de VPN como parte de la campaña Mini Shai-Hulud.

Una lista de verificación de seguridad práctica para CTOs para estar preparados para Mythos

Lista de verificación Mythos-Ready

Una lista de verificación práctica para CTOs de SaaS que navegan por un mundo con Mythos y amenazas de IA agéntica. Construida en torno a la ventaja del defensor: usted tiene el contexto que los atacantes tienen que esforzarse por obtener. Cubre los controles, las prácticas y los hábitos operativos que determinan si su equipo encuentra y corrige los problemas antes de que lo haga otra persona.

Alguien publicó cuatro versiones de un paquete falso "tanstack" en 27 minutos para robar sus archivos .env

Cuatro versiones publicadas de un paquete falso "tanstack" subidas en 27 minutos que buscan robar sus archivos .env

Un paquete npm falso "tanstack" publicó hoy cuatro versiones maliciosas en 27 minutos, exfiltrando archivos .env a través de un hook postinstall. Esto es lo que sucedió, quiénes fueron afectados y cómo rotar sus credenciales.

Aikido se integra con AWS Kiro: Detectar en la revisión ya no es escalable

Aikido x Kiro | Detectar en la revisión ya no es escalable

Agentes de IA escribiendo su código. Aikido se integra directamente en el flujo de trabajo agéntico de AWS Kiro para mantener la seguridad en el ciclo, automáticamente, desde la primera línea. Aikido es el primer socio de seguridad global de AWS para Kiro.

Mini Shai-Hulud ataca paquetes npm de SAP con un ladrón de secretos basado en Bun

Paquetes npm de SAP comprometidos utilizan un payload de preinstalación basado en Bun para robar secretos de GitHub, npm, la nube y CI, y luego se propagan a través de GitHub usando OhNoWhatsGoingOnWithGitHub.

Es hora de tratar las extensiones de navegador como vectores de ataque de la cadena de suministro

Es hora de tratar las extensiones de navegador como vectores de ataque de la cadena de suministro | Lecciones aprendidas de la brecha de Vercel

La brecha de Vercel siguió un patrón bien conocido en la industria de la seguridad, donde el código de terceros se confía implícitamente y luego se ve comprometido en la cadena de suministro. Tenemos un marco para ello. Simplemente aún no lo hemos aplicado a las extensiones de navegador. (Spoiler: Hacemos esto para las dependencias de software)

¿Ha vuelto Shai-Hulud? La CLI de Bitwarden comprometida contiene un gusano npm auto-propagable

Se ha encontrado malware en @bitwarden/cli v2026.4.0 que roba claves SSH, secretos de la nube y credenciales de herramientas de codificación de IA, y luego se propaga a través de los propios paquetes npm de las víctimas. En su interior: un gusano que se autodenomina "Shai-Hulud: The Third Coming."

Puerta trasera GPT-Proxy en npm y PyPI convierte servidores en relés LLM chinos

Una campaña de malware recién descubierta en npm y PyPI instala proxies LLM ocultos en servidores comprometidos, convirtiéndolos en nodos de retransmisión para el tráfico LLM.

XSS en Roundcube encadenado con 'cookie tossing' para acceso completo a la bandeja de entrada

Encontramos un XSS almacenado en el endpoint de adjuntos de borradores de Roundcube que, encadenado con una técnica de 'cookie tossing', otorga a un atacante acceso completo a la bandeja de entrada de una víctima. Así es como funciona la cadena de explotación y cómo se parcheó.

Presentamos Device Protection: Seguridad para Dispositivos de Desarrolladores

Aikido Device Protection: Seguridad para Dispositivos de Desarrolladores | Aikido

Los ataques a la cadena de suministro se dirigen a los dispositivos de los desarrolladores. Aikido Device Protection monitoriza cada instalación en npm, PyPI, extensiones de VS Code, extensiones de navegador y herramientas de IA.

