Bienvenido a nuestro blog.

Axios CVE-2026-40175: un error crítico que... no es explotable

Axios CVE-2026-40175 está clasificado como crítico, pero en entornos reales de Node.js no es prácticamente explotable. Aquí está el porqué.

El Bug bounty no está muerto, pero el modelo antiguo está fallando

El Bug bounty está alcanzando un punto crítico a medida que la IA abruma los programas, impulsando un cambio hacia modelos de seguridad más sostenibles y centrados en la calidad.

Técnico

GlassWorm se vuelve nativo: Nuevo dropper Zig infecta cada IDE en su máquina

GlassWorm despliega un dropper nativo basado en Zig oculto dentro de una extensión falsa, comprometiendo silenciosamente VS Code, Cursor, VSCodium y otros IDEs.

Aikido Attack encuentra múltiples 0-days en Hoppscotch

Aikido Attack Encuentra 0-Days en Hoppscotch

Los agentes de pentesting de IA de Aikido descubrieron múltiples vulnerabilidades de alta gravedad en Hoppscotch, incluyendo toma de control de cuentas, XSS almacenado y fallos de control de acceso. Todos los problemas han sido parcheados.

Aikido Attack identificó tres vulnerabilidades de alta gravedad en Hoppscotch: una redirección abierta que lleva a la toma de control de cuentas, XSS almacenado y un problema de control de acceso roto que permite la inyección de solicitudes entre equipos.

El alarmismo en ciberseguridad en torno a Mythos no se corresponde con lo que observamos en la práctica

Riesgos de ciberseguridad de Anthropic Mythos: Lo que 1.000 pentests de IA realmente demuestran

El modelo Mythos filtrado de Anthropic ha desatado el pánico sobre los ciberataques impulsados por IA. Realizamos 1.000 pentests de IA. Los resultados sugieren que la amenaza es más matizada de lo que afirman los titulares.

axios comprometido en npm: cuenta del mantenedor secuestrada, RAT desplegado

Las versiones maliciosas de axios 1.14.1 y 0.30.4 fueron publicadas a través de una cuenta de mantenedor secuestrada. Una dependencia oculta despliega un RAT multiplataforma. Compruebe si está afectado y remedie la situación ahora.

Axios fue comprometido. Las versiones maliciosas de axios 1.14.1 y 0.30.4 fueron publicadas en npm después de que la cuenta del mantenedor principal fuera secuestrada. La dependencia inyectada despliega un RAT multiplataforma que se autodestruye después de la ejecución.

Aikido × Lovable: Vibe, Fix, Ship

Lovable se asocia con Aikido para llevar el pentesting a las aplicaciones Vibe-Coded

Lovable y Aikido integran el pentesting en la plataforma, permitiendo a los desarrolladores simular ataques reales y corregir problemas antes del lanzamiento.

Aikido integra el pentesting directamente en Lovable. Pruebe su aplicación simulando ataques reales y corrija los problemas antes de su lanzamiento.

CanisterWorm se arma: el wiper de Kubernetes de TeamPCP apunta a Irán

TeamPCP despliega CanisterWorm en NPM tras el compromiso de Trivy

Aikido reconocido por Frost & Sullivan con el Premio al Liderazgo en Valor para el Cliente 2026 en ASPM

Frost & Sullivan ha reconocido a Aikido con el Premio al Liderazgo en Valor para el Cliente 2026 en ASPM. Analizamos lo que los criterios de reconocimiento revelan sobre cómo está madurando el mercado de AppSec.

GlassWorm oculta un RAT dentro de una extensión maliciosa de Chrome

RAT GlassWorm entregado a través de una extensión maliciosa de Chrome (Keylogger, Robo de Cookies)

GlassWorm despliega un RAT de múltiples etapas que fuerza la instalación de una extensión maliciosa de Chrome para registrar pulsaciones de teclas, robar cookies y exfiltrar datos a través de un C2 basado en Solana.

Las pruebas de seguridad validan software que ya no existe

Por qué el Pentesting no puede seguir el ritmo: El problema de la velocidad en las pruebas de seguridad

Los equipos modernos entregan más rápido de lo que el pentesting puede seguir el ritmo. Explore la creciente brecha de velocidad en las pruebas de seguridad y por qué los enfoques tradicionales se están quedando atrás.

Un CISO de una gran empresa nos dijo que la capacidad de seguridad más importante hoy en día es la velocidad. Pero, ¿qué ocurre cuando las pruebas no pueden seguir el ritmo de la rapidez con la que cambian los sistemas?

Extensión fast-draft Open VSX Comprometida por BlokTrooper

Extensión fast-draft Open VSX Comprometida por BlokTrooper (RAT e Infostealer)

La extensión fast-draft Open VSX fue comprometida para desplegar un RAT y un infostealer de BlokTrooper a través de cargas útiles alojadas en GitHub. Se identificaron múltiples versiones maliciosas.

Glassworm ataca paquetes populares de React Native para números de teléfono

Glassworm ataca paquetes populares de números de teléfono de React Native en un nuevo ataque a la cadena de suministro

Investigadores de Aikido Security recuperaron y descifraron la cadena completa de carga útil de dos paquetes maliciosos de React Native. Esto es lo que hace el malware y qué buscar.

Glassworm está de vuelta: una nueva ola de ataques Unicode invisibles afecta a cientos de repositorios

Glassworm regresa: malware Unicode invisible encontrado en más de 150 repositorios de GitHub

El ataque a la cadena de suministro de Glassworm ha regresado. Investigadores descubrieron malware oculto en caracteres Unicode invisibles en más de 150 repositorios de GitHub, además de paquetes npm y extensiones de VS Code.

Glassworm está de vuelta con una nueva ola de ataques Unicode invisibles. Estamos rastreando una nueva campaña que compromete silenciosamente repositorios en GitHub, npm y VS Code.

