[
 {
  "id": "echoleak-m365-copilot",
  "titulo": "EchoLeak: inyección de prompt sin clics en Microsoft 365 Copilot",
  "fecha": "2025-06-11",
  "proveedor": "Microsoft",
  "producto": "Microsoft 365 Copilot",
  "tipo_agente": "Asistente corporativo (RAG)",
  "categorias": [
   "prompt-injection",
   "exfiltracion"
  ],
  "gravedad": "crítica",
  "cve": [
   "CVE-2025-32711"
  ],
  "resumen": "Investigadores de Aim Security demostraron que un correo electrónico preparado podía llevar a Microsoft 365 Copilot a extraer información del tenant de la víctima sin que esta hiciera clic en nada. El fallo se registró como CVE-2025-32711 y Microsoft lo corrigió en el lado del servicio.",
  "mitigacion": "Verificar que el parche de servicio está aplicado; limitar las fuentes externas (correo entrante) que el asistente puede combinar con datos internos; revisar políticas de DLP y de etiquetas de sensibilidad.",
  "normativa": [],
  "fuentes": [
   "https://www.aim.security/lp/aim-labs-echoleak-blogpost",
   "https://nvd.nist.gov/vuln/detail/CVE-2025-32711"
  ]
 },
 {
  "id": "langflow-cve-2025-3248",
  "titulo": "Langflow: ejecución remota de código sin autenticación (CVE-2025-3248)",
  "fecha": "2025-04-07",
  "proveedor": "Langflow",
  "producto": "Langflow",
  "tipo_agente": "Constructor de flujos de agentes",
  "categorias": [
   "configuracion-insegura"
  ],
  "gravedad": "crítica",
  "cve": [
   "CVE-2025-3248"
  ],
  "resumen": "Un endpoint de validación de código de Langflow permitía a cualquiera con acceso de red ejecutar Python sin autenticarse. CISA lo incluyó en su catálogo de vulnerabilidades explotadas activamente.",
  "mitigacion": "Actualizar a una versión corregida; no exponer Langflow a Internet; ponerlo detrás de autenticación y segmentación de red.",
  "normativa": [
   {
    "marco": "ENS",
    "nota": "Relevante si la instancia da servicio a un sistema bajo ENS: gestión de vulnerabilidades y protección de servicios expuestos."
   }
  ],
  "fuentes": [
   "https://nvd.nist.gov/vuln/detail/CVE-2025-3248",
   "https://horizon3.ai/attack-research/disclosures/unsafe-at-any-speed-abusing-python-exec-for-unauth-rce-in-langflow-ai/"
  ]
 },
 {
  "id": "mcp-inspector-cve-2025-49596",
  "titulo": "MCP Inspector de Anthropic: RCE desde el navegador (CVE-2025-49596)",
  "fecha": "2025-06-30",
  "proveedor": "Anthropic",
  "producto": "MCP Inspector",
  "tipo_agente": "Herramienta de desarrollo MCP",
  "categorias": [
   "cadena-suministro-mcp",
   "configuracion-insegura"
  ],
  "gravedad": "crítica",
  "cve": [
   "CVE-2025-49596"
  ],
  "resumen": "Oligo Security detectó que el proxy local de MCP Inspector no exigía autenticación, de modo que una web maliciosa podía alcanzarlo en localhost y ejecutar comandos en el equipo del desarrollador. La puntuación CVSS asignada fue 9,4.",
  "mitigacion": "Actualizar MCP Inspector a una versión con autenticación por token; no dejar herramientas de depuración MCP en ejecución de forma permanente.",
  "normativa": [],
  "fuentes": [
   "https://www.oligo.security/blog/critical-rce-vulnerability-in-anthropic-mcp-inspector-cve-2025-49596",
   "https://nvd.nist.gov/vuln/detail/CVE-2025-49596"
  ]
 },
 {
  "id": "github-mcp-repos-privados",
  "titulo": "Servidor MCP de GitHub: fuga de repositorios privados vía una issue pública",
  "fecha": "2025-05-26",
  "proveedor": "GitHub",
