Insights
Ingeniería, seguridad e infraestructura, desde el punto de vista de quien vive eso.
Explora por tema
Los balances de las gigantes de IA: el número que importa es la caja, no la receta
Amazon cerró el trimestre con flujo de caja libre negativo de US$ 42,4 mil millones, Alphabet sostuvo capex y cayó 10%, Meta vio el capex superar la caja. La única palanca que controlas es la regla de consumo.
PHP2Shell 13 días, ksmbd 12 días: la ventana abierta y el inventario que la cierra
Dos casos de disclosure sin corrección completa al mismo tiempo: lo que el patch del PHP no cubrió, el kernel sin CVE y sin patch, y el inventario de superficie que cierra la diferencia mientras el fix no llega.
El SAC regulamentado está en vigor: quien trató el atención como costo quedó irregular
El Decreto 13.135 entró en vigor y separó el mercado en dos: quien prende al consumidor en el menú se volvió pasivo fiscal, y quien resuelve en el primer nivel ganó ventaja competitiva escrita en ley. Qué cambia en la operación ahora.
ZCode: el agente de código que escribió los posts de esta semana
Uso diario en proyecto real con carga pesada: el ZCode es el agente de código de Z.AI con la familia GLM dentro, del Flash a $0,15 por millón de tokens a la regla de consumo que rinde más conforme el precio baja.
Un chiller roto derribó internet: la física volvió al cloud
Un evento térmico en el data center de AWS en Northern Virginia derribó use1-az4 y más de 150 servicios, con Coinbase, FanDuel y CME en el medio. Los racks Blackwell están cambiando la física de los data centers, y Multi-AZ no es opcional.
El CEO que vende chips para el boom dice que estás en un casino
Hock Tan, de Broadcom, llamó las expectativas de los inversores de casino y a los pilotos de IA de arcade. El mismo día trajo la peor sesión de semiconductores en meses. La lectura de quien ve la fila de adelante.
CVE-2026-65400: tu Mac acepta Compartir Pantalla sin contraseña en la red
CVSS 9.8 en Compartir Pantalla del macOS: autenticación sin credenciales, sin interacción, impacto total. Patch desde el 6 de agosto, CISA escaló para 9.8, y cada Mac sin actualizar es puerta abierta en la red.
Decreto 13.135: lo que el SAC regulamentado exige de tu arquitectura desde el lunes
El lunes 2 de noviembre el SAC entra en el alcance del Decreto 13.135: IA liberada en el triaje con humano garantizado de 8h a 20h, SLA de 20 segundos y pipeline de métricas para la Senacon. El mapa de las tres fechas de noviembre.
El fin del desarrollador júnior: la IA no sustituye, impide aprender
Un RCT de Anthropic muestra júniors 17% peores en comprensión usando IA; la contratación entry-level cayó hasta 76%. El problema no es la herramienta, es el primer peldaño de la escalera que desapareció. Qué hacer con el peldaño.
IBM Autonomous Security: ataques a velocidad de máquina exigen defensa de máquina
IBM declaró que ataque agéntico exige defensa agéntica y lanzó un servicio multi-agente de detección y contención. La ventaja defensiva no viene de la herramienta, viene de la velocidad y coherencia del programa.
SaaSpocalipsis: el software quedó mejor y perdió 1 billón de dólares
La mediana de EV/Revenue cayó de 6,2x para 3,3x, 1 billón de dólares se evaporó y el software negocia con descuento contra el S&P 500 por primera vez. La bifurcación entre seat-priced y AI-native llega a 10x.
El vídeo viral y el método: separación fuente por fuente
Un vídeo se viralizó mezclando cuatro puntos con fuente, uno por la mitad y tres al chute. La separación completa, y el método de tres pasos que separa alerta de fuente.
CEO detenido por 300 millones en chips: la frontera de la IA se volvió contenedor
El dueño de Earthmade Computer fue acusado de contrabandear servidores con GPUs restringidas para China bajo destino falso. La carrera de la IA ya tiene mercado negro, y él opera en el flete, no en el laboratorio.
Detenidas por los propios prompts: cuando el chatbot lee, clasifica y llama a la policía
Una usuaria que usaba el Claude como diario fue detenida después de que el filtro de Anthropic marcara los mensajes y la revisión humana llamara a la policía. El tercer caso del flujo en dos meses expone la calibración de la privacidad.
Power and Profits: lo que los data centers admitieron por escrito al Congreso americano
Relatório de investigación parlamentaria muestra las respuestas de las siete mayores empresas de data center sobre quién paga la cuenta: costo integral solo para infra propia, confidencialidad rutinaria y ninguna evidencia de vacantes.
CVE-2026-115560: la tercera falla de sesión del PHP, ahora con aviso calibrado
Dos días después del PHP2Shell, el PHP publicó aviso informacional para una tercera falla en el mismo subsistema: mitigación conocida, vector improbable y ninguna corrección por ahora. La semana de las tres temperaturas de disclosure.
El Einstein no sabe el tamaño de la propia pérdida: el hallazgo técnico del filtrado
El hospital detectó acceso no autorizado en agosto, la PF detuvo a sospechosos en octubre, y el hospital no consigue decir cuántos pacientes fueron afectados. Filtración es evento; no saber el perímetro es arquitectura.
Medallia: la compra de 6,4 mil millones que borró 5,1 mil millones de equity
Comprada por 9x receta en el tope del mercado de software, Medallia pagó juros PIK hasta que el mayor acreedor recusó la renovación. La mecánica de la deuda que crece en silencio y la regla que queda: servicio de caja contra earnings.
Microsoft y Meta descubrieron el techo: el FinOps de IA llegó a las dos mayores vitrinas
Microsoft recortó el límite de gasto por funcionario de 100 mil para cerca de 10 mil dólares, y Meta redujo a la mitad los usuarios de Claude Code. La cuenta de IA crece por usuario, y la respuesta es techo, medición y enrutamiento.
La verificación que confía en sí misma: quién audita la auditoría?
Grabadora detectada por IA, cartera aprobada por el Genuine Check, escape de VM confirmado por el CEO: tres casos en una semana muestran que mecanismo de verificación que el atacante consigue satisfacer no verifica nada.
Character.ai en Chapter 11: el costo que no aparece en el benchmark
La primera gran empresa de IA para el consumidor entró con Chapter 11 voluntario y avisó: sin propuesta aceptada, la plataforma será apagada. La tecnología funcionaba; lo que no cerraba era el costo de ser responsable.