Las mejores fiestas, eventos paralelos y encuentros de seguridad de RSAC 2026

Guía de fiestas y eventos de seguridad RSAC 2026 | Aikido

¿Cómo los equipos de seguridad se defienden de los hackers impulsados por IA?

La IA ha reducido drásticamente la barrera de entrada para los hackers. Esto es lo que significa para los defensores y cómo el pentesting de IA continuo cambia la ecuación.

Un solo hacker y una suscripción a Claude acaban de derribar nueve agencias gubernamentales mexicanas. La IA ha proporcionado a los atacantes una mejora de poder significativa. Los equipos de seguridad necesitan un nuevo manual de estrategias.

Presentamos Betterleaks, un escáner de secretos de código abierto del autor de Gitleaks

Betterleaks: El sucesor de Gitleaks diseñado para un escaneo de secretos más rápido

Betterleaks es un nuevo escáner de secretos de código abierto del creador de Gitleaks. Un reemplazo directo con escaneos más rápidos, detección de eficiencia de tokens, validación configurable y más.

El creador de Gitleaks lanza su sucesor. Betterleaks es un escáner de secretos de código abierto más rápido, diseñado para detectar más fugas y adaptarse a los flujos de trabajo modernos de los desarrolladores.

¿Cómo funciona el pentesting de IA en relación con el cumplimiento?

¿Cómo funciona el pentesting de IA con el cumplimiento normativo?

El pentesting de IA está siendo aceptado para SOC 2, ISO 27001, HIPAA y PCI DSS. Esto es lo que los auditores realmente buscan y dónde están las limitaciones reales.

Cumplimiento

Estrategia de ciberseguridad de Trump para 2026: Del cumplimiento a la consecuencia

Estrategia de Ciberseguridad de Trump para 2026: Del Cumplimiento a la Consecuencia

La estrategia de ciberseguridad de la administración Trump para 2026 cambia el enfoque de las listas de verificación de cumplimiento a consecuencias reales para los ciberdelincuentes. Esto es lo que los CISO deben saber.

Lo que el pentesting continuo realmente requiere

Pentesting continuo: cómo funciona y qué requiere

El pentesting continuo promete una validación de seguridad en tiempo real, pero la mayoría de las implementaciones se quedan cortas. Esto es lo que el pentesting continuo realmente requiere: desde pruebas conscientes del cambio hasta la validación de exploits y los bucles de remediación.

El pentesting continuo es ampliamente debatido, pero rara vez se define con claridad. Este artículo desglosa qué es, qué no es y qué es lo que realmente requiere.

Raro, no aleatorio: Uso de la eficiencia de tokens para el escaneo de secretos

La entropía a menudo tiene dificultades con los secretos genéricos y las cadenas cortas. Analizamos cómo la eficiencia de tokens puede identificar mejor las cadenas que no se parecen a texto normal.

La entropía es excelente para detectar la aleatoriedad. Pero los secretos no siempre son aleatorios. Son simplemente cadenas que no aparecen en código o texto normal. Exploramos el uso de la tokenización BPE para medir esa diferencia.

Por qué el determinismo sigue siendo una necesidad en seguridad

El escaneo con IA encuentra lo que las reglas no detectan. El escaneo determinista lo encuentra siempre. Aquí le explicamos por qué las mejores pipelines de seguridad no eligen entre ambos.

Las herramientas de seguridad impulsadas por IA están mejorando en la detección de vulnerabilidades. Pero las herramientas deterministas ofrecen la consistencia de la que dependen las pipelines, el cumplimiento normativo y las pistas de auditoría. Analizamos qué hace bien el escaneo determinista, dónde interviene la IA y cómo ambos trabajan juntos para una seguridad eficaz.

Ingeniería

WAF vs. RASP vs. ADR

WAF vs. RASP vs. ADR: Cómo funciona la seguridad de aplicaciones en tiempo de ejecución

WAF, RASP y ADR protegen su aplicación de formas completamente diferentes. Aquí le explicamos lo que hace cada capa, dónde se queda corta y cuáles necesita.

WAF, RASP, ADR, eBPF — Aclaramos la terminología en torno a la seguridad de aplicaciones en tiempo de ejecución. Aquí le explicamos lo que hace cada capa, cómo se superponen y cómo encajan entre sí.

Guías

Presentamos Aikido Infinite: Un nuevo modelo de software de autoprotección

Aikido Infinite: Pentesting de IA continuo para cada lanzamiento

Aikido Infinite realiza pentesting de IA en cada cambio de código, valida la explotabilidad, genera parches y vuelve a probar las correcciones antes de que el código llegue a producción, haciendo realidad el software auto-protegido.

XSS/RCE persistente usando WebSockets en el servidor de desarrollo de Storybook

XSS/RCE persistente usando WebSockets en Storybook (CVE-2026-27148)

CVE-2026-27148 expone una vulnerabilidad de secuestro de WebSocket en Storybook que puede escalar a un compromiso de la cadena de suministro. Conozca la ruta de ataque, el impacto y cómo remediarlo.

Aikido Attack encontró una vulnerabilidad de secuestro de WebSocket en el servidor de desarrollo de Storybook que puede conducir a XSS persistente, ejecución remota de código y, en el peor de los casos, a un compromiso de la cadena de suministro. Explicamos cómo un atacante puede explotar esto sin ninguna interacción del usuario, y un desarrollador solo tiene que visitar el sitio web equivocado para encontrarse con este ataque.

Cómo Aikido protege los agentes de pentesting de IA por diseño

Cómo Aikido protege los agentes de pentesting de IA y previene la desviación del alcance

Descubra cómo Aikido protege los agentes de pentesting de IA con aislamiento arquitectónico, aplicación del alcance en tiempo de ejecución y controles a nivel de red para evitar la desviación de producción y la fuga de datos.

Los agentes de IA están diseñados para explorar. En ciberseguridad, esa exploración necesita límites estrictos. Este artículo explica cómo Aikido protege los agentes de pentesting de IA mediante aislamiento arquitectónico, aplicación del alcance en tiempo de ejecución y controles por capas que contienen el riesgo por diseño.