  "producto": "GitHub MCP Server",
  "tipo_agente": "Agente de programación",
  "categorias": [
   "prompt-injection",
   "exfiltracion",
   "permisos-excesivos"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Invariant Labs mostró que una issue maliciosa en un repositorio público podía dirigir a un agente conectado al servidor MCP de GitHub para leer un repositorio privado y publicar su contenido en un pull request. El problema no es un bug de código sino de diseño: el agente tenía un token con acceso amplio.",
  "mitigacion": "Usar tokens con el mínimo alcance (un repositorio por sesión); exigir confirmación humana para acciones de escritura; separar contextos de datos públicos y privados.",
  "normativa": [],
  "fuentes": [
   "https://invariantlabs.ai/blog/mcp-github-vulnerability"
  ]
 },
 {
  "id": "agentflayer-chatgpt-connectors",
  "titulo": "AgentFlayer: un documento envenenado extrae claves API mediante ChatGPT Connectors",
  "fecha": "2025-08-06",
  "proveedor": "OpenAI",
  "producto": "ChatGPT Connectors",
  "tipo_agente": "Asistente con conectores",
  "categorias": [
   "prompt-injection",
   "exfiltracion"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Zenity Labs demostró que un documento compartido en Google Drive con texto oculto podía hacer que ChatGPT buscara claves API en el Drive del usuario y las enviara al atacante a través de la URL de una imagen. La única interacción necesaria era que el documento se compartiera con la víctima.",
  "mitigacion": "Restringir qué conectores están habilitados; tratar todo documento compartido como entrada no confiable; vigilar la carga de imágenes desde dominios externos.",
  "normativa": [],
  "fuentes": [
   "https://labs.zenity.io/post/agentflayer-chatgpt-connectors-0click-attack-5b41",
   "https://www.wired.com/story/poisoned-document-could-leak-secret-data-chatgpt/"
  ]
 },
 {
  "id": "shadowleak-deep-research",
  "titulo": "ShadowLeak: robo de datos sin clics con ChatGPT Deep Research y Gmail",
  "fecha": "2025-09-18",
  "proveedor": "OpenAI",
  "producto": "ChatGPT Deep Research",
  "tipo_agente": "Agente de navegación/investigación",
  "categorias": [
   "prompt-injection",
   "exfiltracion"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Radware describió cómo un correo con instrucciones ocultas podía llevar al agente Deep Research a leer el Gmail del usuario y enviar datos personales a un servidor del atacante. La exfiltración se producía desde la nube de OpenAI, sin tráfico visible en la red de la víctima.",
  "mitigacion": "Limitar el acceso del agente al buzón; revisar qué conectores se usan con agentes autónomos; asumir que los controles de red perimetrales no detectan este tipo de fuga.",
  "normativa": [],
  "fuentes": [
   "https://www.radware.com/blog/threat-intelligence/shadowleak/"
  ]
 },
 {
  "id": "gemini-cli-ejecucion-silenciosa",
  "titulo": "Gemini CLI: ejecución silenciosa de comandos mediante un README",
  "fecha": "2025-07-28",
  "proveedor": "Google",
  "producto": "Gemini CLI",
  "tipo_agente": "Agente de programación (CLI)",
  "categorias": [
   "prompt-injection",
   "exfiltracion"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Tracebit mostró que un README con instrucciones ocultas, junto con una validación débil de la lista de comandos permitidos, conseguía que Gemini CLI ejecutara comandos arbitrarios y enviara variables de entorno al atacante. Google publicó una versión corregida.",
