Plan de Acción Europeo sobre Ciberseguridad e Inteligencia Artificial

Después de que Estados Unidos publicase hace un mes La Orden Ejecutiva de la Casa Blanca para promover Innovación en IA Avanzada y Seguridad para protegerse de, y con, la IA la Unión Europea ha hecho un movimiento similar con el "EU Action Plan on Cybersecurity and Artificial Intelligence" que ha sido publicado esta misma semana, y que muestra, más o menos, las mismas preocupaciones y similares acciones, además de la preocupación por contar con las capacidades a nivel Europeo.

Figura 1: Plan de Acción Europeo sobre Ciberseguridad e Inteligencia Artificial 

El primero de los puntos que destaca es el relativo a las medidas de seguridad de los modelos de IA, para conocer los riesgos que implica su uso basados en el Modelo de Riesgos del AI ACT que publicó la Unión Europea hace tiempo.

Figura 2: Modelo de Riesgos del AI Act

Se trata de saber cuál puede ser el riesgo asociado a un modelo de IA que se utilice en caso de uso críticos, y conocer cómo puede impactar una vulnerabilidad del modelo de Jailbreak, Misalignment, Hallucination o BIAS al funcionamiento de cualquier servicio digital que lo use.

Figura 3:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

El objetivo es poder evaluar los modelos y generar durante Q4 una guía de qué modelos deben ser utilizados y para qué, con el objetivo de mejorar las capacidades de Europa en materia de Inteligencia Artificial de una manera segura. 

Figura 4: Factsheet - Action Plan on Cybersecurity and Artificial Intelligence

El siguiente de los puntos está dirigido a garantizar el Acceso a Modelos de IA para Ciberseguridad, con lo que la Agencia de la Unión Europea para la Ciberseguridad (ENISA) trabajará en definir un plan europeo para el acceso estructurado a capacidades avanzadas de IA para la ciberseguridad. Estas orientaciones servirán para que las organizaciones europeas pertinentes, tanto públicas como privadas, puedan acceder a modelos avanzados de IA.

Figura 5: Factsheet - Action Plan on Cybersecurity and Artificial Intelligence

Como se puede ver, no solo se trata de tener asegurado el acceso a Modelos de IA para Ciberseguridad, pensando en capacidades Red Team o Purple Team, que permitan descubrir y vulnerabilidaes y gestionar incidentes de seguridad, sino también pensando en arreglarlas con plataformas de Patching to match AI-Speed, o lo que es lo mismo, plataforma de Patching con IA - como la que ha desarrollado la empresa Plexicus, que fundó José Palanco,  de la que tanto os he hablado.

Figura 6: Plexicus parchea con IA los bugs descubiertos

Con estas dos visiones, el Plan de Acción de la UE sobre Ciberseguridad e Inteligencia Artificial propone probar la IA aplicada a la ciberseguridad, para lo que ENISA y el Centro Común de Investigación de la Comisión crearán una plataforma segura para probar la IA aplicada a la ciberseguridad, lo que incluirá el uso de entornos simulados. Esto proporcionará conocimientos técnicos sobre el uso seguro de la IA a los operadores de sectores críticos, como el financiero, el energético, el sanitario, el del transporte y la administración pública, así como benchmarks que permitan entender mejor las capacidades de cada uno de ellos.

Por supuesto, estas pruebas, evaluaciones, y decisiones sobre modelos de IA, tienen como objetivo que las empresas europeas y los gobiernos puedan reforzar la ciberseguridad de la UE y subsanar las vulnerabilidades, La UE debe proteger sus infraestructuras críticas frente a las vulnerabilidades derivadas del posible uso indebido de estas tecnologías, y recuerda que las organizaciones deben reforzar las prácticas de ciberhigiene, las medidas de gestión de riesgos y los principios de «seguridad desde el diseño». 

Figura 7: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso,

Para ello urge a las organizaciones a que empiecen a utilizar las capacidades de IA ya disponibles, para identificar y subsanar las vulnerabilidades con mayor rapidez, así como para prevenir y responder a los ciberataques. Es decir, acción ya, que ya tenemos muchas capacidades de hacking y pentesting con IA.

Figura 8: Estimular el mercado de soluciones de Ciberseguridad

basadas en IA y construir capacidades con modelos frontera de IA.

Para hacer esto, el plan quiere lograr estimular el crecimiento del mercado europeo, mediante lo que se ha llamado el «Gran reto de la UE sobre IA para la ciberseguridad». Este concurso quiere reunir a empresas, investigadores y organizaciones con el objetivo de desarrollar soluciones de inteligencia artificial para la ciberseguridad, ya que considera que la UE debe seguir invirtiendo en el desarrollo de sus propias capacidades soberanas avanzadas de IA, aprovechando la infraestructura proporcionada por las factorías de IA y las futuras gigafactorías. 

Por último, este plan recuerda todas las demás iniciativas regulatorias y demandas de aplicación de medias que la UE está haciendo para impulsar la transformación digital con inteligencia artificial y la seguridad de toda la unión. para ello, recuerda que el Reglamento de IA exige evaluar y mitigar los riesgos derivados de los modelos de IA, mientras que el Código de buenas prácticas para la IA de uso general especifica con mayor detalle estos requisitos. 

Figura 9: Gestión de riesgos sistémicos de seguridad

en el Código de buenas prácticas para la IA.

Todo este plan dará comienzo a partir del próximo 2 de Agosto de este año, y además recuerda que el Reglamento de Ciberresiliencia, que será de obligada aplicación a finales de 2027, exige que los productos de hardware y software incorporen la seguridad desde el diseño, junto con el resto de directivas de seguridad que la UE ha aprobado para los diferentes sectores industriales. 