SSRF de lectura completa en Astro mediante inyección de cabecera Host

Vulnerabilidad SSRF en Astro: Inyección de cabecera Host en páginas de error SSR (CVE-2026-25545)

El agente de pentesting de IA de Aikido Security descubrió una vulnerabilidad de Server-Side Request Forgery (SSRF) en la implementación SSR de Astro. Descubre cómo la inyección de cabecera Host en páginas de error prerrenderizadas permitió el acceso completo a la red interna.

El agente de pentesting de IA de Aikido descubrió una vulnerabilidad SSRF en el adaptador Node.js de Astro. Analizaremos cómo, al inyectar una cabecera Host: maliciosa, los atacantes podrían redirigir una solicitud interna a cualquier URL en la red local.

Cómo lograr que su consejo se preocupe por la seguridad (antes de que una brecha lo obligue)

Cómo lograr que su consejo se preocupe por la seguridad antes de una brecha

Los consejos no financian la seguridad porque sea importante. Financian decisiones defendibles. Aquí le explicamos cómo enmarcar el riesgo, reducir la ambigüedad y obtener un apoyo real antes de que una brecha fuerce la situación.

Guías

¿Qué es el Slopsquatting? El ataque de alucinación de paquetes de IA que ya está ocurriendo

Slopsquatting: El ataque de alucinación de paquetes de IA que ya está ocurriendo

Los modelos de IA alucinan nombres de paquetes npm. Los atacantes los registran primero. Aquí te explicamos qué es el slopsquatting, cómo se está propagando a través de las habilidades de los agentes y cómo protegerte.

Los modelos de IA alucinan nombres de paquetes — y los atacantes los están registrando antes de que nadie se dé cuenta. El slopsquatting es la evolución del typosquatting en la era de la IA, y a diferencia de su predecesor, las protecciones existentes de npm no funcionan. Analizamos la investigación en el mundo real que demuestra que ya está ocurriendo, desde paquetes maliciosos confirmados que aún registran cientos de descargas semanales hasta un nombre de paquete alucinado que se propagó a 237 repositorios a través de archivos de habilidades de agentes de IA.

Las 6 mejores alternativas a Wiz Code

Alternativas a Wiz Code (2026): 6 herramientas comparadas y la mejor opción orientada al desarrollador

¿Busca alternativas a Wiz Code? Compare 6 herramientas en SAST, DAST, SCA, precios y experiencia del desarrollador para encontrar la mejor plataforma de AppSec para 2026.

Esta guía compara Wiz Code con seis alternativas: Aikido Security, Snyk, Checkmarx, GitHub Advanced Security, Mend y Veracode, evaluadas en cobertura, experiencia del desarrollador, triaje impulsado por IA, transparencia de precios y velocidad de despliegue. Aikido Security destaca para los equipos que buscan una plataforma centrada en el desarrollador con amplia cobertura, una reducción del 85% de falsos positivos, AutoFix con IA en SAST, IaC y contenedores, DAST nativo y precios transparentes a aproximadamente una décima parte del coste de Wiz.

Aikido reconocido como Líder de Plataforma en el Informe de Seguridad de Aplicaciones 2026 de Latio Tech

Aikido nombrado Líder de Plataforma AppSec en el Informe Latio 2026

Aikido Security reconocido como Líder de Plataforma, Innovador en pentesting de IA e Innovador en la Cadena de Suministro en el Informe AppSec 2026 de Latio Tech.

El Informe AppSec 2026 de Latio Tech nombra a Aikido como Líder de Plataforma e Innovador en IA. Esto es lo que el informe revela sobre el futuro de la seguridad de las aplicaciones.

De la detección a la prevención: cómo Zen detiene las vulnerabilidades IDOR en tiempo de ejecución

De la detección a la prevención: Zen detiene las IDOR en tiempo de ejecución | Aikido

Las vulnerabilidades IDOR son una de las causas más comunes de fugas de datos entre inquilinos en SaaS multi-inquilino. Descubra cómo Zen aplica el aislamiento de inquilinos en tiempo de ejecución analizando las consultas SQL y previniendo el acceso inseguro antes de su implementación.

Las vulnerabilidades IDOR son una de las principales causas de fugas de datos entre inquilinos en aplicaciones multi-inquilino. En esta publicación, explicamos cómo Zen va más allá de la detección y aplica el aislamiento de inquilinos en tiempo de ejecución, haciendo que el acceso entre inquilinos sea imposible de implementar por accidente.

La backdoor de npm permite a los hackers secuestrar los resultados de los juegos de azar

Un ataque a la cadena de suministro de npm secuestra el backend del juego para manipular los resultados de los juegos de azar

Un ataque dirigido a la cadena de suministro de npm instala una backdoor de Express, habilita el acceso remoto a SQL/archivos y reescribe los saldos de apuestas manteniendo los registros consistentes.

Descubrimos paquetes npm maliciosos que pueden modificar transacciones de juegos de azar en producción y mantener la base de datos internamente consistente después.

Por qué intentar proteger OpenClaw es absurdo

Problemas de seguridad de OpenClaw explicados: malware en ClawHub, instancias expuestas y por qué las guías de endurecimiento no abordan el punto clave. ¿Se puede usar el agente de IA de forma segura??

Presentamos el análisis de impacto de las actualizaciones: cuando los cambios disruptivos realmente importan a tu código

Análisis de impacto de las actualizaciones: cuando los cambios disruptivos realmente importan | Aikido

Aikido detecta automáticamente los cambios disruptivos en las actualizaciones de dependencias y analiza tu base de código para mostrar el impacto real, de modo que los equipos puedan fusionar las correcciones de seguridad de forma segura.

El Análisis de Impacto de Actualización de Aikido señala cambios disruptivos en las actualizaciones de dependencias y muestra si esos cambios realmente impactan en su código.