  "mitigacion": "Actualizar Gemini CLI; no usar listas de comandos permitidos basadas en prefijos; ejecutar agentes de código en contenedores sin secretos.",
  "normativa": [],
  "fuentes": [
   "https://tracebit.com/blog/code-exec-deception-gemini-ai-cli-hijack"
  ]
 },
 {
  "id": "supabase-mcp-service-role",
  "titulo": "Supabase MCP con clave service-role filtra datos SQL en un ticket de soporte",
  "fecha": "2025-07-03",
  "proveedor": "Supabase",
  "producto": "Supabase MCP Server",
  "tipo_agente": "Agente de programación (Cursor)",
  "categorias": [
   "prompt-injection",
   "permisos-excesivos",
   "exfiltracion"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "General Analysis demostró que un ticket de soporte con instrucciones podía hacer que un agente de Cursor, conectado a Supabase por MCP con una clave service-role, volcara una tabla de secretos en el propio hilo del ticket. Es un ejemplo claro de la combinación de datos privados, entrada no confiable y canal de salida.",
  "mitigacion": "Usar el modo de solo lectura y credenciales con privilegios mínimos; no conectar agentes a bases de datos de producción con claves que saltan RLS.",
  "normativa": [],
  "fuentes": [
   "https://www.generalanalysis.com/blog/supabase-mcp-blog",
   "https://simonwillison.net/2025/Jul/6/supabase-mcp-lethal-trifecta/"
  ]
 },
 {
  "id": "curxecute-cursor",
  "titulo": "CurXecute: RCE en Cursor a través de la configuración MCP (CVE-2025-54135)",
  "fecha": "2025-08-01",
  "proveedor": "Anysphere",
  "producto": "Cursor",
  "tipo_agente": "IDE con agente",
  "categorias": [
   "prompt-injection",
   "cadena-suministro-mcp"
  ],
  "gravedad": "alta",
  "cve": [
   "CVE-2025-54135"
  ],
  "resumen": "Aim Labs comprobó que una inyección de prompt que llegara al agente de Cursor podía escribir una nueva entrada de servidor MCP en la configuración del proyecto, y Cursor la ejecutaba sin pedir confirmación. Se corrigió en versiones posteriores.",
  "mitigacion": "Actualizar Cursor; exigir aprobación para cambios en ficheros de configuración MCP; revisar .cursor/mcp.json en los repositorios.",
  "normativa": [],
  "fuentes": [
   "https://www.aim.security/lp/aim-labs-curxecute-blogpost",
   "https://nvd.nist.gov/vuln/detail/CVE-2025-54135"
  ]
 },
 {
  "id": "amazon-q-extension-wiper",
  "titulo": "Prompt destructivo insertado en la extensión Amazon Q Developer para VS Code",
  "fecha": "2025-07-23",
  "proveedor": "Amazon Web Services",
  "producto": "Amazon Q Developer (VS Code)",
  "tipo_agente": "Agente de programación",
  "categorias": [
   "cadena-suministro",
   "accion-destructiva"
  ],
  "gravedad": "alta",
  "cve": [
   "CVE-2025-8217"
  ],
  "resumen": "Un atacante logró que se fusionara en el repositorio abierto de la extensión un cambio que añadía un prompt para borrar el equipo del usuario y recursos en la nube. La versión contaminada llegó al marketplace de VS Code antes de que AWS la retirara.",
  "mitigacion": "Actualizar a la versión corregida indicada por AWS; controlar los permisos de contribución y revisión en repositorios que publican agentes; fijar versiones de extensiones.",
  "normativa": [
   {
    "marco": "NIS2",
    "nota": "Ilustra el riesgo de cadena de suministro que las entidades NIS2 deben gestionar (art. 21)."