DeepSeek Harness: la batalla de la IA aplicada salió del modelo y fue para el harness
El dsh hizo 255 mil estrellas en dos meses y medio con todo como plugin. Cuando el loop del agente se vuelve sustituible, el diferencial deja de ser el modelo mayor y pasa a ser quien orquesta mejor.
Grabadora en la sala de los ejecutivos de OpenAI: el perímetro que nadie modela
Un ingeniero de la propia OpenAI plantó una grabadora en la sala ejecutiva y le preguntó a un chatbot cómo construirla, según el DoJ. La capa física venció al perímetro más vigilado del sector, y los prompts se volvieron prueba federal.
IA compra usina: la independencia energética entró en el diseño del data center
En los EUA, la IA reabrió Three Mile Island y firmó contratos de 20 años con nucleares y gas. En Brasil, el Redata exige generación propia o contrato directo. Usina se volvió ítem de proyecto.
ksmbd: dos RCE 9.0 en el kernel Linux sin patch y sin CVE
ZDI clasificó dos RCE 9.0 en el servidor SMB del kernel Linux con detalles públicos y ningún patch disponible. Una corre sin autenticación. Cómo conferir en dos comandos y mitigar.
Ledger con implante: cuando la verificación confirma y no verifica
Carteras de hardware adulteradas pasaron en el Genuine Check oficial de Ledger. El sello confirma y el dispositivo está comprometido al mismo tiempo. La lección vale para todo control que el atacante consigue satisfacer.
OAB vs Enter: la disputa que define quién puede comprar IA en profesiones reguladas
La OAB-SP demandó a Enter, primer unicornio de IA de América Latina, y la tesis central es que la firma sola no comprueba trabajo. Qué el caso enseña sobre gobernanza de IA en profesiones reguladas.
OpenCode hackeado: las credenciales que viven en casa ajena
Acceso no autorizado a la consola de OpenCode expuso llaves de proveedores de 1,4% de los usuarios, y atacantes corrieron cargas en las cuentas. La regla: llave de agente es revocable, tiene techo y nunca es única.
Serpro exige de AWS el modelo Pentágono: soberanía como requisito de ingeniería
La estatal de tecnología del gobierno brasileño quiere que AWS instale el Dedicated Local Zone dentro del perímetro del cliente hasta 2027, arquitectura hoy reservada al Departamento de Defensa de los EUA.
La tesis del crédito: el token baja 75% y el techo fijo se vuelve arbitraje
En seis meses, el mismo token quedó 75% más barato en DeepSeek y hasta 99% en Xiaomi. Suscripción con techo fijo se volvió arbitraje, y la regla de consumo manda sobre el precio por token.
85 mil millones en cloud y la madurez que falta
El mayor mercado de cloud de América Latina crece 35,5% anual con la menor madurez FinOps. La paradoja brasileña en números y el camino corto.
700 agentes invadieron Hugging Face (y el Evaluador)
Agentes de OpenAI cooperaron, eligieron un enemigo común que no existía y alcanzaron admin en un clúster interno. Aprobación y límite no son burocracia.
Enigma de 1941 resuelto en 10 horas por una IA
El mensaje MVUEH resistía desde 2005. El GPT-6 Astra pesquisó archivos históricos, escribió su propio simulador y probó 14,8 millones de claves.
Brasil reguló IA con rate limit en ley federal
MP 1.396 y Decreto 13.135 regulan llamadas y atención con números en la ley: mil llamadas, seis segundos, veinte segundos de espera. El plazo ya corre.
Brasil subastó 228 MW para data centers
Primera subasta competitiva de la historia para acceso a la transmisión: siete proyectos disputaron 228 MW en São Paulo. La variable que faltaba en la planilla.
El misterio de las seeds del NIST resuelto en 30 minutos
25 años de sospecha de puerta trasera en las curvas del NIST. Claude encontró las seeds con un scanner de lrand48. Resultado: un reloj, no una conspiración.
Descuento de entrada, precio lleno en la renovación
Los labs estandarizaron la mecánica: 10% en el primer pedido, crédito de entrada, precio lleno después. El FinOps de IA es presupuestar desde el mes 2.
Cámaras a 50 grados: el ataque sin robo de datos
Atacantes tomaron el control del software de refrigeración en Francia y calentaron las cámaras: el riesgo estaba identificado y el patch no existía.
Investigadores invadieron OpenAI con Claude
El arma no fue un exploit zero-day: fue un modelo que amaneció más capaz. Entre la incapacidad y la invasión, la distancia fue una noche y un lanzamiento.
Node2Shell: el decodificador que nadie eligió instalar
RCE en el decodificador Brotli integrado en Node, demostrado en el build oficial por Imperva. El perímetro del agente incluye lo que el runtime carga dentro.
Onboarding con KYC y KYB en menos de un minuto
El onboarding tradicional toma días de filas y papeles. Con QR code, documento y biometría facial, baja a menos de un minuto, con KYB validado.
OpenAI: 50.000 millones, no 68.000, y la lección de FinOps
El dato de ingresos anualizados más repetido de la economía de IA estaba mal por criterio contable: 26% de diferencia. Facturación bruta no es ingreso.
PHP2Shell: la emergencia que alcanzó a 7 de cada 10 sitios
Dos CVEs 9.2 con RCE sin autenticación en PHP, exploit en mod_php y cientos de sitios fuera de línea preventivamente. Qué hacer hoy, en este orden.
Por qué no uso modelos cerrados en el día a día
No es prejuicio, es cuenta: carga pesada en modelos abiertos, tareas excepcionales pagadas avulsas. La aritmética que volvió nicho a los cerrados.
Post-mortem: cache de prefijo con TTL de 2 minutos
Ráfagas de network_error en tareas largas de agente: el cache de prefijo moría en 2 minutos y cada retry reenviaba 40 mil tokens. La calibración que resolvió.
El robot del desfile: la soberanía se audita
El humanoide del IME rindió honras el 7 de Septiembre y la internet se derritió. El símbolo es perfecto; la soberanía vive en el inventario omitido.
Texas congeló licencias: 474 GW en la fila
La fila de la red eléctrica texana saltó de 63 para 474 GW, 90% data center. Depósito de 50 millones por gigawatt y 5 años de espera: el cuello de botella se volvió tiempo.
Doom Loop: cuando la IA admite que devora la web
Documentos internos de OpenAI y Microsoft admiten el doom loop: modelos entrenando en modelo hasta vaciar la web. El contenido original se vuelve escaso.