Claude Opus 4.6 encontró 500 vulnerabilidades. ¿Qué cambia esto para la seguridad del software?

Claude Opus 4.6 encontró 500 vulnerabilidades: Qué significa para la seguridad del software

Anthropic afirma que Claude Opus 4.6 descubrió más de 500 vulnerabilidades de alta gravedad en código abierto. Esto es lo que significa para el descubrimiento de vulnerabilidades, la validación de la explotabilidad y los flujos de trabajo de seguridad en producción.

Según se informa, Claude Opus 4.6 encontró más de 500 vulnerabilidades de alta gravedad en código abierto. Este artículo examina qué cambia esto realmente en producción, dónde ayuda el razonamiento de los LLM y por qué la validación y la accesibilidad siguen determinando el impacto real en la seguridad.

Presentamos los Aikido Expansion Packs: Valores predeterminados más seguros dentro del IDE

Aikido Expansion Packs: Valores predeterminados más seguros dentro del IDE

Los Aikido Expansion Packs añaden controles de seguridad específicos directamente dentro de tu IDE. Habilita la protección de secretos, las comprobaciones de malware en la cadena de suministro y la seguridad del código asistida por IA sin cambiar los flujos de trabajo de los desarrolladores.

Informe Internacional de Seguridad de IA 2026: Qué significa para los sistemas de IA autónomos

Informe Internacional de Seguridad de IA 2026: Análisis de Aikido Security

Análisis de Aikido Security del Informe Internacional de Seguridad de la IA 2026. Examinamos los controles en tiempo de despliegue, los requisitos de validación y las líneas base de seguridad prácticas para sistemas de IA autónomos.

Más de 100 expertos contribuyeron al Informe Internacional de Seguridad de la IA 2026, documentando los riesgos de los sistemas de IA autónomos y proponiendo marcos de defensa en profundidad. Como equipo que opera sistemas de pentesting de IA en producción, analizamos dónde acierta el informe y dónde necesita mayor especificidad técnica.

Software de autoprotección: Qué es, por qué es importante y cómo funciona

¿Qué es el software de autoprotección? Un nuevo modelo de seguridad para el software moderno.

El software de autoprotección es un modelo de seguridad donde los sistemas validan y remedian continuamente el riesgo real a medida que cambian. Descubre por qué las pruebas periódicas ya no son escalables.

El software autoasegurado trata la seguridad como una capacidad inherente del sistema, no como un proceso periódico. Este artículo explica por qué el software moderno exige un nuevo modelo de seguridad y qué lo hace posible hoy en día.

SDLC seguro para equipos de ingeniería (+ lista de verificación)

SDLC Seguro Explicado: Los 5 Pilares de un Ciclo de Vida de Desarrollo de Software Seguro

Descubra qué es un SDLC Seguro, por qué es importante y los cinco pilares que todo equipo necesita. Incluye una lista de verificación práctica de SDLC Seguro para CTOs y líderes de ingeniería.

Las 10 Mejores Herramientas de Seguridad de IA para 2026

Las 10 mejores herramientas de seguridad de IA para 2026: Características, ventajas y comparativas

Explore las principales herramientas de seguridad de IA para 2026. Compare plataformas para revisión de código con IA, detección de vulnerabilidades, pentesting y gestión de riesgos para proteger aplicaciones modernas.

Las 10 Mejores Herramientas de Ciberseguridad para 2026

Las 10 mejores herramientas de ciberseguridad para 2026: Detección, Cloud, XDR y AppSec

Un desglose práctico de las 10 principales herramientas de ciberseguridad para 2026, que abarca endpoint, cloud, identidad, gestión de vulnerabilidades y XDR. Aprenda a elegir la herramienta adecuada para su stack y perfil de riesgo.

¿Qué es el pentesting continuo?

¿Qué es el pentesting continuo? Cómo los equipos modernos reducen el riesgo explotable

El pentesting continuo prueba automáticamente rutas de ataque reales cada vez que el software cambia, validando y corrigiendo problemas como parte del ciclo de vida de desarrollo. Descubra cómo se compara con el pentesting de IA y el manual.

El pentesting continuo trata la seguridad como un sistema vivo, no como una prueba puntual. Descubra cómo los equipos modernos lo utilizan para reducir el riesgo explotable a medida que el software cambia.

Confusión con npx: Paquetes que olvidaron reclamar su propio nombre

Reclamamos 128 nombres de paquetes npm no registrados que la documentación oficial indicaba a los desarrolladores que usaran con npx. Siete meses después: 121.000 descargas. Todos habrían ejecutado código arbitrario.

La documentación oficial indica a los desarrolladores que ejecuten `npx package-name`. Pero ¿qué ocurre si nadie ha reclamado ese nombre? Registramos 128 de ellos y observamos. 121.000 descargas en siete meses. La caída durante las vacaciones demuestra que son desarrolladores reales, no bots.

Presentamos Aikido Package Health: una mejor forma de confiar en sus dependencias

Aikido Package Health: Puntuación de Salud para Paquetes de Código Abierto

Vea cuán estable y bien mantenido es realmente un paquete de código abierto. Aikido Package Health ayuda a los desarrolladores a elegir dependencias más seguras con confianza.

Pentesting de IA: Requisitos mínimos de seguridad para pruebas de seguridad

¿Cuándo es seguro el pentesting de IA? Requisitos mínimos de seguridad para pruebas de seguridad

Los sistemas de pentesting de IA actúan de forma autónoma en entornos reales. Descubra cuándo es seguro utilizar el pentesting de IA, las salvaguardas técnicas mínimas requeridas y cómo evaluar las herramientas de pruebas de seguridad de IA de forma responsable.

El pentesting de IA ya es una realidad, pero las expectativas claras de seguridad no lo son. Este artículo define un estándar mínimo de seguridad para el pentesting de IA, proporcionando a los equipos una base concreta para evaluar las herramientas emergentes.