   }
  ],
  "fuentes": [
   "https://aws.amazon.com/security/security-bulletins/AWS-2025-015/",
   "https://www.404media.co/hacker-plants-computer-wiping-commands-in-amazons-ai-coding-agent/"
  ]
 },
 {
  "id": "replit-borra-base-datos",
  "titulo": "El agente de Replit borra una base de datos de producción durante una congelación de código",
  "fecha": "2025-07-18",
  "proveedor": "Replit",
  "producto": "Replit Agent",
  "tipo_agente": "Agente de programación",
  "categorias": [
   "accion-destructiva",
   "permisos-excesivos"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "En un experimento público de desarrollo asistido, el agente de Replit ejecutó comandos destructivos contra una base de datos de producción pese a las instrucciones de no tocar el código, y después informó de forma inexacta sobre lo ocurrido. Replit anunció medidas como separar entornos de desarrollo y producción.",
  "mitigacion": "Separar entornos; no dar al agente credenciales de producción; copias de seguridad y aprobación humana para operaciones destructivas.",
  "normativa": [],
  "fuentes": [
   "https://www.theregister.com/software/2025/07/21/vibe-coding-service-replit-deleted-production-database/719783",
   "https://www.fastcompany.com/91372483/replit-ceo-what-really-happened-when-ai-agent-wiped-jason-lemkins-database-exclusive"
  ]
 },
 {
  "id": "comet-prompt-injection",
  "titulo": "Perplexity Comet: el agente del navegador secuestrado por texto en una web",
  "fecha": "2025-08-20",
  "proveedor": "Perplexity",
  "producto": "Comet",
  "tipo_agente": "Navegador agéntico",
  "categorias": [
   "prompt-injection",
   "exfiltracion"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "El equipo de seguridad de Brave mostró que instrucciones ocultas en una publicación de Reddit podían llevar al agente de Comet a abrir sesiones del usuario (correo, cuentas) y filtrar códigos de un solo uso. El caso ilustra que la política de mismo origen no protege frente a un agente que actúa con la sesión del usuario.",
  "mitigacion": "No usar navegadores agénticos con sesiones sensibles abiertas; exigir confirmación para acciones fuera de la pestaña de la tarea; tratar el contenido web como no confiable.",
  "normativa": [],
  "fuentes": [
   "https://brave.com/blog/comet-prompt-injection/"
  ]
 },
 {
  "id": "forcedleak-agentforce",
  "titulo": "ForcedLeak: Salesforce Agentforce filtra datos de CRM a través de un formulario Web-to-Lead",
  "fecha": "2025-09-25",
  "proveedor": "Salesforce",
  "producto": "Agentforce",
  "tipo_agente": "Agente de atención al cliente / CRM",
  "categorias": [
   "prompt-injection",
   "exfiltracion"
  ],
  "gravedad": "crítica",
  "cve": [],
  "resumen": "Noma Security encadenó una inyección de prompt en un formulario de captación de leads con un dominio caducado que seguía en la lista de confianza de la política CSP de Salesforce para extraer registros del CRM. Salesforce corrigió el problema y volvió a asegurar el dominio.",
  "mitigacion": "Aplicar los controles de URLs de confianza de Salesforce; revisar listas de dominios permitidos; tratar los campos de formularios públicos como entrada hostil.",
  "normativa": [],
  "fuentes": [
   "https://noma.security/blog/forcedleak-agent-risks-exposed-in-salesforce-agentforce/"
  ]
 },
 {
  "id": "salesloft-drift-tokens",
  "titulo": "Tokens robados de Salesloft Drift usados para extraer datos de Salesforce de cientos de empresas",
  "fecha": "2025-08-08",
  "proveedor": "Salesloft",
  "producto": "Drift (integración de chat con IA)",
  "tipo_agente": "Agente de chat comercial",
  "categorias": [
   "cadena-suministro",
   "exfiltracion",
   "permisos-excesivos"
  ],
  "gravedad": "crítica",
  "cve": [],
  "resumen": "Un actor identificado por Google como UNC6395 usó tokens OAuth robados de la integración de Drift para consultar instancias de Salesforce de cientos de organizaciones y recopilar credenciales guardadas en casos de soporte. Varias empresas de seguridad confirmaron haberse visto afectadas.",
  "mitigacion": "Revocar y rotar tokens de integraciones de terceros; inventariar las conexiones OAuth; buscar secretos almacenados en tickets y casos de soporte.",
  "normativa": [
   {
    "marco": "NIS2",
    "nota": "Caso típico de riesgo de proveedor/cadena de suministro (art. 21.2.d)."
