.avif)
Bienvenido a nuestro blog.
Un crate de Rust comprometido ejecuta una operación de exfiltración de código
La versión v1.4.1 del crate «onering Rust» en crates.io, que presenta una vulnerabilidad, incluía un archivo «build.rs» malicioso que envía el cambio (diff) de tu última confirmación a un punto final alojado de Sentry cada vez que compilas.
.jpg)
Una vulnerabilidad crítica en phpBB, presente desde hace 10 años, afecta a decenas de millones de usuarios en miles de foros
Un momento, ¿qué puede hacer binding.gyp? Descubriendo el sistema de compilación más extraño de npm
Analicemos en profundidad binding.gyp, ese archivo de compilación de npm que suele pasarse por alto y que puede ejecutar código malicioso durante la instalación mediante expansiones de shell, fugas del entorno de pruebas y secuestro del compilador.
Estado de la IA en Seguridad y Desarrollo 2026
Nuestro nuevo informe recoge las voces de 450 líderes de seguridad (CISOs o equivalentes), desarrolladores e ingenieros de AppSec de toda Europa y EE. UU. Juntos, revelan cómo el código generado por IA ya está causando problemas, cómo la proliferación de herramientas está empeorando la seguridad y cómo la experiencia del desarrollador está directamente ligada a las tasas de incidentes. Aquí es donde la velocidad y la seguridad chocan en 2025.
Vulnerabilidades y amenazas
Elimina el ruido con análisis detallados de CVEs reales, análisis de malware, exploits y riesgos emergentes.
Noticias
Nuestra perspectiva sobre las historias que están dando forma a la seguridad del software en este momento
Casos de éxito
Descubre cómo equipos como el tuyo utilizan Aikido para simplificar la seguridad y desplegar con confianza.
Actualizaciones de producto y empresa
Novedades en Aikido: desde lanzamientos de productos hasta grandes logros en seguridad.
Full Fathom Five: El contexto del lanzamiento público de la clase Mythos de Anthropic
Nunca has necesitado Mythos para detectar tus IDOR y fallos en la lógica de negocio. Un repaso a lo que Anthropic ha incluido en Fable 5, y por qué la seguridad de la información sigue siendo, en el fondo, un problema humano.
La versión 12 de npm ofrece una de las mayores mejoras en materia de seguridad de los últimos años
La versión 12 de npm establece que los scripts de instalación sean opcionales por defecto, cerrando así la ruta de ejecución durante la instalación tras un año de problemas en la cadena de suministro de npm, desde Nx hasta Red Hat.
Se está programando en todas partes, y el dispositivo es la única constante
Los desarrolladores programan en todas partes. Los agentes de IA, los bots de Slack y los servidores MCP han convertido los dispositivos de los desarrolladores en el mayor punto ciego en materia de seguridad.
Las listas de materiales de seguridad (SBOM) en 2026: todo el mundo las elabora, pero nadie las utiliza
El informe de la ENISA sobre SBOM en 2026 abarca 334 organizaciones y pone de manifiesto una brecha constante entre la generación de SBOM y su uso efectivo. Esto es lo más destacado.
Por qué el EDR y el proxy no te protegerán del malware en la cadena de suministro
Los sistemas EDR y los servidores proxy no se diseñaron para detectar malware en la cadena de suministro. Cuando el código malicioso llega a través de «npm install», parece un comportamiento normal. A continuación explicamos por qué esto es importante.
Lo que MDM no puede proteger en máquinas de desarrolladores (y qué hacer al respecto)
La mayoría de los equipos de seguridad tienen MDM desplegado. El problema es que las instalaciones de npm, las extensiones de VS Code y las herramientas de codificación de IA ocurren completamente fuera de la vista de MDM. Aquí está lo que realmente está desprotegido y cómo cerrar la brecha.
Una interfaz de usuario remota de Codex de aspecto legítimo roba secretamente tus tokens de IA
Una interfaz de usuario remota de Codex pulida, el paquete npm codexui-android, tiene un desarrollo activo y miles de usuarios semanales. Ha estado exfiltrando silenciosamente tokens de autenticación de OpenAI durante el último mes.