Extensión falsa de Clawdbot para VS Code instala ScreenConnect RAT

Una extensión maliciosa de VS Code que suplanta a Clawdbot está instalando ScreenConnect RAT en máquinas de desarrolladores.

Las 7 mejores herramientas de inteligencia de amenazas en 2026

Las 7 mejores herramientas de inteligencia de amenazas en 2026: reduce el ruido y céntrate en el riesgo real

Un análisis exhaustivo de las principales herramientas de inteligencia de amenazas de 2026, comparando cómo reducen la fatiga de alertas, añaden contexto y ayudan a los equipos a priorizar los riesgos de seguridad del mundo real.

Las 14 mejores extensiones de VS Code para 2026

Las 14 mejores extensiones de VS Code para 2026: productividad, pruebas, seguridad y colaboración

Una guía práctica de las mejores extensiones de VS Code para 2026, que abarca herramientas de productividad, pruebas, colaboración y seguridad que mejoran los flujos de trabajo reales de los desarrolladores.

G_Wagon: Paquete npm despliega un Stealer de Python dirigido a más de 100 carteras de criptomonedas

El paquete npm ansi-universal-ui entrega el infostealer GWagon dirigido a más de 100 carteras de criptomonedas, credenciales de navegador y claves de la nube. Analizamos las 10 versiones mientras el atacante iteraba en tiempo real.

Pentest GPT: Cómo los LLM están redefiniendo las pruebas de penetración

Pentest GPT: Cómo la IA está cambiando las pruebas de penetración

Explore cómo Pentest GPT utiliza LLM para automatizar el razonamiento de ataques, simular exploits reales y escalar las pruebas. Descubra cómo Aikido valida cada hallazgo.

A la pesca de credenciales: Paquetes npm que sirven páginas personalizadas de recolección de credenciales

Una campaña de spear-phishing dirigida utilizó paquetes npm y jsDelivr como infraestructura de phishing gratuita, sirviendo recolectores de credenciales personalizados por víctima

Paquetes PyPI maliciosos spellcheckpy y spellcheckerpy distribuyen un RAT de Python.

Los atacantes publicaron paquetes falsos de corrector ortográfico en PyPI con malware oculto a plena vista. Analizamos el ataque y lo que los desarrolladores deben tener en cuenta.

SvelteSpill: Un error de engaño de caché en SvelteKit + Vercel

SvelteSpill: Error crítico de engaño de caché en SvelteKit + Vercel

SvelteSpill es una vulnerabilidad de engaño de caché que afecta a las aplicaciones SvelteKit predeterminadas desplegadas en Vercel. Las respuestas autenticadas pueden ser almacenadas en caché y expuestas a través de los usuarios. Descubra cómo comprobar si es vulnerable y cómo mitigar el riesgo.

Nuestro sistema de pentesting de IA descubrió y reprodujo una vulnerabilidad de alta gravedad en despliegues predeterminados de SvelteKit en Vercel. Así es como rastreó una falla de capa cruzada a través de 150.000 líneas de código.

Las habilidades de los agentes están propagando comandos npx alucinados

Las habilidades de los agentes de IA están propagando comandos npx alucinados, creando riesgos reales de seguridad y fiabilidad para desarrolladores y cadenas de suministro.

Comprendiendo el riesgo de licencias de código abierto en el software moderno

El riesgo de licencias de código abierto se oculta en las dependencias y las imágenes de contenedor. Aprende qué es, por qué es importante y cómo detectar los problemas a tiempo.

El código abierto avanza rápido, pero sus licencias aún tienen reglas. Este artículo desglosa qué es el riesgo de las licencias de código abierto, por qué los equipos siguen pasándolo por alto en los árboles de dependencias modernos y cómo mantenerse conforme sin convertirlo en una emergencia legal.

Checklist del CISO para programar con mentalidad en la seguridad

Lista de verificación de codificación Vibe para CISO: Asegurando aplicaciones creadas con IA

Una lista de verificación de seguridad práctica para CISOs que gestionan aplicaciones de IA y con codificación 'vibe'. Cubre salvaguardas técnicas, controles de IA y políticas organizativas.

La codificación 'vibe' impulsada por IA permite a cualquiera lanzar software. Esta publicación describe los riesgos de seguridad a los que se enfrentan los CISOs e introduce una lista de verificación práctica, elaborada con la información de los CISOs de Lovable y Supabase.

De «No Bullsh*t Security» a 1.000 millones de dólares: acabamos de cerrar nuestra ronda de Serie B de 60 millones de dólares

Aikido Security Recauda 60 millones de dólares con una valoración de 1.000 millones de dólares

Aikido anuncia una financiación de Serie B de 60 millones de dólares con una valoración de 1.000 millones de dólares, acelerando su visión de software de autoprotección y pruebas de penetración continuas.

Aikido se convierte en una de las empresas de ciberseguridad que más rápido alcanza el estatus de unicornio a nivel mundial, y la más rápida de Europa.

Vulnerabilidad crítica en n8n permite la ejecución remota de código no autenticado (CVE-2026-21858)

Vulnerabilidad Crítica de n8n (CVE-2026-21858) | RCE no Autenticada Explicada

Una vulnerabilidad crítica en n8n (CVE-2026-21858) permite la ejecución remota de código no autenticada en instancias autoalojadas. Descubre quiénes están afectados y cómo solucionarlo.

Pentesting con IA de Coolify: Siete CVEs identificadas

Siete CVEs en Coolify Identificados Mediante pentesting de IA | Aikido

El pentesting impulsado por IA de Coolify identificó siete CVEs, incluyendo vulnerabilidades de escalada de privilegios y ejecución remota de código. Los hallazgos fueron divulgados de forma responsable y corregidos.