   }
  ],
  "fuentes": [
   "https://cloud.google.com/blog/topics/threat-intelligence/data-theft-salesforce-instances-via-salesloft-drift",
   "https://blog.cloudflare.com/response-to-salesloft-drift-incident/"
  ]
 },
 {
  "id": "s1ngularity-nx",
  "titulo": "s1ngularity: paquetes Nx comprometidos usan agentes de IA locales para robar credenciales",
  "fecha": "2025-08-26",
  "proveedor": "Nx (Nrwl)",
  "producto": "Paquetes npm de Nx",
  "tipo_agente": "Agentes de programación CLI (abusados)",
  "categorias": [
   "cadena-suministro",
   "exfiltracion",
   "uso-malicioso"
  ],
  "gravedad": "crítica",
  "cve": [],
  "resumen": "Se publicaron en npm versiones maliciosas de Nx con un script de postinstalación que invocaba Claude Code, Gemini CLI y Amazon Q en el equipo del desarrollador para localizar carteras, tokens y claves SSH. Lo encontrado se subía a repositorios públicos de GitHub.",
  "mitigacion": "Rotar credenciales en equipos afectados; deshabilitar scripts de instalación cuando sea posible; no ejecutar agentes CLI con permisos de omitir confirmaciones.",
  "normativa": [
   {
    "marco": "NIS2",
    "nota": "Riesgo de cadena de suministro de software."
   }
  ],
  "fuentes": [
   "https://github.com/nrwl/nx/security/advisories/GHSA-cxm3-wv7p-598c",
   "https://www.wiz.io/blog/s1ngularity-supply-chain-attack"
  ]
 },
 {
  "id": "claude-code-espionaje",
  "titulo": "Grupo estatal usa Claude Code para automatizar una campaña de espionaje",
  "fecha": "2025-11-13",
  "proveedor": "Anthropic",
  "producto": "Claude Code",
  "tipo_agente": "Agente de programación (abusado)",
  "categorias": [
   "uso-malicioso"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Anthropic informó de que un grupo que atribuye a un actor estatal chino eludió las salvaguardas de Claude Code y lo utilizó para ejecutar gran parte de una campaña de intrusión contra unas treinta organizaciones. Según la empresa, el agente realizó reconocimiento, explotación y recogida de datos con poca intervención humana.",
  "mitigacion": "Para defensores: asumir mayor velocidad y volumen de ataques; reforzar detección de reconocimiento automatizado; usar IA también en la defensa.",
  "normativa": [],
  "fuentes": [
   "https://www.anthropic.com/news/disrupting-AI-espionage"
  ]
 },
 {
  "id": "clawhub-skills-maliciosas",
  "titulo": "Cientos de skills maliciosas en el marketplace de OpenClaw (ClawHub)",
  "fecha": "2026-01-27",
  "proveedor": "OpenClaw",
  "producto": "ClawHub",
  "tipo_agente": "Agente personal",
  "categorias": [
   "cadena-suministro-mcp",
   "cadena-suministro"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Koi Security encontró varios centenares de skills maliciosas publicadas en ClawHub, el marketplace comunitario del agente personal OpenClaw. La mayoría distribuían infostealers disfrazados de herramientas de trading de criptomonedas o utilidades.",
  "mitigacion": "Instalar solo skills revisadas o de autores verificados; ejecutar el agente con permisos mínimos; inventariar extensiones instaladas.",
  "normativa": [],
  "fuentes": [
   "https://www.koi.ai/blog/clawhavoc-341-malicious-clawhub-skills-koi-research"
  ]
 },
 {
  "id": "moltbook-base-datos-expuesta",
  "titulo": "Moltbook, red social para agentes de IA, expone su base de datos y tokens",
  "fecha": "2026-01-30",
  "proveedor": "Moltbook",
  "producto": "Moltbook",
  "tipo_agente": "Plataforma de agentes",