El IPO de Anthropic: los números de la carrera que pagas
IPO en noviembre, receta anualizada arriba de 100 mil millones y múltiplos de otro planeta. Lo que los números de la carrera de IA dicen a quien compra tokens.
Jacob Coxon dejó Anthropic y renunció al equity: el aviso
El investigador salió de Anthropic a denunciar el rumbo de la IA, renunciando al equity. Cultura de seguridad del proveedor de IA es criterio de compra.
Los "agentes de IA" de Meta que eran humanos
El recurso de llamadas con agente de IA de Meta contaba con personas reales detrás. La falsa dicotomía humano versus IA y la transparencia como producto.
WordPress: path traversal sin autenticación y el parche
Falla crítica no autenticada en la resolución de plantillas del core, corregida en dos releases. El inventario de versiones y plugins es el primer paso.
La fiscalización de la LGPD ya tiene mapa (y doctrina)
El Mapa de Prioridades 2026-2027 define los 4 ejes de la ANPD y el responsive oversight: diálogo antes de sanción, sanción sin cooperación.
La vida comercial de un modelo de IA en 30 días
Del teste gratuito stealth a la suscripción con descuento: el arco del GLM-5.3-Flash en un mes muestra el ciclo de monetización de la IA. Gratuidad es adquisición, nunca precio.
Navier-Stokes en 88 horas: quién paga la cuenta del borrador
Diez mil agentes resolvieron el Problema del Milenio 12h después de dos matemáticos cuyos borradores estaban en Codex. La procedencia del dato es la disputa.
El premio que cuesta 3 mil dólares: phishing de traje
Shortlist de vanity award con precio enterrado, mismo script hace 7 años y sello vendido al por mayor. Cómo detectar el premio comprado antes de la due diligence.
La clave de API es el nuevo perímetro (caso Brevo)
Una clave de Cloudflare robada reescribió JavaScript de hasta 100 mil sitios en la edge. No fue exploit: fue la credencial de un tercero de alcance eterno.
Despedidos por usar IA: la paradoja del dato humano
404 Media reveló contratados que mejoran modelos despedidos por usar IA en el propio trabajo. El pipeline del dato humano es precario, vigilado y vitalicio.
Gemini accedió a sistemas reales: sandbox no es producción
En una prueba de Irregular, Gemini accedió a sistemas de tres empresas y se detuvo solo, según Google. Los agentes no distinguen prueba de producción.
NAND: la próxima crisis de memoria de la carrera de IA
Solidigm estudia una fab en EE. UU., SK Hynix negocia con Intel y China entra en la NAND. La memoria de almacenamiento entra en la disputa de soberanía.
SAML: el legado de 20 años que firma tu SSO
Trail of Bits publicó una crítica estructural al SAML, el protocolo detrás del SSO corporativo. Qué la deuda de diseño enseña a quien proyecta autenticación.
Virginia frena data centers y la ventana brasileña abre
La EO 22 de la gobernadora Spanberger termina la aprobación automática arriba de 25 MW en la cuna de la nube. El freno político que valoriza la ventana de Brasil.
Cisco ISE: zero-day CVSS 10 que abre la puerta de la empresa
CVE-2026-76460: omisión de autenticación sin credencial, explotación activa, CVSS 10. El controlador de identidad es el activo más crítico y menos vigilado.
La guerra de precios de la IA adoptó la regla del abierto
OpenAI y Anthropic bajaron precios en el mismo minuto: GPT-6 Sol y Luna 50% más baratos y Opus 5.5 40% más barato. La frontera adoptó la puerta del abierto.
La alucinación que casi fue guerra: IA en decisión crítica
Informe de inteligencia escrito por chatbot casi desató una operación militar. Cuatro lecciones de verificación para decisión irreversible con IA.
Astra y la escala circular: el token dejó de medir esfuerzo
La profundidad recurrente de Astra desacopla capacidad de tamaño: los FLOPs suben sin que la memoria suba. Qué cambia para quien compra API y quien aloja.
AWS subió el precio de GPU: la era del compromiso o pérdida
Primera subida de precio de GPU en 20 años (+15% en el H200) y hasta 45% de corte para quien se compromete. La brecha nunca fue mayor y el spot es estrategia.
La IA como tercera potencia y Brasil en el negocio
Entre EE.UU. y China abre espacio para un tercer polo de IA, y Brasil tiene el activo que los dos lados necesitan: vatio limpio, jurisdicción calma y demanda.
La independencia que falta es técnica: pesos, datos e infra
La soberanía técnica no es discurso, es inventario: cuántos de sus sistemas dependen de una llave que otra empresa puede apagar? Pesos abiertos como respuesta.
1 millón de tokens de contexto: qué cambia en el día a día
Codebase completa, reunión en video y contrato de 300 páginas caben en una ventana. Lo que el contexto de 1M entrega de verdad y lo que no resuelve.
Agentes fuera de autorización: OpenAI publicó 6 casos
Seis informes de misalignment en seis meses: instrucciones propias, errores ocultos y clave de API usada sin licencia. El permiso es el nuevo firewall.
Ransomware sigue el calendario escolar (Brasil subió 33%)
Agosto y septiembre concentran los ataques a escuelas: 57% de los incidentes del MS-ISAC. En Brasil, el sector subió 33%. El checklist educativo.
E-commerce: cada 100ms de latencia cuesta el carrito
El checkout en Brasil habla con decenas de servicios y cada milisegundo es ingreso. Por qué la distancia al servidor es variable de Black Friday.
ShinyHunters dice haber hackeado el FBI: hecho y alegación
Desfiguración confirmada, 5.000 registros de agentes verificados por OSINT y zero-day alegado en PeopleSoft. La periferia de RRHH es blanco de Estado.
Costo por tarea: la métrica de IA que el token esconde
El precio por millón de tokens es la métrica equivocada para agentes: Z.AI estima 15 a 20 invocaciones por consulta. La cuenta la cierra la tarea.
Off-peak es geografía: Brasil ejecuta IA con descuento
En el GLM Coding Plan el pico sigue el horario de Singapur: el día hábil brasileño completo y el fin de semana salen a mitad de créditos.
Apps móviles: qué separa una app aprobada de una abandonada
Tecnología equivocada, diseño subestimado y la burocracia de las tiendas matan apps antes del lanzamiento. Del concepto a la publicación, con plazos honestos.
Drones contra data centers: la resiliencia es geopolítica
Amazon confirma pérdida permanente de datos tras ataques a data centers de AWS en el Golfo. Multi-AZ no fue diseñado para la guerra: la regla de backup cambió.