Aikido

JavaScript, MSBuild y la Blockchain: Anatomía del ataque a la cadena de suministro npm de NeoShadow

Ataque a la Cadena de Suministro de npm NeoShadow: JavaScript, MSBuild y Blockchain

Un análisis técnico profundo del ataque a la cadena de suministro npm NeoShadow, detallando cómo se combinaron técnicas de JavaScript, MSBuild y blockchain para comprometer a los desarrolladores.

SAST vs SCA: Asegurando el código que escribes y el código del que dependes

SAST vs SCA Explicado: Asegurando tu Código y Dependencias

Aprenda cómo difieren SAST y SCA, qué riesgos aborda cada uno y por qué los equipos modernos de AppSec necesitan ambos para proteger el código y las dependencias.

Técnico

Las 6 Mejores Herramientas de pentesting continuo en 2026

Descubre las principales herramientas de pentesting continuo que ofrecen pruebas de seguridad en tiempo real, impulsadas por IA, para aplicaciones modernas.

Cómo los equipos de Ingeniería y Seguridad pueden cumplir con los requisitos técnicos de DORA

Requisitos Técnicos DORA para Equipos de Ingeniería y Seguridad

Comprende los requisitos técnicos de DORA para equipos de ingeniería y seguridad, incluyendo pruebas de resiliencia, gestión de riesgos y evidencia lista para auditoría.

Cumplimiento

Vulnerabilidades IDOR Explicadas: Por qué Persisten en Aplicaciones Modernas

Vulnerabilidad IDOR Explicada: Por qué Persisten las Referencias Directas Inseguras a Objetos

Aprenda qué es una vulnerabilidad IDOR, por qué las referencias directas a objetos inseguras persisten en las APIs modernas y por qué las herramientas de prueba tradicionales tienen dificultades para detectar fallos de autorización reales.

Shai Hulud ataca de nuevo - El camino dorado

Una nueva cepa de Shai Hulud ha sido observada en la naturaleza.

MongoBleed: Vulnerabilidad de Zlib en MongoDB (CVE-2025-14847) y cómo solucionarla

MongoBleed: Vulnerabilidad Zlib de MongoDB (CVE-2025-14847)

MongoBleed, identificado como CVE-2025-14847, permite la divulgación de memoria no autenticada en MongoDB a través de la compresión zlib. Consulte el impacto y la remediación.

Primer malware sofisticado descubierto en Maven Central a través de un ataque de typosquatting en Jackson

Malware en Maven Central: Typosquatting de Jackson Entrega una Carga Útil de Cobalt Strike

Descubrimos la primera campaña de malware sofisticada en Maven Central: un paquete Jackson con typosquatting que entrega cargas útiles de múltiples etapas y balizas de Cobalt Strike mediante la auto-ejecución de Spring Boot.

El Fork Despierta: Por qué las redes invisibles de GitHub rompen la seguridad de los paquetes

Un análisis en profundidad de un fallo de seguridad en GitHub donde los commits bifurcados permitían a los atacantes suplantar dependencias. Comprende el problema del SHA de los commits y por qué los gestores de paquetes necesitan protección a nivel de API.

SAST en el IDE ahora es gratuito: Llevando SAST a donde realmente ocurre el desarrollo

Escaneo SAST Gratuito en tu IDE

Ejecuta escaneos SAST gratuitos directamente en tu IDE con retroalimentación en tiempo real y visibilidad en todo el proyecto. Utiliza las mismas reglas y motor SAST que Aikido, con AutoFix opcional para hallazgos compatibles.

Pentesting de IA en Acción: Un resumen TL;DV de nuestra demo en vivo

Aikido pentesting de IA: Resumen de la Demo en Vivo y Preguntas Frecuentes

Un resumen de la demo en vivo de pentesting de IA de Aikido. Descubre cómo los agentes autónomos prueban aplicaciones reales, validan hallazgos, generan informes y permiten volver a realizar pruebas.

Guías

Las 7 principales vulnerabilidades de seguridad en la nube

Las 7 Principales Vulnerabilidades de seguridad en la nube y Cómo Prevenirlas

Descubre las siete principales vulnerabilidades de seguridad en la nube que afectan a los entornos modernos. Aprende cómo los atacantes explotan IMDS, Kubernetes, las configuraciones erróneas y más, y explora estrategias para proteger tu infraestructura en la nube de forma efectiva.

Cómo cumplir con la Ley de Ciberseguridad y Resiliencia del Reino Unido: una guía práctica para equipos de ingeniería modernos

Cumpliendo con el Proyecto de Ley de Ciberseguridad y Resiliencia del Reino Unido | Guía de Seguridad

Cumplimiento

Vulnerabilidad DoS en React y Next.js (CVE-2025-55184): Qué necesitas corregir después de React2Shell

Vulnerabilidad DoS de React y Next.js (CVE-2025-55184) Explicada

CVE-2025-55184 es una vulnerabilidad de DoS en React Server Components relacionada con React2Shell. Descubra quiénes están afectados, cómo funciona y cómo parchearla completamente.

Las principales vulnerabilidades de la seguridad de la cadena de suministro de software explicadas

Vulnerabilidades de la seguridad de la cadena de suministro de software

Comprende las mayores vulnerabilidades de la seguridad de la cadena de suministro de software, desde paquetes maliciosos hasta ataques de confusión de dependencias.

Las 10 principales vulnerabilidades de seguridad en JavaScript en aplicaciones web modernas

Vulnerabilidades de Seguridad en JavaScript | Principales Riesgos

Conozca las vulnerabilidades de seguridad de JavaScript más frecuentes que afectan a las aplicaciones frontend y backend, incluyendo vectores de ataque reales.

Las 10 principales vulnerabilidades de seguridad en Python que los desarrolladores deben evitar

Vulnerabilidades de Seguridad en Python | Principales Problemas

Una visión práctica de las vulnerabilidades de seguridad más comunes en Python, patrones inseguros y riesgos relacionados con las dependencias.