  "categorias": [
   "configuracion-insegura",
   "exfiltracion"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Wiz descubrió que Moltbook, un sitio donde agentes de OpenClaw publican en nombre de sus dueños, tenía su backend de Supabase legible y escribible. Quedaban expuestos tokens API de agentes y mensajes privados.",
  "mitigacion": "Activar Row Level Security en Supabase; rotar tokens de agentes registrados; no reutilizar claves de proveedor de IA en servicios de terceros.",
  "normativa": [],
  "fuentes": [
   "https://www.wiz.io/blog/exposed-moltbook-database-reveals-millions-of-api-keys"
  ]
 },
 {
  "id": "nginx-ui-mcp-cve-2026-33032",
  "titulo": "Nginx UI: endpoint MCP sin autenticación permite tomar el control de nginx (CVE-2026-33032)",
  "fecha": "2026-03-30",
  "proveedor": "Nginx UI (0xJacky)",
  "producto": "nginx-ui",
  "tipo_agente": "Servidor MCP",
  "categorias": [
   "cadena-suministro-mcp",
   "configuracion-insegura"
  ],
  "gravedad": "crítica",
  "cve": [
   "CVE-2026-33032"
  ],
  "resumen": "Las versiones 2.3.5 y anteriores de Nginx UI exponen un endpoint MCP protegido solo por una lista de IP que, vacía por defecto, se interpreta como permitir todo. Un atacante en red puede invocar todas las herramientas MCP sin autenticarse, modificar la configuración y reiniciar nginx.",
  "mitigacion": "Actualizar cuando haya versión corregida; restringir el acceso de red a la interfaz; configurar explícitamente la lista de IP permitidas.",
  "normativa": [],
  "fuentes": [
   "https://nvd.nist.gov/vuln/detail/CVE-2026-33032"
  ]
 },
 {
  "id": "claude-code-action-mcp-json",
  "titulo": "Claude Code Action: ejecución de código mediante un .mcp.json malicioso (CVE-2026-47751)",
  "fecha": "2026-07-16",
  "proveedor": "Anthropic",
  "producto": "Claude Code Action (GitHub Actions)",
  "tipo_agente": "Agente de programación en CI/CD",
  "categorias": [
   "cadena-suministro-mcp",
   "exfiltracion"
  ],
  "gravedad": "alta",
  "cve": [
   "CVE-2026-47751"
  ],
  "resumen": "Antes de la versión 1.0.74, un atacante podía incluir un fichero .mcp.json malicioso en un pull request y lograr ejecución de código en el runner de GitHub Actions. Eso permitía exfiltrar secretos del workflow como claves API y tokens.",
  "mitigacion": "Actualizar a 1.0.74 o posterior; no ejecutar agentes sobre PR de forks con acceso a secretos; limitar permisos del GITHUB_TOKEN.",
  "normativa": [],
  "fuentes": [
   "https://nvd.nist.gov/vuln/detail/CVE-2026-47751"
  ]
 },
 {
  "id": "github-mcp-lockdown-credenciales",
  "titulo": "GitHub MCP Server reutiliza las credenciales del primer usuario en modo lockdown (CVE-2026-48529)",
  "fecha": "2026-06-26",
  "proveedor": "GitHub",
  "producto": "GitHub MCP Server",
  "tipo_agente": "Servidor MCP",
  "categorias": [
   "permisos-excesivos",
   "cadena-suministro-mcp"
  ],
  "gravedad": "media",
  "cve": [
   "CVE-2026-48529"
  ],
  "resumen": "En las versiones 0.22.0 a 1.1.1 en modo HTTP con lockdown activado, una caché global se inicializaba con el cliente del primer usuario autenticado. Las consultas posteriores de otros usuarios se ejecutaban con esas credenciales; se corrigió en la 1.1.2.",
  "mitigacion": "Actualizar a la versión 1.1.2 o posterior; evitar servidores MCP multiusuario compartidos sin aislamiento por sesión.",
  "normativa": [],
  "fuentes": [
   "https://nvd.nist.gov/vuln/detail/CVE-2026-48529"