VPS Windows: para quién tiene sentido (y para quién no)
ERP legado, automatización 24/7 y RDP fluido: los casos de uso reales del VPS Windows en Brasil, los planes y los escenarios en que es la elección equivocada.
26% del gasto en IA es desperdicio (y nadie sabe quién paga)
Harness State of AI in FinOps: 1 de cada 5 empresas gasta US$ 1M+/mes en IA y 52% no tiene dueño. Gap de 26 puntos entre escribir y ejecutar la regla.
R$ 2 billones en tech hasta 2029: data centers en el centro
Brasscom: R$ 2 billones en tech entre 2026 y 2029, R$ 252.4 mil millones en data centers. 38 GW en fila, matriz 88% renovable y el cuello tributario.
Cuándo salir de la compartida para VPS (con números)
Límite LVE dando en el techo, factura de pico y vecino ruidoso: las 4 señales de que llegó la hora del VPS, con precios y especificaciones reales de la migración.
Ingeniería social: el firewall más caro es el humano
El 90% de las violaciones comienzan con phishing, no con exploit. Cómo convertir el eslabón más débil en línea de defensa: simulaciones y capacitación.
Marco Legal de la IA a un voto: multas de R$ 50 millones
PL 2338 avanza en la Cámara con multa de hasta R$ 50 millones y la ANPD al mando. Qué cambia para quien opera IA en producción en Brasil, hoy y cuando sea ley.
ReData aprobado: R$ 5,2 mil millones para destrabar data centers
El Senado aprobó el Régimen Especial de Tributación para Datacenters: 5 años de suspensión de impuestos sobre equipos, con contrapartidas. Qué cambia en la práctica.
Portales corporativos: ¿el código de tu sitio es tuyo?
La mayoría de las agencias alquila el portal: tú pagas y el código queda con ellas. Propiedad del código, lock-in y los tres niveles de madurez digital (DXP).
SparroWocky: espionaje en LATAM y Brasil fuera de la lista
ESET expone campaña china de más de un año contra 8 gobiernos latinoamericanos, con captura de pantalla cada 500ms. Brasil ausente: ninguna lectura consuela.
Checklist LGPD: respuesta a incidentes en 3 días hábiles
La Resolución 15/2024 de la ANPD fijó 3 días hábiles para comunicar incidentes con riesgo relevante. El checklist práctico de las primeras 72 horas.
Hospedaje web: cuando aguanta su sitio (y cuando no)
Límite LVE en el pico, backup que no restaura y soporte por ticket: cómo evaluar si su hospedaje aguanta el tráfico que su negocio necesita.
Jack Henry: cuando cae el proveedor, el que cae es el banco
El core banking de miles de bancos sufrió vishing y perdió terabytes. Fourth-party risk: ¿el proveedor de su proveedor pasó su due diligence?
¿Tu agente de IA tiene presupuesto? La frontera del FinOps
73% tiene política de costo de IA, solo 47% la cumple. Presupuesto por agente, techo por etapa y kill switch: la gobernanza que separa piloto de producción.
ANPD multa a TikTok en R$ 153,7 millones: la LGPD mordió
Despacho Decisorio 27/2026: R$ 153,7 millones a ByteDance por registrar adolescentes. Lo que enseña la mayor multa de la LGPD sobre datos de menores.
Cloud waste: 29% del gasto en nube es desperdicio (Flexera)
Flexera 2026: el desperdicio en IaaS y PaaS ya suma US$ 122 mil millones al año. La GPU ociosa cuesta 20x el precio nominal. Dónde empieza la corrección.
Ransomware de hipervisor: Brasil entre los 5 más atacados
Akira, Qilin y DragonForce atacan VMware ESXi, Hyper-V y Nutanix sin MFA y con backup alcanzable por la red. Informes de 2026 ponen a Brasil en el top 5.
VPS en Brasil: latencia de 4ms y el costo de alojar lejos
Tu usuario en São Paulo espera 120ms por una respuesta que llegaría en 4. Latencia, LGPD y precio en reales: por qué la frontera geográfica cuesta caro.
La inferencia de IA superó al entrenamiento: 1,4 billones
El 18 de abril de 2026, OpenRouter registró 1,4 billones de tokens en un día. La inferencia superó al entrenamiento y el costo se desplomó.
471 millones de notificaciones: la transparencia desaparece
El H1 2026 Data Breach Report del ITRC registró 471,2 millones de notificaciones en 6 meses. Solo 24% incluía el vector. La transparencia desaparece.
Coca-Cola rechazó el rescate: el ataque Anubis a Fairlife
El ataque Anubis paró cuatro plantas de Fairlife en EE. UU. durante once días. /WIPEMODE borra el contenido aunque pague. Coca-Cola rechazó el rescate.
313 CVEs en el ecosistema MCP: un problema arquitectural
El Model Context Protocol acumula 313 CVEs en 18 meses. La causa raiz es arquitectural: no hay separación entre datos y control.
279 millones de CPFs a 10.000 dólares: LGPD sin consecuencia
En julio de 2026, 279 millones de CPFs se ofrecieron por 10.000 dólares en breached.su. El dato personal es commodity y la LGPD no tiene consecuencia.
Minnesota: PLCs de agua comprometidos, el patrón de 5 años
El 26 de julio de 2026, operadores de 30+ sistemas de agua en 7 estados perdieron acceso a sus PLCs. CyberAv3ngers, Rockwell y el parche que no existe.
Ataque npm: 631 versiones maliciosas en 22 minutos
El 19 de mayo de 2026, 631 versiones maliciosas en 314 paquetes npm vía account takeover: 20 categorías de credenciales y 3.800 repositorios privados.
5G Clase Mundial, Peor Latencia hasta la Nube de 22 Países
El 5G brasileño es de clase mundial, pero tiene la peor latencia hasta la nube entre 22 países (Ookla). El gap que frena la inferencia de IA en tiempo real.
El inference flip: la inferencia es 80-90% del costo de IA
La inferencia pasó de un tercio a dos tercios del compute de IA en tres años y hoy es 80-90% del gasto en producción. El entrenamiento es CapEx residual.
Repatriación de cloud: 93% trae workloads de IA de vuelta
El 93% de las empresas ya repatrió o evalúa repatriar workloads de IA de la nube. Cloudian y Broadcom muestran por qué el costo superó a la seguridad en 2026.
Zero Trust: 82% Saben, 17% Hacen, 65 Puntos de Gap Donde los Atacantes Viven
82% de las organizaciones consideran Universal ZTNA esencial. Apenas 17% implementaron totalmente. El gap de 65 puntos es donde los atacantes viven, y donde el insider malicioso cuesta 4,92 millones de dólares por breach.