Las 10 principales vulnerabilidades de seguridad en el código encontradas en aplicaciones modernas

Vulnerabilidades de Seguridad del Código | Riesgos Comunes

Explore las vulnerabilidades de seguridad del código más comunes que introducen los desarrolladores, por qué ocurren y cómo los equipos pueden detectarlas antes.

Las 9 principales vulnerabilidades y configuraciones erróneas de seguridad de Kubernetes

Vulnerabilidades de seguridad Kubernetes | Principales Riesgos

Aprenda las vulnerabilidades de seguridad Kubernetes más críticas, las configuraciones erróneas comunes y por qué los clústeres suelen estar expuestos por defecto.

Las 10 principales vulnerabilidades de seguridad en aplicaciones web que todo equipo debería conocer

Vulnerabilidades de seguridad de aplicaciones web | Principales riesgos

Descubra las vulnerabilidades de seguridad de aplicaciones web más comunes, ejemplos reales y cómo los equipos modernos pueden reducir el riesgo de forma temprana.

Top 10 OWASP para Aplicaciones Agénticas (2026): Lo que los desarrolladores y los equipos de seguridad necesitan saber

Top 10 OWASP para aplicaciones agénticas (2026): Guía completa sobre los riesgos de seguridad de los agentes de IA

Aprenda el Top 10 OWASP para aplicaciones agénticas. Comprenda los principales riesgos de seguridad de los agentes de IA, ejemplos reales y cómo fortalecer su entorno.

DAST vs Pentesting vs pentesting de IA: Por qué DAST no puede reemplazar el pentesting moderno

DAST vs Pentesting vs pentesting de IA: Diferencias clave explicadas

Detección de secretos: Una guía práctica para encontrar y prevenir credenciales filtradas

Guía de detección de secretos: Encuentre y prevenga fugas

¿Qué es CSPM (y CNAPP)? Gestión de la postura de seguridad en la nube explicada

CSPM vs. CNAPP: Postura de seguridad en la nube explicada

Un desglose claro de CSPM y CNAPP: qué cubren, cómo reducen el riesgo en la nube, las características clave a buscar y cómo los equipos los adoptan realmente.

Detección y Prevención de Malware en Cadenas de Suministro de Software Modernas

Prevención de malware en la cadena de suministro de software (Guía)

¿Qué es el escaneo de seguridad de IaC? Explicación de las malas configuraciones en Terraform, Kubernetes y la nube.

Escaneo de seguridad de IaC para Terraform y Kubernetes

Comprende el escaneo de seguridad de IaC: cómo detecta malas configuraciones en la nube en Terraform/Kubernetes, qué priorizar y cómo prevenir cambios arriesgados antes del despliegue.

La guía definitiva de SAST: ¿Qué son las Pruebas de seguridad de aplicaciones estáticas?

Guía definitiva de SAST: Pruebas de seguridad de aplicaciones estáticas

Seguridad de la cadena de suministro: la guía definitiva de herramientas de análisis de composición de software (SCA)

Guía de seguridad de la cadena de suministro: Mejores herramientas SCA

Aprenda qué hacen las herramientas SCA, qué detectan (dependencias vulnerables, licencias, malware) y cómo elegir la solución de análisis de composición de software adecuada para su stack.

Vulnerabilidad RCE crítica en React y Next.js (CVE-2025-55182): Qué debes solucionar ahora

Guía de corrección para la vulnerabilidad RCE crítica en React y Next.js CVE-2025-55182

PromptPwnd: Vulnerabilidades de Inyección de Prompts en GitHub Actions Utilizando Agentes de IA

Prompt Injection en GitHub Actions: La nueva frontera de los ataques a la cadena de suministro

Las GitHub Actions impulsadas por IA exponen nuevas vulnerabilidades de la cadena de suministro por inyección de prompts.

Shai Hulud 2.0: Lo que el 'Unknown Wonderer' nos dice sobre el objetivo final de los atacantes.

Shai Hulud 2.0: Lo que el observador desconocido revela sobre el objetivo final de los atacantes

Una nueva investigación sobre el malware Shai Hulud 2.0 sugiere que el nombre de usuario UnknownWonderer1 nos revela más sobre el objetivo final de los atacantes.

SCA en todas partes: Escanea y corrige dependencias de código abierto en tu IDE

SCA en IDE: Escanea y corrige dependencias vulnerables con AutoFix

Safe Chain ahora aplica una antigüedad mínima para los paquetes antes de la instalación

SafeChain ahora exige una antigüedad mínima de 24 horas para los paquetes para instalaciones más seguras

Herramientas de seguridad en la nube explicadas: capacidades clave y consejos de evaluación

Herramientas de seguridad en la nube: Características y cómo elegir

Descubre las capacidades esenciales de las herramientas de seguridad en la nube y aprende a comparar proveedores para proteger tus entornos en la nube.

Herramientas ASPM: Características esenciales y cómo evaluar proveedores

Herramientas ASPM: Características y guía de evaluación

Obtén una visión general de las herramientas de gestión de la postura de seguridad de las aplicaciones, sus capacidades clave y los criterios para seleccionar la plataforma ASPM adecuada.

Herramientas DAST: Características, capacidades y cómo evaluarlas

Herramientas DAST: Características clave y guía del comprador

Explora cómo funcionan las herramientas DAST, sus características más importantes y los criterios de evaluación a considerar al elegir una solución de pruebas dinámicas.

Herramientas SAST: Características principales y cómo elegir la mejor solución SAST

Herramientas SAST: Características y guía de evaluación

Aprende las capacidades clave de las herramientas de Pruebas de seguridad de aplicaciones estáticas y qué buscar al seleccionar la solución SAST ideal para tu flujo de trabajo.

¡Gracias! ¡Su envío ha sido recibido!

¡Vaya! Algo salió mal al enviar el formulario.

Julio 12, 2023

•

Vulnerabilidades y amenazas

¿Qué es el Top 10 OWASP?