Múltiples vulnerabilidades de cross-site scripting (XSS) en Mailcow

Múltiples vulnerabilidades XSS encontradas en Mailcow, incluyendo la toma de control de cuentas no autenticadas

El agente de pentesting de IA de Aikido encontró tres vulnerabilidades XSS en Mailcow, una de las cuales permitía a atacantes no autenticados tomar el control de cuentas de administrador. Todos los problemas han sido corregidos a partir de la versión 2026-03b.

Los agentes de pentesting de IA de Aikido encontraron tres vulnerabilidades XSS en Mailcow, un servidor de correo electrónico autohospedado ampliamente utilizado. La más grave permitía a atacantes no autenticados inyectar una carga útil en los registros de Autodiscover que se ejecutaría cuando un administrador los visualizara, permitiendo la toma de control total de la cuenta. Las tres han sido corregidas desde la versión 2026-03b.

Fuentes fiables de CVE en la era de los recortes de NIST NVD

Cambios en NIST NVD 2026: lo que los equipos de seguridad deben saber

NIST ya no enriquecerá la mayoría de los CVE. Esto es lo que cambia, lo que se rompe y lo que está por venir.

Un año de Opengrep: Qué hemos construido y qué sigue

Opengrep SAST después de un año: Análisis estático más rápido y determinista

Un año después de bifurcar Semgrep, Opengrep es más rápido, soporta un análisis de taint más profundo y produce resultados consistentes y reproducibles.

Un año después de bifurcar Semgrep, Opengrep es más rápido, más capaz y completamente abierto. Esto es lo que hemos construido y lo que sigue.

Axios CVE-2026-40175: un error crítico que... no es explotable

Axios CVE-2026-40175 está clasificado como crítico, pero en entornos reales de Node.js no es prácticamente explotable. Aquí está el porqué.

El Bug bounty no está muerto, pero el modelo antiguo está fallando

El Bug bounty está alcanzando un punto crítico a medida que la IA abruma los programas, impulsando un cambio hacia modelos de seguridad más sostenibles y centrados en la calidad.

Técnico

GlassWorm se vuelve nativo: Nuevo dropper Zig infecta cada IDE en su máquina

GlassWorm despliega un dropper nativo basado en Zig oculto dentro de una extensión falsa, comprometiendo silenciosamente VS Code, Cursor, VSCodium y otros IDEs.

Aikido Attack encuentra múltiples 0-days en Hoppscotch

Aikido Attack Encuentra 0-Days en Hoppscotch

Los agentes de pentesting de IA de Aikido descubrieron múltiples vulnerabilidades de alta gravedad en Hoppscotch, incluyendo toma de control de cuentas, XSS almacenado y fallos de control de acceso. Todos los problemas han sido parcheados.

Aikido Attack identificó tres vulnerabilidades de alta gravedad en Hoppscotch: una redirección abierta que lleva a la toma de control de cuentas, XSS almacenado y un problema de control de acceso roto que permite la inyección de solicitudes entre equipos.

El alarmismo en ciberseguridad en torno a Mythos no se corresponde con lo que observamos en la práctica

Riesgos de ciberseguridad de Anthropic Mythos: Lo que 1.000 pentests de IA realmente demuestran

El modelo Mythos filtrado de Anthropic ha desatado el pánico sobre los ciberataques impulsados por IA. Realizamos 1.000 pentests de IA. Los resultados sugieren que la amenaza es más matizada de lo que afirman los titulares.

axios comprometido en npm: cuenta del mantenedor secuestrada, RAT desplegado

Las versiones maliciosas de axios 1.14.1 y 0.30.4 fueron publicadas a través de una cuenta de mantenedor secuestrada. Una dependencia oculta despliega un RAT multiplataforma. Compruebe si está afectado y remedie la situación ahora.

Axios fue comprometido. Las versiones maliciosas de axios 1.14.1 y 0.30.4 fueron publicadas en npm después de que la cuenta del mantenedor principal fuera secuestrada. La dependencia inyectada despliega un RAT multiplataforma que se autodestruye después de la ejecución.