Ataque a la cadena de suministro dirigido a paquetes Laravel-Lang con un ladrón de credenciales
Los atacantes inyectaron un ladrón de credenciales en más de 200 versiones de paquetes populares de Laravel-Lang, distribuyendo un ladrón de credenciales dirigido a claves de cloud, claves SSH, navegadores, monederos de criptomonedas y más.
La IA en la sombra es una respuesta al miedo, y prohibirla lo empeora
La IA en la sombra es una respuesta al miedo. Los empleados están ocultando las herramientas que utilizan porque están interpretando correctamente un mercado laboral que exige habilidades en IA. Aquí le explicamos por qué prohibir lo empeora y qué hacer en su lugar.
Mini Shai-Hulud está de vuelta: el gusano npm afecta a más de 160 paquetes, incluyendo Mistral y Tanstack
Implementación de la seguridad para desarrolladores en una organización con más de 5.000 ingenieros
La mayoría de las implementaciones de seguridad para desarrolladores fallan porque están diseñadas como despliegues de software, no como cambios culturales. Aquí está el modelo por fases en el que los CISO experimentados coinciden para solucionarlo.
Un año de Opengrep: Qué hemos construido y qué sigue
Un año después de bifurcar Semgrep, Opengrep es más rápido, soporta un análisis de taint más profundo y produce resultados consistentes y reproducibles.
Aikido se integra con AWS Kiro: Detectar en la revisión ya no es escalable
Agentes de IA escribiendo su código. Aikido se integra directamente en el flujo de trabajo agéntico de AWS Kiro para mantener la seguridad en el ciclo, automáticamente, desde la primera línea. Aikido es el primer socio de seguridad global de AWS para Kiro.
Una vulnerabilidad crítica en phpBB, presente desde hace 10 años, afecta a decenas de millones de usuarios en miles de foros
Aikido Security una vulnerabilidad crítica en phpBB que permite eludir la autenticación sin necesidad de credenciales y que afecta a decenas de millones de usuarios. Basta con una sola solicitud HTTP para hacerse con el control de cualquier cuenta, una vulnerabilidad que llevaba presente en el código desde 2014.
Un momento, ¿qué puede hacer binding.gyp? Descubriendo el sistema de compilación más extraño de npm
Analicemos en profundidad binding.gyp, ese archivo de compilación de npm que suele pasarse por alto y que puede ejecutar código malicioso durante la instalación mediante expansiones de shell, fugas del entorno de pruebas y secuestro del compilador.
Las 12 mejores herramientas de Pruebas de seguridad de aplicaciones dinámicas (DAST) en 2026
Descubre las 12 mejores herramientas de Pruebas de seguridad de aplicaciones dinámicas (DAST) en 2026. Compara características, ventajas, desventajas e integraciones para elegir la solución DAST adecuada para tu pipeline de DevSecOps.
Una lista de verificación de seguridad práctica para CTOs para estar preparados para Mythos
Una lista de verificación práctica para CTOs de SaaS que navegan por un mundo con Mythos y amenazas de IA agéntica. Construida en torno a la ventaja del defensor: usted tiene el contexto que los atacantes tienen que esforzarse por obtener. Cubre los controles, las prácticas y los hábitos operativos que determinan si su equipo encuentra y corrige los problemas antes de que lo haga otra persona.
Las pruebas de seguridad validan software que ya no existe
Los equipos modernos entregan más rápido de lo que el pentesting puede seguir el ritmo. Explore la creciente brecha de velocidad en las pruebas de seguridad y por qué los enfoques tradicionales se están quedando atrás.
Lo que el pentesting continuo realmente requiere
El pentesting continuo promete una validación de seguridad en tiempo real, pero la mayoría de las implementaciones se quedan cortas. Esto es lo que el pentesting continuo realmente requiere: desde pruebas conscientes del cambio hasta la validación de exploits y los bucles de remediación.
Asegura tu plataforma ahora
Protege tu código, la nube y el entorno de ejecución en un único sistema central.
Encuentra y corrije vulnerabilidades de forma rápida y automática.
