.avif)
Bienvenido a nuestro blog.
El «Fever Dream» de Anthropic: el paquete de Claude que robó claves reales
Anthropic reveló que uno de sus propios agentes publicó malware activo en PyPI y, en el proceso, puso en peligro a una empresa externa real. Me puse a investigar y puede que haya encontrado el paquete que dejó ahí.
La trampa de la actualización: cuando actualizar es la respuesta equivocada ante un CVE
La idea de «actualizar para solucionarlo» da por hecho que existe una versión corregida, que ya se ha lanzado y que no provocará fallos en tu aplicación. A menudo, ninguna de estas suposiciones es cierta. Se trata de la «trampa de la actualización», en la que tanto actualizar como no hacerlo conllevan riesgos de seguridad y pueden provocar fallos en el entorno de producción. Analizamos cuál podría ser la solución.
El estado de la IA en las pruebas de penetración en 2026
Nuestro último informe recoge las opiniones de 400 directores de seguridad de la información (CISO), directores técnicos (CTO) y altos responsables de ingeniería de toda Europa y Estados Unidos. En él se analiza cómo la inteligencia artificial está transformando las pruebas de penetración, por qué los enfoques tradicionales tienen dificultades para seguir el ritmo de la entrega moderna de software y qué esperan los responsables de seguridad de la próxima generación de pruebas de penetración.
Vulnerabilidades y amenazas
Elimina el ruido con análisis detallados de CVEs reales, análisis de malware, exploits y riesgos emergentes.
Noticias
Nuestra perspectiva sobre las historias que están dando forma a la seguridad del software en este momento
Casos de éxito
Descubre cómo equipos como el tuyo utilizan Aikido para simplificar la seguridad y desplegar con confianza.
Actualizaciones de producto y empresa
Novedades en Aikido: desde lanzamientos de productos hasta grandes logros en seguridad.
Omisión de la autenticación en la configuración predeterminada de phpBB
Nuestros agentes de pruebas de penetración basados en IA han detectado una vulnerabilidad crítica en phpBB que permite eludir la autenticación (CVE-2026-48611): basta con una solicitud sin autenticar para iniciar sesión en cualquier cuenta. Consulta el exploit y la solución.
Y otra más. GitHub lanza una función de revocación de credenciales de emergencia
GitHub Enterprise ya permite revocar todas las credenciales de una cuenta de una sola vez. El Trivy y la vulnerabilidad de «durabletask» de la propia Microsoft demuestran por qué esta medida se ha hecho esperar tanto tiempo.
npm ahora congela las cuentas de alto impacto después de cambios de cuenta arriesgados
Un vistazo a la nueva congelación de cuentas de 72 horas de npm: qué la activa, qué bloquea y cómo funciona junto con la publicación de confianza y por fases.
Todo el mundo está lanzando código que no puede leer
Con la IA, ahora todo el mundo es desarrollador y se envía mucho código sin una revisión cuidadosa por parte de expertos.
Acción de GitHub comprometida codfish/semantic-release-action roba secretos de CI/CD
codfish/semantic-release-action fue comprometida el 24 de junio de 2026. Los atacantes redirigieron las etiquetas v2-v5 a una carga útil de Miasma para el robo de credenciales dirigida a los secretos de CI/CD. Esto es lo que ocurrió y cómo comprobar si estás afectado.
Aikido x Drydock | Una forma para que los mantenedores detecten malware antes de su publicación
Aikido se asocia con Drydock para que los mantenedores de npm y PyPI puedan ver exactamente qué contiene una versión antes de que se publique. Detecta el malware antes de su publicación, no después.
Aikido x OWASP: 200 créditos gratuitos para miembros individuales
Los miembros individuales de OWASP obtienen 200 créditos gratuitos de Aikido para ejecutar Code Audit. Aquí le explicamos cómo solicitar los suyos en dos pasos.
Más de 140 paquetes npm populares de Mastra afectados por un ataque a la cadena de suministro
141 paquetes npm de Mastra fueron comprometidos en un ataque a la cadena de suministro que inyectó una dependencia maliciosa para descargar y ejecutar silenciosamente una carga útil en el momento de la instalación.
Full Fathom Five: El contexto del lanzamiento público de clase Mythos de Anthropic
Nunca necesitó Mythos para encontrar sus IDORs y fallos de lógica de negocio. Un vistazo a lo que Anthropic lanzó con Fable 5, y por qué la seguridad de la información sigue siendo un problema de personas en esencia.
npm v12 ofrece una de las mayores mejoras de seguridad en años
npm v12 hace que los scripts de instalación sean opcionales por defecto, cerrando la ruta de ejecución en tiempo de instalación tras un año de gusanos de la cadena de suministro de npm, desde Nx hasta Red Hat.
Cómo Aikido Intel detecta primero el malware y las vulnerabilidades
Aikido Intel es un servicio de información en tiempo real que detecta malware y vulnerabilidades aún no reveladas en los ecosistemas de código abierto, a menudo en un plazo de 8 minutos desde su aparición.
Aikido adquiere Root para garantizar la seguridad de la cadena de suministro
Aikido ha adquirido Root para garantizar la seguridad de la cadena de suministro de software, corrigiendo las vulnerabilidades del código abierto en la versión que ya utilizas, sin necesidad de actualizar. Las correcciones críticas se comparten con la comunidad de forma gratuita.
El «Fever Dream» de Anthropic: el paquete de Claude que robó claves reales
Anthropic ha revelado la existencia de un agente que introdujo malware real en PyPI. Creemos que hemos encontrado el paquete, y todos los errores que contiene apuntan a la IA.
5 alternativas de seguridad a Socket y por qué son mejores
Socket se forjó un nombre en la detección de malware. Pero la velocidad de detección por sí sola ya no es toda la historia. Así es como Aikido y otras cuatro alternativas se comparan en seguridad de la cadena de suministro, análisis de alcanzabilidad, licencias y más.
Guía pentesting de IA : Cómo evaluar a pentesting de IA
Descubre cómo evaluar pentesting de IA con criterios de compra prácticos, un estudio basado en más de 1.000 pruebas de penetración con IA y una lista de verificación descargable.
Una lista de verificación de seguridad práctica para CTOs para estar preparados para Mythos
Una lista de verificación práctica para CTOs de SaaS que navegan por un mundo con Mythos y amenazas de IA agéntica. Construida en torno a la ventaja del defensor: usted tiene el contexto que los atacantes tienen que esforzarse por obtener. Cubre los controles, las prácticas y los hábitos operativos que determinan si su equipo encuentra y corrige los problemas antes de que lo haga otra persona.
Asegura tu plataforma ahora
Protege tu código, la nube y el entorno de ejecución en un único sistema central.
Encuentra y corrije vulnerabilidades de forma rápida y automática.