El Top 10 OWASP sirve como una lista de verificación vital, identificando los riesgos de seguridad más críticos de las aplicaciones web y guiando a los desarrolladores en la mitigación de estas vulnerabilidades. Al adherirse al Top 10 OWASP, no solo proteges los datos sensibles, sino que también fomentas una cultura de concienciación sobre la seguridad, asegurando que tu aplicación permanezca resiliente frente a las amenazas emergentes.

Etiquetas/

#OWASP

#Vulnerabilidades

Julio 11, 2023

•

Guías y Mejores Prácticas

Cómo construir un panel de administración seguro para tu aplicación SaaS

Evita errores comunes al construir un panel de administración SaaS. Describimos algunos escollos y posibles soluciones específicamente para desarrolladores de SaaS.

Etiquetas/

No se encontraron elementos.

Julio 5, 2023

•

Guías

Cómo prepararse para la ISO 27001:2022

ISO 27001:2022 reemplaza a ISO 27001:2013. Aikido te ayuda a cumplir rápidamente con los nuevos controles de seguridad para que tú y tus clientes podáis dormir tranquilos. Esta publicación de blog te guía a través de los nuevos requisitos y cómo Aikido te apoya.

Etiquetas/

No se encontraron elementos.

Junio 19, 2023

•

Guías

Cómo evitar las consecuencias de que tu plataforma de CI/CD sea hackeada

CI/CD es un objetivo principal para los hackers, así que toma medidas para evitar consecuencias. Aikido Security identifica si tu nube está defendiendo activamente tu CI/CD.

Etiquetas/

#AWS

#Codeship

#Nube

#CircleCI

Junio 12, 2023

•

Guías y Mejores Prácticas

Cómo cerrar acuerdos más rápido con un informe de evaluación de seguridad

Etiquetas/

#AppSec

#DevSecOps

Junio 5, 2023

•

Guías

Automatiza la gestión de vulnerabilidades técnicas [SOC 2]

Cómo lograr la conformidad sin imponer una carga de trabajo pesada a tu equipo de desarrollo

Etiquetas/

No se encontraron elementos.

Junio 1, 2023

•

Guías y Mejores Prácticas

Prevención de la contaminación de prototipos en su repositorio

Etiquetas/

#AppSec

Mayo 16, 2023

•

Guías

¿Cómo equilibra un CTO de una startup SaaS la velocidad de desarrollo y la seguridad?

Etiquetas/

No se encontraron elementos.

Abril 10, 2023

•

Ingeniería

Cómo la nube de una startup fue comprometida por un simple formulario de envío de correos electrónicos

Cómo la nube de una startup fue comprometida por un simple formulario que envía un correo electrónico

Etiquetas/

#AWS

#SSRF

#IMDSv1

#Nube

#IMDSv2

Enero 19, 2023

•

Actualizaciones de producto y empresa

Aikido Security recauda 2 millones de euros en una ronda pre-seed para construir una plataforma de seguridad de software centrada en el desarrollador

La startup belga de SaaS Aikido Security ha recaudado 2 millones de euros en financiación pre-seed de reconocidos inversores ángeles que apoyan su misión de simplificar la seguridad del software para desarrolladores.

Etiquetas/

#AppSec

#Vulnerabilidades

•

Guías y Mejores Prácticas

6 Mejores prácticas de Pull Request para desarrolladores

Etiquetas/

#Calidad del Código

#AppSec

Marzo 24, 2026

•

Actualizaciones de producto y empresa

Aikido × Lovable: Vibe, Fix, Ship

Lovable y Aikido integran el pentesting en la plataforma, permitiendo a los desarrolladores simular ataques reales y corregir problemas antes del lanzamiento.

Anuncios

Pentesting con IA

Marzo 12, 2026

•

Actualizaciones de producto y empresa

Presentamos Betterleaks, un escáner de secretos de código abierto del autor de Gitleaks

Febrero 26, 2026

•

Actualizaciones de producto y empresa

Presentamos Aikido Infinite: Un nuevo modelo de software de autoprotección

Pentesting con IA

Anuncios

Software de autoprotección

Abril 8, 2026

•

Vulnerabilidades y amenazas

GlassWorm se vuelve nativo: Nuevo dropper Zig infecta cada IDE en su máquina

GlassWorm despliega un dropper nativo basado en Zig oculto dentro de una extensión falsa, comprometiendo silenciosamente VS Code, Cursor, VSCodium y otros IDEs.

Malware

Marzo 27, 2026

•

Vulnerabilidades y amenazas

El popular paquete telnyx comprometido en PyPI por TeamPCP

El popular paquete telnyx en PyPI, utilizado por grandes empresas de IA, ha sido comprometido por TeamPCP

Malware

Pypi

Marzo 22, 2026

•

Vulnerabilidades y amenazas

CanisterWorm se arma: el wiper de Kubernetes de TeamPCP apunta a Irán

NPM

Malware

Agosto 19, 2025

•

Herramientas DevSec y comparaciones

Las 12 mejores herramientas de Pruebas de seguridad de aplicaciones dinámicas (DAST) en 2026

Descubre las 12 mejores herramientas de Pruebas de seguridad de aplicaciones dinámicas (DAST) en 2026. Compara características, ventajas, desventajas e integraciones para elegir la solución DAST adecuada para tu pipeline de DevSecOps.

Herramientas

DAST

Julio 18, 2025

•

Herramientas DevSec y comparaciones

Las 13 mejores herramientas de escaneo de contenedores en 2026

Descubre las 13 mejores herramientas de escaneo de contenedores en 2026. Compara características, ventajas, desventajas e integraciones para elegir la solución adecuada para tu pipeline de DevSecOps.

Herramientas

Escaneo de contenedores

Julio 17, 2025

•

Herramientas DevSec y comparaciones

Las 10 mejores herramientas de análisis de composición de software (SCA) en 2026

Las herramientas SCA son nuestra mejor línea de defensa para la seguridad de código abierto; este artículo explora los 10 mejores escáneres de dependencias de código abierto para 2026.

Herramientas

SCA