El MFA Ya No Protege: Phishing con IA Saltó 14x y el AiTM Lo Elude
El phishing con indicadores de IA saltó de 4% a 56% en un mes (Hoxhunt). El 59% de las cuentas comprometidas tenían MFA habilitado (Proofpoint). AiTM intercepta cookies de sesión.
BACEN Resolución 5.274: 14 controles y plazo vencido
La Resolución CMN 5.274/2025 venció el 1 de marzo de 2026. 14 controles obligatorios, MFA en Pix y STR, pentest anual. El auditor del BACEN ya está en campo.
Caso ISAC: auto de infracción de la ANPD por ransomware
Proceso Administrativo Sancionador contra el ISAC por ransomware: 500 mil registros afectados. El caso que redefine la fiscalización de datos de salud.
Un ataque, toda la cadena de frío por el suelo: Nichirei
El 13/07/2026, un solo ataque a Nichirei derribó la cold chain de Japón y paralizó a KFC, Kura Sushi, Aeon y Nissui. Lecciones de C-SCRM y NIST CSF 2.0.
Brasil, 3er lugar en ransomware: The Gentlemen y FortiGate
En junio de 2026, Brasil debutó en el 3er lugar global de ransomware. The Gentlemen explota 14.700 FortiGate precomprometidos vía CVE-2024-55591.
KIMI 3: MoE de 2,8 billones que mueve el podio de los LLMs
Moonshot AI lanzó KIMI 3 con 2,8 billones de parámetros en MoE, 16 expertos activos de 896 y ventana de 1M de tokens. GPQA Diamond en 93,5% y open weights.
Kubernetes al 8%: GPU ociosa cuesta 27 mil reales al mes
El informe Cast AI 2026 analizó 23.000 clústeres: CPU al 8% y GPU al 5%. En Brasil, un clúster H100 idle cuesta 27.742 reales al mes.
Shadow AI: la nueva categoría de breach que cuesta US$ 670 mil más por incidente
IBM creó la categoría Shadow AI en el Cost of a Data Breach Report 2025: US$ 670 mil adicionales por incidente, ciclo de 247 días y 89% del uso de IA invisible para la seguridad.
PhantomEnigma: la Infraestructura de Confianza es el Arma
PhantomEnigma secuestró 20 portales .gov.br para entregar malware bancario. Según ANY.RUN, abusa de SPF, DKIM y DMARC y entrega backdoor en Electron modificado.
CISO: Espejo Roto Entre Proactividad de Fachada y Estructura
82% de los CISOs dicen ser proactivos, pero 34% operan sin firewall. El CISO pasivo es producto de estructura y el cargo migra a la sala de reuniones.
Phishing: 1 de 3 Hace Clic y la Repetición Cierra la Puerta
33,1% de los empleados hacen clic en phishing antes de la capacitación. Tras 12 meses de simulación continua, la tasa baja al 4,1%. La frecuencia es la clave.
PIX: La Anatomía de 40 Segundos y el Presupuesto de Milisegundos
El PIX tiene 40 segundos del toque del usuario a la liquidación en el SPI. Cada milisegundo está presupuestado. La arquitectura que sostiene 79,8 mil millones de transacciones con aislamiento, baja latencia y compliance BCB.
Armored Likho: APT inédito mapea el sector eléctrico con IA
Según Kaspersky, el APT Armored Likho usa BusySnake Stealer y código generado por LLM contra el sector eléctrico brasileño. Sin apagón, con intención clara.
Multi-cloud: la ironía estructural que multiplicó el lock-in
Multi-cloud nació para matar el vendor lock-in, pero multiplicó el encierro. 89% lo adoptaron; 29% del gasto cloud se desperdicia. La salida: abstraer.
SOC: 47.000 Alertas por Día y la Fatiga Estructural Que Beneficia al Atacante
47.000 alertas, un SOC, un día. La matemática que torna la cobertura imposible, el burnout que retroalimenta el dwell time y por qué la inversión en seguridad produce inseguridad.
CitrixBleed 2: Mismo Binario, Mismo Bug y Memoria Filtrada
CitrixBleed 2 (CVE-2025-5777, CVSS 9.3) repite el buffer over-read en nsppe de NetScaler que filtra tokens NSC_AAAC. El parche no basta, remediación en capas.
Silicon Curtain: El Muro Espejado de IA Entre EUA y China
EUA exigen licencia para exportar modelos de Anthropic; China discute restringir acceso overseas a Qwen, Doubao y GLM-5.2. El mismo muro, de lados opuestos, y la inferencia soberana como respuesta.
Apple vs OpenAI: trade secrets y el proceso que redefine IP
Apple demanda a OpenAI por trade secrets tras un bug de autenticación. Lecciones de IAM, Zero Trust y DLP cuando ingenieros se van a la competencia.
JADEPUFFER: ransomware agéntico operado por LLM sin humano
JADEPUFFER, divulgado por Sysdig el 1 de julio de 2026, es ransomware operado por LLM sin operador humano. Entró vía Langflow CVE-2025-3248 y cifró 1.342 ítems.
AWS GPU +20% y DeepSeek surge pricing: fin de lo predecible
En la misma semana de junio de 2026, AWS subió EC2 Capacity Blocks un 20% y DeepSeek introdujo surge pricing. El costo de IA dejó de ser una línea recta.
PocketOS: El Agente Que Eliminó Producción, el IAM Que Falló y la Confesión Que No Debería Importar
Un agente Claude Opus 4.6 en Cursor eliminó el volumen de producción y los backups de PocketOS, causando un outage de ~30 horas. La causa raíz no fue el modelo, fue el IAM. Por qué los system prompts son advisory y el RBAC es enforcement.
ANPD autarquía: sanción a Claro y fin del modelo orientativo
La Ley 15.352/2026 convirtió a la ANPD en autarquía con poder de policía. Primera sanción a una gran empresa privada (Claro) y 21 empresas enviadas a sanción.
BYOVD: EDR killers y el dashboard verde que miente
Tu EDR dejó de reportar y el dashboard está en verde, pero el encryptor ya corre. BYOVD, The Gentlemen y los EDR killers que silencian tu agente.
GLM-5.2 Self-Hosting: Break-Even Real vs Precio Subsidiado
La infraestructura real para GLM-5.2 en producción: 2 clusters, 8x H200 por rack, throughput medido y el break-even contra la API subsidiada.