Aikido × Lovable: Vibe, Fix, Ship

Lovable se asocia con Aikido para llevar el pentesting a las aplicaciones Vibe-Coded

Lovable y Aikido integran el pentesting en la plataforma, permitiendo a los desarrolladores simular ataques reales y corregir problemas antes del lanzamiento.

Aikido integra el pentesting directamente en Lovable. Pruebe su aplicación simulando ataques reales y corrija los problemas antes de su lanzamiento.

CanisterWorm se arma: el wiper de Kubernetes de TeamPCP apunta a Irán

TeamPCP despliega CanisterWorm en NPM tras el compromiso de Trivy

Aikido reconocido por Frost & Sullivan con el Premio al Liderazgo en Valor para el Cliente 2026 en ASPM

Frost & Sullivan ha reconocido a Aikido con el Premio al Liderazgo en Valor para el Cliente 2026 en ASPM. Analizamos lo que los criterios de reconocimiento revelan sobre cómo está madurando el mercado de AppSec.

¡Gracias! ¡Su envío ha sido recibido!

¡Vaya! Algo salió mal al enviar el formulario.

Agosto 10, 2023

•

Guías y Mejores Prácticas

Lista de verificación de seguridad para CTO de SaaS de Aikido para 2025

Las empresas SaaS tienen un gran objetivo marcado en sus espaldas en lo que respecta a la seguridad. La lista de verificación de seguridad para CTOs SaaS de Aikido de 2024 te ofrece más de 40 elementos para mejorar la seguridad 💪 Descárgala ahora y haz que tu empresa y tu código sean 10 veces más seguros. #cybersecurity #SaaSCTO #securitychecklist

Etiquetas/

#AppSec

Agosto 10, 2023

•

Guías y Mejores Prácticas

Lista de verificación de seguridad para CTO de SaaS de Aikido para 2024

Etiquetas/

#AppSec

Julio 25, 2023

•

Guías y Mejores Prácticas

Los 15 principales desafíos de seguridad en la nube y el código revelados por los CTOs

Todos los CTOs se enfrentan a desafíos al asegurar sus productos. Queríamos encontrar las tendencias y descubrir las necesidades y preocupaciones de los CTOs de SaaS. Consultamos a 15 CTOs de empresas de software cloud-native sobre sus desafíos de seguridad en la nube y el código. ¡Prioridades, bloqueos, fallos, resultados deseados!

Etiquetas/

#AppSec

#Nube

Julio 12, 2023

•

Vulnerabilidades y amenazas

¿Qué es el Top 10 OWASP?

El Top 10 OWASP sirve como una lista de verificación vital, identificando los riesgos de seguridad más críticos de las aplicaciones web y guiando a los desarrolladores en la mitigación de estas vulnerabilidades. Al adherirse al Top 10 OWASP, no solo proteges los datos sensibles, sino que también fomentas una cultura de concienciación sobre la seguridad, asegurando que tu aplicación permanezca resiliente frente a las amenazas emergentes.

Etiquetas/

#OWASP

#Vulnerabilidades

Julio 11, 2023

•

Guías y Mejores Prácticas

Cómo construir un panel de administración seguro para tu aplicación SaaS

Evita errores comunes al construir un panel de administración SaaS. Describimos algunos escollos y posibles soluciones específicamente para desarrolladores de SaaS.

Etiquetas/

No se encontraron elementos.

Julio 5, 2023

•

Guías

Cómo prepararse para la ISO 27001:2022

ISO 27001:2022 reemplaza a ISO 27001:2013. Aikido te ayuda a cumplir rápidamente con los nuevos controles de seguridad para que tú y tus clientes podáis dormir tranquilos. Esta publicación de blog te guía a través de los nuevos requisitos y cómo Aikido te apoya.

Etiquetas/

No se encontraron elementos.