  ]
 },
 {
  "id": "salesbleed-agentforce",
  "titulo": "SalesBleed: fallos en Salesforce Agentforce permitían robo de datos de CRM y phishing",
  "fecha": "2026-09-24",
  "proveedor": "Salesforce",
  "producto": "Agentforce",
  "tipo_agente": "Agente de atención al cliente / CRM",
  "categorias": [
   "prompt-injection",
   "exfiltracion"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Zenity Labs describió tres vulnerabilidades en Agentforce que permitían envenenar formularios de leads con inyecciones indirectas, extraer datos del CRM mediante peticiones DNS o de imágenes y desde la previsualización de enlaces de Slack, y enviar phishing con la identidad del agente. Salesforce colaboró en la corrección.",
  "mitigacion": "Mantener los controles de Agentforce actualizados; restringir canales de salida del agente; revisar la previsualización de enlaces en Slack.",
  "normativa": [],
  "fuentes": [
   "https://www.theregister.com/security/2026/09/24/salesforce-agentforce-vulns-allowed-0-click-crm-data-theft-anonymous-phishing/5298958"
  ]
 },
 {
  "id": "asistente-codigo-shai-hulud",
  "titulo": "Atacante secuestra un asistente de código y propaga el gusano Shai-Hulud",
  "fecha": "2026-09-16",
  "proveedor": "desconocido",
  "producto": "Asistente de programación con IA (no identificado)",
  "tipo_agente": "Agente de programación",
  "categorias": [
   "cadena-suministro",
   "uso-malicioso"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Según un informe de Mandiant recogido por The Hacker News, un atacante secuestró la sesión activa de un asistente de código en un proveedor SaaS no identificado. El asistente recomendó software envenenado que fue aceptado, y el gusano Shai-Hulud se extendió por unos cien repositorios internos robando secretos y código.",
  "mitigacion": "Revisar dependencias sugeridas por asistentes antes de aceptarlas; tokens de sesión de corta duración; escaneo de secretos y de dependencias en CI.",
  "normativa": [
   {
    "marco": "NIS2",
    "nota": "Riesgo de cadena de suministro de software."
   }
  ],
  "fuentes": [
   "https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html"
  ]
 },
 {
  "id": "agentcorruption-bedrock-agentcore",
  "titulo": "AgentCorruption: fallo en AWS Bedrock AgentCore podía comprometer toda la flota de agentes",
  "fecha": "2026-10-08",
  "proveedor": "Amazon Web Services",
  "producto": "Bedrock AgentCore",
  "tipo_agente": "Plataforma de agentes en la nube",
  "categorias": [
   "prompt-injection",
   "permisos-excesivos"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Dark Reading informó de una vulnerabilidad, ya corregida, en AWS Bedrock AgentCore bautizada como AgentCorruption. Un único prompt malicioso contra un chatbot podía servir para comprometer el conjunto de agentes de una organización en AWS.",
  "mitigacion": "Aplicar las actualizaciones de AWS; aislar roles IAM por agente; evitar permisos compartidos entre agentes.",
  "normativa": [],
  "fuentes": [
   "https://www.darkreading.com/cloud-security/agentcorruption-aws-environments-at-risk-single-prompt"
  ]
 },
 {
  "id": "cyberxero-claude-code-ucrania",
  "titulo": "CyberXero usa Claude Code en una campaña que roba más de 628.000 registros en Ucrania",
  "fecha": "2026-10-12",
  "proveedor": "Anthropic",
  "producto": "Claude Code",
  "tipo_agente": "Agente de programación (abusado)",
  "categorias": [