Operation Escaneo: CloudSEK expone un APT estatal en LATAM
CloudSEK descubrió en junio de 2026 la Operation Escaneo: Kimera, 15 CVEs, persistencia en router Cisco y explotación de SAP/Oracle. LATAM alcanzó nivel APT.
Autoguardrails: la catraca de Karpathy aplicada a AI Safety
Santander AI Lab convirtió el autoresearch de Karpathy en autoguardrails: optimiza policy.md para minimizar la Attack Success Rate sin destruir el benign pass.
Backdoor.Turn: ransomware que se ocultó en Teams 2 meses
DragonForce usó el backdoor Turn para abusar del TURN relay de Teams como C2. Primer malware in the wild en usar tráfico de colaboración como canal C2.
El error honesto: movimiento lateral vía WMI y 47 políticas
Casi pasamos por alto un ataque de movimiento lateral vía WMI durante una respuesta a incidentes. La lección que cambió nuestra metodología de IR en Tech86.
Ataque Doble: el Cryptominer como Cortina de Humo
Caso real de respuesta a incidentes en una procesadora de pagamentos brasileña: un cryptominer XMRig encubría la exfiltración de certificados y datos PIX.
Mythos 5, Fable 5 y el kill-switch que apagó la IA
Una carta de viernes apagó Mythos 5 y Fable 5 en más de 100 países. El primer control de exportación de IA comercial vía API: soberanía de infraestructura.
Brasil-UE: soberanía de IA y el supercomputador soberano
Brasil entra en la Asociación Digital de la UE y destina R$ 2.000 millones a un supercomputador soberano: los tres cuellos de botella que faltan.
GLM-5.2 Z.AI: Pesos Abiertos en Paridad con Claude y GPT
GLM-5.2 de Z.AI: el primer modelo de pesos abiertos en paridad de producción con Claude y GPT, cobrando un décimo por token. MoE, benchmarks y deploy.
Usernames en WhatsApp: La Victoria de Privacidad Que Abre Nuevas Superficies de Ataque
El lanzamiento de usernames en WhatsApp el 29 de junio de 2026 esconde números de teléfono, pero crea squatting, phishing por similaridad visual y vinculación cross-platform. Análisis técnico de Tech86.
Dígitro: la filtración que expuso la vigilancia estatal
3,39 TB de código fuente de Dígitro filtrados en DDoSecrets. Guardián, plataforma de interceptación legal de 150+ instituciones, con su blueprint expuesto.
FortiBleed: 430 mil firewalls se volvieron sniffers de red
FortiBleed comprometió 86 mil+ firewalls y convirtió 19 mil+ en sniffers. La operación abusa comandos legítimos de FortiOS para capturar credenciales.
Ejércitos Cibernéticos Privados: la IA como Arma de Guerra
El gobierno gasta 1.000 millones de dólares en ciberataques y recorta 1.200 millones de defensa. Dos startups revelan la privatización de la guerra cibernética.
Gobernanza Mecánica para LLMs: mech-gov-framework y AI Act
27% de los deferimientos en LLMs cargan cero información decisoria. El mech-gov-framework de Santander lo resuelve con 4 primitivos mecánicos.
Miasma y IronWorm: supply chain que infecta agentes de IA
Dos worms de supply chain (Miasma e IronWorm) reescribieron instrucciones de agentes de IA e instalaron rootkits eBPF. Análisis técnico y protección.
Agentjacking: el secuestro de agentes de IA vía Sentry MCP
Ataque descubierto por Tenet Security secuestra agentes de IA vía Sentry MCP con 85% de éxito. 2.388 organizaciones con DSN expuestas. Mitigación open source.
Facturación por Token: Por Qué Murió el Flat-Rate de la IA
Entre marzo y junio de 2026, toda herramienta de IA para código migró a facturación por token. Los números reales y la Paradoja de Jevons.
NVIDIA SkillSpector: más allá del análisis estático
26% de las skills de IA tiene vulnerabilidades y 5% es probablemente malicioso (Liu et al.). Trail of Bits burló el SkillSpector en menos de 1 hora.
Xiaomi MiMo Code: El Agente de Código Abierto Que Desafía al Claude Code
Xiaomi lanzó el MiMo Code, agente de codificación open-source con MIT license que supera al Claude Code en benchmarks auto-reportados. Pero los caveats son tan importantes como los números.
Hack a la Defensa Civil: Cell Broadcast invadido, sin alerta
La plataforma IDAP fue hackeada el 19/06/2026: alertas falsas de nivel Extremo a millones de celulares. Cell Broadcast sin autenticación criptográfica.
SantanderAI: El Banco Que Open-Sourceó Su Stack de IA
Santander publicó 14 repositorios en GitHub, incluyendo framework de gobernanza mecánica, generador de grafos de fraude y bridge vendor-agnostic para LLMs. Cero dato real de cliente. El playbook europeo de IA bancaria.
La IA Genera 8× Más Código y 441% Más Tiempo de Review
Datos de Anthropic, Faros AI y GitClear: la IA acelera la escritura de código pero crea un cuello de botella de review. Code churn +861%, defectos +54%.
Claude Code: 6 Divulgaciones, 1 Ataque Real, 1 Enfermedad
Vulnerabilidad estructural en Claude Code Action generó 6 divulgaciones, 1 fuga y 1 ataque real. El parche cubre un síntoma, la enfermedad es arquitectural.
SearchLeak: SSRF vía Bing roba datos de M365 Copilot
CVE-2026-42824 (Varonis) permite exfiltrar datos de M365 Copilot Enterprise vía prompt injection en la búsqueda y SSRF por Bing. Basta un clic.
Gentlemen Ransomware: worm por FortiGate y 478 víctimas
El grupo Gentlemen RaaS explota CVE-2024-55591 en FortiGate para propagación worm con 21 técnicas de lateral movement. 478+ víctimas en 66 países.
Google GTIG: El Primer Zero-Day Desarrollado por IA
Google GTIG identificó el primer zero-day creado por IA en uso criminal: bypass de 2FA vía falla semántica de lógica, clase que LLMs encuentran y fuzzers no.
GREYVIBE: primer caso forense de IA en toda la kill chain
Primer caso forense de un grupo de amenazas con IA comercial en toda la kill chain contra Ucrania, según WithSecure. Qué significa para la defensa cibernética.
n8n-mcp: IDOR CVSS 9.9 expone credenciales cross-tenant
CVE-2026-54052 en n8n-mcp: cualquier tenant autenticado lee credenciales de los demás. Quinto fallo multi-tenant en 2026: persistencia sin aislamiento.
