01
Necesarias Siempre activo
Imprescindibles para el funcionamiento del sitio (sesión, preferencias, seguridad). Siempre activas.
NOVEDADES
SEGURIDAD
Investigación de seguridad y notas de hardening sobre herramientas, amenazas y prácticas relevantes para MSP y equipos de TI.
¿El índice en la nube de un agente de codificación significa que el código del cliente permaneció en el portátil del técnico?
No. Un índice en la nube por defecto o silencioso, un Repo Wiki o una instantánea del espacio de trabajo es un control de residencia y custodia de datos: que se ejecute en el portátil del técnico no demuestra que el código del cliente permaneciera allí.
ZCode es público en GitHub. Eso no es prueba de que las subidas de espacios de trabajo de septiembre fueran eliminadas.
Se reportó que un agente de programación subía a Alibaba Cloud los espacios de trabajo de los usuarios con sesión iniciada. El árbol público de GitHub de ZCode, consultado el 3 de octubre, no prueba que esas subidas de septiembre fueran eliminadas.
MSP FAQ: un secreto de entidad de servicio no es identidad de carga
Añadir MFA a una cuenta de automatización no elimina el riesgo de un secreto de cliente. La propia guía de Microsoft favorece la federación de identidades de carga de trabajo.
Aikido lanza Altar-1, un LLM de seguridad de pesos abiertos basado en GLM-5.3
Aikido Security ha lanzado Altar-1, un modelo local podado derivado de GLM-5.3, para la clasificación de vulnerabilidades en entornos aislados. Se distribuye bajo la licencia de GLM-5.3, no bajo una licencia permisiva.
La estafa de reclutadores falsos de WaterPlum afectó a 30.000 dispositivos
Un aviso conjunto de EE. UU., Japón, Australia y Alemania afirma que WaterPlum, vinculado a Corea del Norte, usó entrevistas de trabajo falsas para infectar unos 30.000 dispositivos y robar de más de 7.000 monederos cripto.
Falco para MSP: detección runtime de la CI a las flotas Kubernetes
Una guía práctica para MSP: ajusta las alertas runtime de Falco en Kubernetes y súmales zizmor para detectar workflows de GitHub Actions arriesgados antes de que se ejecuten.
La app FomoPeek para iOS usaba un exploit de kernel para robar claves de cripto
Investigadores hallaron código malicioso en una app de seguimiento de monederos para iOS capaz de escapar del sandbox de Apple y extraer Keychain, claves privadas y frases semilla. Binance pide eliminarla y mover los fondos.
MSP FAQ: mantenga separados el acceso humano y el de máquina entre tenants
Las cuentas de servicio y los tokens de automatización ya superan en número a los usuarios humanos en la mayoría de las organizaciones. La guía NHI de OWASP afirma que necesitan identidades y un ciclo de vida propios.
MSP FAQ: lista de gobernanza de acceso remoto tras una CVE en un cliente
Una vulnerabilidad crítica en una herramienta de acceso remoto o RMM también es un recordatorio para auditar quién puede usarla. Las guías de CISA, NSA y MS-ISAC apuntan a roles, MFA y registro.
Las cuentas de acceso de emergencia no son solo otro administrador protegido por MFA
Las cuentas de acceso de emergencia deben seguir funcionando cuando un IdP o el sistema MFA está caído. Eso implica diseñarlas de forma distinta a las cuentas de administrador ordinarias, no añadir una capa más.
Los conectores Muse de Meta plantean una cuestión de consentimiento para MSP de la UE
El agente de IA Muse de Meta se conecta a Gmail, Calendar y otras apps mediante consentimiento por conector. Los MSP que desplieguen agentes similares deberían aplicar la misma lista de consentimiento y radio de impacto.
Del SBOM a la puerta de vulnerabilidades: Syft y Grype en la CI de los MSP
Syft genera una lista de materiales de software para cada build y Grype la analiza en busca de vulnerabilidades conocidas, bloqueando un job de CI hasta corregir la CVE o aprobar una excepción con responsable y plazo.
Informe de septiembre de Anthropic: tratar las claves de API de IA como secretos
El cuarto informe de amenazas de Anthropic documenta casos de uso indebido entre diciembre de 2025 y agosto de 2026 en los que claves de API de clientes robadas, no sistemas comprometidos, dieron acceso a los atacantes.
RatHat: un RAT para Android pilotado por IA que lee la pantalla para orientarse
Investigadores de Zimperium han hallado RatHat, un troyano para Android que envía capturas de pantalla a un modelo de IA para navegar por dispositivos infectados, más difícil de detectar que el malware guionizado.
Google confirma que Gemini vulneró brevemente tres empresas reales en una prueba
Una evaluación de red team mal configurada permitió que Gemini accediera a tres empresas reales tras coincidir el nombre ficticio de una empresa con un dominio real; Google afirma que el modelo se detuvo por sí solo cada vez.
OpenAI creó una 'Fábrica de Defensa' para que agentes de IA arreglen sus propios errores
OpenAI dirigió su modelo Astra a sus propios sistemas y movilizó a más de 250 empleados para encontrar y corregir vulnerabilidades antes de que los atacantes obtengan la misma capacidad. Aquí está el ángulo de gobernanza para MSP.
Open Policy Agent para MSP: admisión, autorización de API y puertas de CI
Una guía práctica sobre Open Policy Agent para autorización de API y controles de CI, Gatekeeper para la admisión en Kubernetes y una reciente corrección del parser Rego.
MSP FAQ: cómo gobernar el acceso entre tenants sin un administrador todopoderoso
Mantener acceso de administrador global permanente en cada inquilino de cliente es un punto único de fallo. El modelo GDAP de Microsoft muestra cómo limitar el acceso por cliente.
Los dominios homógrafos siguen engañando: la higiene que de verdad los detecta
Los dominios Unicode similares pueden ser visualmente idénticos a la URL de una marca real. Gestores de contraseñas, filtrado DNS y alertas de transparencia de certificados cierran más la brecha que pedir cuidado a los usuarios.
Aislamiento de tenants para MSP: un tenant ID o un login no es autorización
Un tenant ID, una cabecera o un login proporcionados por el cliente solo indican a quién mirar. La pertenencia debe reverificarse en el servidor, en cada solicitud, en el login y en la baja.