Junio 19, 2023

•

Guías

Cómo evitar las consecuencias de que tu plataforma de CI/CD sea hackeada

CI/CD es un objetivo principal para los hackers, así que toma medidas para evitar consecuencias. Aikido Security identifica si tu nube está defendiendo activamente tu CI/CD.

Etiquetas/

#AWS

#Codeship

#Nube

#CircleCI

Junio 12, 2023

•

Guías y Mejores Prácticas

Cómo cerrar acuerdos más rápido con un informe de evaluación de seguridad

Etiquetas/

#AppSec

#DevSecOps

Junio 5, 2023

•

Guías

Automatiza la gestión de vulnerabilidades técnicas [SOC 2]

Cómo lograr la conformidad sin imponer una carga de trabajo pesada a tu equipo de desarrollo

Etiquetas/

No se encontraron elementos.

Junio 1, 2023

•

Guías y Mejores Prácticas

Prevención de la contaminación de prototipos en su repositorio

Etiquetas/

#AppSec

Mayo 16, 2023

•

Guías

¿Cómo equilibra un CTO de una startup SaaS la velocidad de desarrollo y la seguridad?

Etiquetas/

No se encontraron elementos.

Abril 10, 2023

•

Ingeniería

Cómo la nube de una startup fue comprometida por un simple formulario de envío de correos electrónicos

Cómo la nube de una startup fue comprometida por un simple formulario que envía un correo electrónico

Etiquetas/

#AWS

#SSRF

#IMDSv1

#Nube

#IMDSv2

Julio 14, 2026

•

Actualizaciones de producto y empresa

Cómo Aikido Intel detecta primero el malware y las vulnerabilidades

intel

Aikido Device Protection

SCA

Junio 30, 2026

•

Actualizaciones de producto y empresa

Aikido adquiere Root para garantizar la seguridad de la cadena de suministro

Escaneo de contenedores

Mayo 12, 2026

•

Actualizaciones de producto y empresa

Un año de Opengrep: Qué hemos construido y qué sigue

Un año después de bifurcar Semgrep, Opengrep es más rápido, soporta un análisis de taint más profundo y produce resultados consistentes y reproducibles.

SAST

open source

Julio 31, 2026

•

Vulnerabilidades y amenazas

El «Fever Dream» de Anthropic: el paquete de Claude que robó claves reales

Anthropic ha revelado la existencia de un agente que introdujo malware real en PyPI. Creemos que hemos encontrado el paquete, y todos los errores que contiene apuntan a la IA.

Seguridad de la IA

Malware

Julio 19, 2026

•

Vulnerabilidades y amenazas

SleeperGem: un ataque a la cadena de suministro de RubyGems tiene como objetivo cuentas inactivas de mantenedores

SleeperGem: dos cuentas inactivas de mantenedores de RubyGems fueron pirateadas para introducir malware en gemas de confianza; una de ellas contaba con más de 500 000 descargas en total.

Malware

Julio 14, 2026

•

Vulnerabilidades y amenazas

Los paquetes de npm de AsyncAPI han sido infectados a través de GitHub Actions

Malware

Junio 12, 2026

•

Herramientas DevSec y comparaciones

5 alternativas de seguridad a Socket y por qué son mejores

Aikido Zen

Malware

open source

Agosto 19, 2025

•

Herramientas DevSec y comparaciones

Las 13 mejores herramientas de Pruebas de seguridad de aplicaciones dinámicas (DAST) en 2026

Descubre las 13 mejores herramientas Pruebas de seguridad de aplicaciones dinámicas DAST) de 2026. Compara características, ventajas, inconvenientes e integraciones para elegir la DAST más adecuada.

Herramientas

DAST

Julio 18, 2025

•

Herramientas DevSec y comparaciones

Las 14 mejores herramientas de escaneo de contenedores en 2026

Descubre las 14 mejores herramientas de escaneo de contenedores en 2026. Compara características, ventajas, desventajas e integraciones para elegir la solución adecuada para tu pipeline de DevSecOps.

Herramientas

Escaneo de contenedores