Se ha descubierto una vulnerabilidad de alta gravedad (CVSS 8.2) en Cursor, un entorno de codificación con IA ampliamente utilizado. La falla, detectada por LayerX, permitía que cualquier extensión instalada accediera de forma oculta a las claves API y tokens de sesión de los desarrolladores. Esto provocaba un compromiso total de credenciales sin activar alertas ni requerir interacción del usuario. A diferencia de las aplicaciones seguras, que almacenan secretos sensibles de manera protegida, esta vulnerabilidad exponía información crítica sin mecanismos de seguridad adecuados.

Un archivo JavaScript de acceso público en la página de inicio de ClickUp ha estado filtrando silenciosamente casi mil direcciones de correo electrónico corporativas y gubernamentales, incluyendo empleados de Fortinet, Home Depot, Tenable, Mayo Clinic y trabajadores de gobiernos estatales de EE.UU., a través de una clave de API de terceros codificada de forma fija que fue reportada por primera vez en enero de 2025 y sigue sin rotarse hasta abril de 2026.

Ha surgido una vulnerabilidad crítica de omisión de autenticación en etcd, el almacén distribuido de pares clave-valor fundamental que respalda innumerables sistemas nativos en la nube y clústeres de Kubernetes a nivel mundial. Registrada como CVE-2026-33413, esta falla de gravedad alta tiene una puntuación CVSS de 8.8. Permite a los atacantes acceder a APIs de clúster altamente sensibles sin la debida autorización

Una técnica de jailbreak recientemente detallada, conocida como "sockpuppeting", permite a los atacantes eludir los mecanismos de seguridad de 11 grandes modelos de lenguaje (LLM) utilizando una sola línea de código. A diferencia de ataques complejos, este método explota las APIs que soportan el "prellenado de asistente" para inyectar mensajes falsos de aceptación, obligando a los modelos a responder solicitudes prohibidas. 

Un usuario sufrió un robo de su API de Gemini AI en Google Cloud, lo que generó un cargo de 82.314$ en solo días tras empezar con una factura de 180$, exponiendo los riesgos de seguridad en servicios de IA. 

Investigadores descubren que claves de API de Google Cloud antes consideradas inofensivas ahora exponen datos críticos de Gemini AI, poniendo en riesgo privacidad corporativa y estabilidad financiera de miles de organizaciones. 

Una vulnerabilidad importante descubierta en la plataforma de una división de Zota Healthcare expuso datos sensibles de clientes y sistemas internos debido a APIs de "super administrador" inseguras. El problema, descubierto por Eaton–Works, permitía a cualquiera crear una cuenta de super administrador con privilegios y tomar el control total de los sistemas backend de la farmacia. Dava India, que opera más de 2.100 establecimientos en todo el país 

Clawdbot, la creciente pasarela de agentes de IA de código abierto, enfrenta crecientes preocupaciones de seguridad, con más de 900 instancias no autenticadas expuestas en línea y múltiples fallos de código que permiten el robo de credenciales y la ejecución remota de código. Clawdbot es un asistente personal de IA de código abierto que se integra con plataformas de mensajería como WhatsApp, Telegram, Slack, Discord, Signal e iMessage.

 ¿Quisieras aprovechar las mejores funciones de ChatGPT sin pagar una suscripción mensual ni depender de la interfaz de un chatbot? Ccómo resolverlo usando APIs que permiten integrar la IA directamente en el flujo de trabajo y que te permiten pagar solo por consumo.

 Como vimos en la entrada aanterior, Ollama nos permite interactuar con LLMs de una forma sencilla y transparente. Mucho más allá de realizar ciertas pruebas sencillas o iniciarnos en el mundo de los LLMs para comprobar su funcionamiento, en el mundo de desarrollo software se suelen necesitar opciones más avanzadas y personalizadas. En este entrada exploraremos estas opciones avanzadas que nos ofrece Ollama para poder personalizar nuestros modelos, así como hacer uso de su API y poder sacarle todo el partido para crear aplicaciones de IA.

 Ollama es una aplicación que sirve como cliente y centro neurálgico para el uso de modelos LLM de inteligencia artificial. Lo que hace es centralizarlo todo, y permitir la carga de modelos, así como interactuar con ellos.

 Ollama es un software, de código abierto, que permite ejecutar modelos de inteligencia artificial en tu hosting o tu propia computadora.  Una vez instalado en tu servidor puedes integrarlo en Moodle, y usarlos de manera gratuita . Por lo que el costo asociado, es el del servidor donde corre.Con Ollama puedes gestionar y tener diferentes modelos de IA sin necesidades de servicios de terceros, como ChatGPT, Gemini, Grok.  Entre los modelos de IA con Ollama, tenemos, por ejemplo: Deepseek, Llama, Gemma, Mistral, etc.

Los modelos de inteligencia artificial se convirtieron en activos valiosos para cibercriminales y en un objetivo atractivo por la cantidad de información que procesan y por su uso cada vez más frecuente en diversas industrias.

La creciente dependencia de las API ha alimentado las preocupaciones sobre seguridad, y casi todas las organizaciones (el 99%) informaron problemas de seguridad relacionados con las API durante el último año.

Se ha descubierto que un conjunto de datos utilizado para entrenar modelos de lenguaje grandes (LLM) contiene casi 12.000 secretos activos, que permiten una autenticación exitosa. Los hallazgos resaltan una vez más cómo las credenciales codificadas de forma dura (hardcoding) plantean un grave riesgo de seguridad tanto para los usuarios como para las organizaciones, sin mencionar que agravan el problema cuando los LLM terminan sugiriendo prácticas de codificación inseguras a sus usuarios.

OWASP OFFAT (OFFensive Api Tester) se creó para probar automáticamente una API en busca de vulnerabilidades comunes. Las pruebas se pueden generar a partir del archivo JSON de especificación de OpenAPI.

Imagina que tienes una tienda online y deseas proponer un descuento especial a cualquier usuario que abra tu email durante las primeras 24 horas. La primera opción es la manual, es decir, comprobar las estadísticas de los emails regularmente y enviar el código de descuento a quienes hayan abierto tu mensaje. No suena muy rápido, ¿verdad? La segunda opción es automatizarlo con webhooks, que enviarán el descuento a cualquiera que abra tu email.