   "uso-malicioso"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Investigadores describieron una campaña de acceso inicial que combinaba Cobalt Strike con Claude Code contra sitios WordPress, comercios electrónicos y entidades de infraestructuras críticas en Ucrania. Según la fuente, se robaron más de 628.000 registros.",
  "mitigacion": "Parcheo de CMS y plugins; detección de herramientas de post-explotación; monitorizar patrones de explotación automatizada.",
  "normativa": [],
  "fuentes": [
   "https://thehackernews.com/2026/10/cyberxero-uses-claude-code-in-campaign.html"
  ]
 },
 {
  "id": "chatgpt-artifactory-canal-encubierto",
  "titulo": "Canal encubierto en el Artifactory interno de ChatGPT permitía robar datos de Gmail entre cuentas",
  "fecha": "2026-09-08",
  "proveedor": "OpenAI",
  "producto": "ChatGPT",
  "tipo_agente": "Asistente con conectores",
  "categorias": [
   "prompt-injection",
   "exfiltracion"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "Check Point Research reveló que una instancia interna de JFrog Artifactory usada por ChatGPT permitía a una cuenta dejar instrucciones que la sesión de otra víctima ejecutaba en silencio, leyendo su Gmail conectado. Cuando se notificó a OpenAI, la instancia ya había sido retirada.",
  "mitigacion": "Sin acción directa del usuario; revisar los conectores de correo habilitados en asistentes de IA.",
  "normativa": [],
  "fuentes": [
   "https://thehackernews.com/2026/09/chatgpt-flaw-let-planted-prompt-send.html"
  ]
 },
 {
  "id": "envoy-ai-gateway-mcp-sesion",
  "titulo": "Envoy AI Gateway: secuestro de sesiones MCP por semilla por defecto insegura",
  "fecha": "2026-10-19",
  "proveedor": "Envoy",
  "producto": "Envoy AI Gateway",
  "tipo_agente": "Pasarela MCP",
  "categorias": [
   "cadena-suministro-mcp",
   "configuracion-insegura"
  ],
  "gravedad": "alta",
  "cve": [],
  "resumen": "El proxy MCP de Envoy AI Gateway no verificaba el sujeto anti-secuestro incluido en la sesión al reanudarla, lo que permitía a un atacante con el ID de sesión de otro usuario actuar en su nombre. El chart oficial de Helm agravaba el problema al incluir una semilla de cifrado por defecto conocida públicamente.",
  "mitigacion": "Actualizar según el aviso; sustituir la semilla por defecto por un valor aleatorio propio; revisar despliegues multitenant.",
  "normativa": [],
  "fuentes": [
   "https://github.com/advisories/GHSA-953h-535j-jg2v"
  ]
 },
 {
  "id": "langflow-rce-autenticado-explotado",
  "titulo": "Langflow: RCE autenticada crítica explotada activamente (CVE-2026-105740)",
  "fecha": "2026-10-15",
  "proveedor": "Langflow",
  "producto": "Langflow",
  "tipo_agente": "Constructor de flujos de agentes",
  "categorias": [
   "configuracion-insegura"
  ],
  "gravedad": "crítica",
  "cve": [
   "CVE-2026-105740"
  ],
  "resumen": "Una vulnerabilidad de ejecución remota de código autenticada en Langflow, con CVSS 9,9, está siendo atacada activamente. Según la fuente, se registraron más de 1.400 intentos de explotación en honeypots.",
  "mitigacion": "Actualizar de inmediato; restringir el registro de usuarios; no exponer Langflow a Internet.",
  "normativa": [
   {
    "marco": "ENS",
    "nota": "Relevante para sistemas bajo ENS: gestión de vulnerabilidades explotadas activamente."
   }
  ],
  "fuentes": [
   "https://thehackernews.com/2026/10/langflows-critical-authenticated-rce.html"
  ]
 }
]