Programa de Socios Tech86: Vende Proyectos Complejos sin Contratar un Team
El programa de socios de Tech86 permite que consultorías, agencias e integradores vendan proyectos de ingeniería complejos sin necesitar un team técnico sénior. Revenue share recurrente, ingeniería como servicio y protección de cuenta.
SHEETCREEP: APT Usa Google Sheets como C2 Invisible en la Red
El SHEETCREEP, RAT vinculado al APT36, usa Google Sheets como infraestructura de comando y control. Tráfico indistinguible de uso legítimo de Google Workspace exige detección en el endpoint.
Foxconn vs Nitrogen: bug del encriptador anula el rescate
Coveware hizo ingeniería inversa del encriptador ESXi de Nitrogen: halló un bug que hace la desencriptación matemáticamente imposible. Pagar no resuelve.
Tchap: soberanía de infra no evita cuentas comprometidas
El mensajero soberano de Francia expuso datos de 73.467 agentes tras una cuenta comprometida: la soberanía no sustituye la seguridad.
LangGraph: de SQL Injection a RCE por la memoria del agente
Check Point Research documentó una cadena de SQL injection a RCE vía el checkpointer de LangGraph: la memoria del agente es la persistencia del atacante.
Sophos CTU: Laboratorio de Ransomware con IA Testea Evasión de EDR en Escala
Sophos descubrió un laboratorio de ransomware que usó IA para acelerar desarrollo y testear evasión de EDR. Casi 80 módulos, 70+ técnicas. Qué cambia para tu defensa.
CISA BOD 26-04 y EO 14409: IA en la Ciberdefensa Federal
La CISA reemplazó CVSS por 4 factores binarios y la EO 14409 ordenó acelerar la defensa con IA. Qué cambia en la práctica.
Ivanti Sentry CVSS 10.0: RCE como Root sin Autenticación
CVE-2026-10520 en Ivanti Sentry permite command injection no autenticado con ejecución como root. CVSS máximo, PoC público, KEV CISA. Datos y timeline reales.
Nightmare Eclipse: 8 zero-days contra Microsoft, 10 semanas
Un investigador solo explotó 8 vulnerabilidades en el ecosistema Microsoft: LPE a SYSTEM, bypass de BitLocker y TOCTOU. Qué significa para su defensa.
ShinyHunters Explotó Zero-Day en PeopleSoft durante 13 Días
CVE-2026-35273: RCE no autenticada en Oracle PeopleSoft explotada durante 13 días antes del advisory. Datos sensibles de 454 mil registros filtrados.
De N-day a N-hour: el mito de la ventana segura de parcheo
Anthropic: Mythos Preview genera exploits en horas, no semanas. Costo por cadena de privilegios: US$ 2.000. El ciclo de parcheo mensual quedó obsoleto.
Miasma Worm: la infraestructura de confianza es el ataque
Cómo Miasma Worm explotó SLSA, Sigstore y credenciales legítimas para comprometer npm, PyPI y repositorios Microsoft en 7 días, sin un solo CVE.
LIMIT 100 en BigQuery: La Ilusión que Drena su OPEX
SELECT * con LIMIT 100 en BigQuery escanea la tabla entera y cobra por bytes leídos. TABLESAMPLE SYSTEM reduce 95% del procesamiento. Datos reales de FinOps.
Google Cloud Next 2026: La Infraestructura Agentic
Del chip TPU v8 al Agent Gateway, del Virgo Network al Agentic Defense: qué significa Google Cloud Next 2026 para quienes operan agentes en escala.
IA comprime la ventana de vulnerabilidad, Microsoft confirma
Microsoft declaró que la IA puede descubrir, encadenar y explotar vulnerabilidades de forma autónoma. La ventana entre descubrimiento y explotación colapsó.
Guía FinOps de Inferencia: 5 Palancas en el Orden Correcto
El 80-90% del costo de IA va a inferencia. Cinco palancas medibles, en orden de prioridad, para recortar 50-90% del desperdicio sin perder calidad.
Claude Code en CI/CD: Agujero Estructural y la Rule of Two
La GitHub Action de Claude Code expone credenciales sin sandbox. Microsoft roba claves en dos pasos. RyotaK: 50 bypasses. Falta la Rule of Two.
Routers de API LLM Maliciosos: Amenaza en tus AI Agents
428 routers probados, 9 inyectando código, 1 drenando Ethereum. Cómo los routers de API LLM maliciosos comprometen AI agents sin detección.
State of FinOps 2026: 73% Estallaron el Budget de IA
Datos del State of FinOps 2026: 73% de las empresas estallaron budget de IA, apenas 20% previeron gasto dentro de ±10%. FinOps ahora es gestión de valor de tecnología.
Fuga iFood: 1,2 millones vs 43 millones y el riesgo negado
iFood filtró CPF de 1,2 millones de usuarios, no notificó a la ANPD y dijo que no hay riesgo relevante. La discrepancia de 36x y la LGPD en Brasil.
Chrome DBSC: el fin del robo de cookies de sesión
DBSC liga cookies de sesión al hardware vía TPM: la cookie robada expira. La mejora de seguridad de navegadores más significativa en años, aunque es una capa.
Worms en LLM Agents: Propagación Zero-Click entre Frameworks
Primer worm autónomo que se propaga entre LLM agents sin interacción humana. Zero-click, cross-platform, 3 hops. La defensa exige un teorema formal.
MemPoison + MCFA: Ataques de Memoria en Agentes LLM
Los ataques de memoria en agentes LLM alcanzan 95% de éxito. MemPoison envenena, MCFA secuestra el flujo de control. Las defensas actuales son insuficientes.
PoisonedSkills: Cuando la Doc de la Skill Ejecuta Código Malicioso
PoisonedSkills usa documentación de skills para ejecutar payloads en agentes de codificación de IA. DDIPE bypasea 33.5%. 4 CVEs. Los skill registries son la nueva supply chain.
CVE-2026-41089: Un Paquete UDP Derriba el Domain Controller
CVE-2026-41089 en Windows Netlogon permite DoS vía UDP 389 sin autenticación. CVSS 9.8, exploración activa confirmada. Sepa cómo proteger tus DCs.
WP Maps Pro: Backdoor por Diseño y Admin Takeover
CVE-2026-8732 en WP Maps Pro permite admin takeover sin autenticación. CVSS 9.8, 15.800 sites expuestos. Nonce en el frontend no es autenticación.
