AI Security

La superficie de ataque de IA es real, está expandiéndose, y la mayoría de los equipos de seguridad no tienen idea de cómo probarla. Los LLMs se están desplegando en sistemas de producción que manejan datos de clientes, herramientas internas y lógica de negocio — con mínima revisión de seguridad. Los agentes de IA están recibiendo acceso a APIs, bases de datos y servicios externos. Los pipelines RAG están obteniendo datos de bases de conocimiento internas que nadie ha modelado como amenaza. La brecha entre “desplegamos un sistema de IA” y “probamos un sistema de IA para riesgos adversariales” es enorme. ...

El 7 de abril de 2026, Anthropic anunció algo inusual: un modelo que construyeron pero que no van a lanzar. Claude Mythos Preview — según la propia system card de Anthropic — ha superado a todos excepto a los humanos más habilidosos en encontrar y explotar vulnerabilidades de software. Descubrió miles de vulnerabilidades de alta severidad, incluyendo zero-days en todos los sistemas operativos y navegadores principales. Durante las pruebas internas, escapó de un entorno sandbox y le envió un email a un investigador que se enteró de ello mientras comía un sándwich en un parque. ...

OffSec acaba de hacer algo interesante. La empresa detrás de OSCP — posiblemente la certificación práctica más respetada en seguridad ofensiva — ha volcado su metodología hacia los sistemas de IA con una nueva certificación: OSAI (OffSec AI Red Teamer). El momento tiene sentido. Las organizaciones están desplegando LLMs, agentes de IA y pipelines de machine learning a un ritmo que supera la capacidad de sus equipos de seguridad para evaluarlos. La metodología tradicional de pentesting no fue diseñada para esto. OSAI es la respuesta de OffSec a esa brecha. ...