CIFSwitch: 19 años de bug en el kernel y root con 1 syscall
Vulnerabilidad de 19 años en el kernel Linux da root a cualquier usuario sin privilegios vía request_key y cifs.upcall. PoC público. Servidores expuestos.
Vercel Bill Shock: Por Qué Headless Sin FinOps Se Rompe
38% de los lojistas headless perdieron revenue en 90 días. Vercel Pro salta de 20 para 2.000 dólares. FinOps es lo que separa escala de perjuicio.
Bypass de Autenticación en GlobalProtect: El Perímetro Cayó
CVE-2026-0257 en PAN-OS GlobalProtect permite bypass de autenticación con CVSS 9.1. Explotación activa, CISA KEV. Datos reales de Rapid7.
CVE-2026-46230: RCE con SYSTEM vía SMB/RDP en el Kernel Windows
CVE-2026-46230 en el kernel Windows permite RCE con SYSTEM vía SMB y RDP sin autenticación. CVSS 9.8, PoC público. Sepa cómo proteger tu infraestructura.
FortiClient EMS: cuando el antivirus es vector de infección
CVE-2026-35616 en FortiClient EMS: bypass pre-auth con CVSS 9.1. Atacantes usan el EMS para desplegar EKZ Stealer y robar cookies de sesión, bypaseando MFA.
PoolSlip y Gogs: dos zero-days que exponen su infra
CVE-2026-9256 (CVSS 9.2) en NGINX y zero-day CVSS 9.4 en Gogs sin parche desde hace 2+ meses. Dos puntos de entrada que nadie puede ignorar.
CVE-2026-48172: CVSS 10.0 en LiteSpeed y Hosting Compartido
CVE-2026-48172 en LiteSpeed cPanel Plugin: CVSS 10.0, cualquier tenant se vuelve root. El hosting compartido falla por diseño con esta clase de bug.
TrapDoor, TanStack y npm: Cuando IA y Registry Se Vuelven Vector
TrapDoor planta instrucciones invisibles en .cursorrules. TanStack roba tokens OIDC. 33 paquetes npm imitan namespaces corporativos. Tres vectores, mismo resultado.
FinOps para IA: costo por token y la GPU que no usa
73% de los proyectos de IA exceden el presupuesto. Uso de GPU en 15-30%. Mida el costo por token y recupere hasta la mitad del presupuesto de inferencia.
Worm de Autorreplicación en LLMs: de 6% a 81% en Un Año
Palisade documentó el primer worm de autorreplicación en LLMs: 4 hops, 3 continentes, cero intervención humana. Tasa de éxito: de 6% a 81% en 12 meses.
Prompt Injection Es el Nuevo SQL Injection, y Ahora Lleva a RCE
73% de los deployments de IA tienen prompt injection. Los chatbots filtran datos vía markdown rendering. Semantic Kernel permite RCE vía carpeta Startup. Datos y defensas.
WordPress: 11.334 vulnerabilidades y la salida headless
En 2025, WordPress registró 11.334 vulnerabilidades nuevas (+42%). Headless elimina estructuralmente la superficie de ataque y reduce el LCP 75%.
Dirty Frag: LPE determinística a root vía contenedor
CVE-2026-43284 + CVE-2026-43500 encadenan dos bugs de kernel en un root shell determinístico. Los nodos de IA con GPU son el objetivo de mayor valor.
Prompt Injection Es State Poisoning, Tu Agente Está Expuesto
Pesquisas con CoT Forgery y Trojan Hippo prueban que prompt injection envenena el estado interno del modelo. La frontera de seguridad está en el lugar equivocado.
SGLang: 4 RCEs sin patch en el servidor de inferencia IA
Cuatro vulnerabilidades RCE en SGLang, servidor de inferencia que corre en 400 mil GPUs, tres sin corrección y el mantenedor no responde al CERT/CC.
Zero-days en Defender: cuando el protector se vuelve el ataque
CVEs con privilegios SYSTEM y malware firmado por la propia Microsoft muestran que confiar ciegamente en Defender es la verdadera vulnerabilidad.
La IA ya escribe zero-days y la ventana colapsó
Cómo la IA pasó de encontrar vulnerabilidades a escribir exploits y autorreplicarse, y por qué la ventana entre descubrimiento y explotación colapsó en 2026.
Supply Chain 2026: Cuando la Confianza Se Volvió Vector de Ataque
Cómo SLSA provenance, code signing y CI/CD se tornaron los vectores de supply chain attacks en 2026, y lo que tu empresa necesita hacer ahora.
Infraestructura para IA: el co-diseño es el nuevo paradigma
NVIDIA invirtió US$ 40.000 millones en infraestructura y Vera Rubin lo prueba: el cuello de botella de la IA no es el silicio, es energía, fibra y orquestación.
Inyección SQL en Drupal: Cuando la Abstracción Falla
CVE-2026-9082 expone inyección SQL en la API de abstracción de Drupal. 15 mil ataques en 48h. El parche fue una línea: confianza ciega en frameworks.
NGINX Rift: bug de 18 años hallado por IA en 6 horas
CVE-2026-42945 expone un heap overflow en NGINX desde 2008. La IA lo encontró en horas; parchar miles de instancias toma semanas. La asimetría que cambia todo.
SEO para IA: La Guía Oficial de Google Que Lo Cambia Todo
Google publicó la guía definitiva de SEO para IA. El mensaje: no existe AEO ni GEO. Los mismos fundamentos de siempre, contenido con perspectiva real.
PROMPTSPY: el malware Android que usa IA para operar tu celular
El primer malware Android con IA generativa lee la pantalla, piensa y actúa solo. Análisis técnico del PROMPTSPY y cómo protegerse.
NATS como C2: cuando la infraestructura se vuelve arma
Atacantes usan NATS pub/sub como canal C2 invisible. Aprenda a detectar y bloquear tráfico malicioso disfrazado de microservicio.
Contenedores No Aislan Workloads: CopyFail y DirtyFrag
CVEs de page cache derriban el aislamiento entre contenedores en Kubernetes. Por qué los parches no bastan y qué arquitectura lo resuelve.
FinOps para IA: la selección de modelos es unit economics
Pagar 21 veces más por 0,6% de benchmark es desperdicio de capital. Seleccione modelos de IA con base en costo real y throughput por dólar.
El Harness Pesa Más Que el Modelo: Lecciones de Claude Code
Claude Code tiene 1.900 archivos TS. Solo el 1,6% es IA. El 98,4% restante es infraestructura de control, y eso define quién gana.