En definitiva, todo el mundo está preocupado por el impacto directo que la Inteligencia Artificial tiene en la Ciberseguridad, y el impacto que la Ciberseguridad tiene en el despliegue seguro de la Inteligencia Artificial. Dos areas de tecnología que se han visto transformadas y unidas de manera muy especial.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

El Plan del Verano: Agentic Only & Sport

No soy de los que desconectan en verano tanto como que se me lleguen a olvidar las contraseñas. Primero porque como os he dicho muchas veces, pagaría por trabajar en lo que trabajo, y segundo porque siempre tengo un plan de cosas que quiero estudiar, probar o hacer. De hecho, los días de verano son días que recuerdo con mucha ilusión porque son días donde tengo más tiempo para jugar con la tecnología, no solo pensando en el trabajo, sino en lo que me apetece descubrir, muchas veces inútil más que para satisfacer mi curiosidad personal.

Figura 1: El Plan del Verano "Agentic Only & Sport"

También es periodo de subir un poco más la intensidad de la lectura para actualizar el cerebro. Y sí, disfrutar de ese poco más de tiempo para aprovechar y hacer más deporte. Si lo miro con calma, al final, nada de lo que planifico - excepto piscina y  hamaca si lo hay suerte - no es nada que no haga todos los días del año habitualmente, solo que con un poco más tiempo, lo que me deja muy contento.

Por supuesto, todos los días, absolutamente todos los días, me gusta conectarme con los asuntos del trabajo, por si hubiera algo urgente o que demandara mi implicación, así que, dentro de mis rutinas mañaneras está revisar todo lo que tengo, igual que hago con mis asuntos personales de facturas, bancos, mensajes, etcétera. Soy un tipo que hace cambios en su vida para meterlos en las rutinas.

Dicho esto, este verano lo siento diferente.

Por supuesto tengo la lista de todas las cosas anteriores que os he dicho que me gustaría hacer, libros, proyectos en los que enredar, y deporte que me gustaría practicar, pero este año, tengo la sensación de que es el año en el que menos debo despegarme de la actualidad tecnológica. No lo hago nunca, pero la velocidad a la que va todo el mundo de la tecnología, especialmente en nuestra profesión, donde la ciberseguridad, el hacking, el pentesting y la inteligencia artificial están cambiando el panorama cada día, me genera esa pequeña ansiedad de que si me parpadeo largo, me pierdo algo importante que debo conocer.

Ya os conté en otro artículo que siento que la velocidad mató al impostor, y esta es una sensación personal que me tiene con esa excitación de que sabes que no puedes llegar a todo, pero aún así no piensas dejar un ápice de energía sin gastar en aprender todo lo nuevo. Así que para este verano tengo mi propio "hackathon" personal en la construcción de cosas solo en base a Agentes IA. Mis proyectos personales Agentic Only. No puedo dejar de pensar en cosas que se hagan solo con Agentes IA. 

Tengo anotadas muchas ideas en mi To-do List centradas en Agentic Only, con la cabeza explotándome. Sueño hasta con esos proyectos. Y no, no tienen que ver todos con Ciberseguridad y Hacking. La disrupción social y laboral es tan grande, que se me ocurren estas cosas para todo, así que veremos que filtra mi cabeza durante este verano. 

Lo maravilloso del mundo de la tecnología es que puedes cambiar de tercio, de proyecto, de área de interés intelectual y desconectar de una cosa para liberar la mente, pero al mismo tiempo seguir aprendiendo cosas de tecnología con otros proyectos de interés personal. Es un mundo en sí, en el que entré de pequeño y del que no he salido ni creo que salga, durante toda mi vida. 

Sí, ha habido periodos en los que conecté más con el deporte en el mundo abierto y menos con la tecnología, pero hace años que aprendí a balancear las dos cosas, y eso me ayuda a tener una vida mejor.  Sigo sin cambiar una cerveza con un amigo por un gadget, pero porque sé balancear las cosas en mi vida. Y mi plan para este verano tiene de todo, pero aprender cosas nuevas, y hacer cosas nuevas con la tecnología, por supuesto.

 ¿Y tú, qué has metido tú en tu plan?

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Cómo Green Motion Car Rental consigue clientes por precio y les "vende" seguros cuando no tienen elección

Tengo a mi hija mayor haciendo el Interrail, en mitad de Europa, así que cuando me sucedió este caso con la compañía Green Motion Car Rental, primero pensé en dejarlo pasar, pero luego pensando en qué hubiera pasado si en lugar de hacérmelo a mí, se lo hacen a una adolescente como mi hija, así que decidí pelear algo que me parece una técnica de venta casi rozando la extorsión, y por tanto, os lo cuento por aquí.

Figura 1: Cómo Green Motion Car Rental consigue clientes por precio

y les "vende" seguros cuando no tienen elección

Este año estoy viajando bastante, y tengo que, puntualmente, alquilar coche con las compañías que ya os imagináis habituales, y he tenido alguna experiencia curiosa con alguna de ellas, pero esta ha rozado la extorsión, así que por si es una práctica habitual, os la cuento. Yo voy a empujar hasta que esta situación se arregle, que tengo tiempo libre y ganas de hacerlo. Os cuento la historia.

Alquilar un coche con Car Rental en Portugal

Todo comienza con el deseo de alquilar un coche en Lisboa, y para ello utilizo una plataforma que consolida todos los servicios de alquiler de vehículos y más servicios para viajes en todo el mundo. Y al seleccionar en Portugal me encuentro un servicio muy económico, así que, como era en "casa" decido probarlo. No hay riesgo, estoy en mi casa, así que hago esta reserva.

Figura 2: Car Booking en la plataforma

No está mal el precio. Excesivamente barato, así que supongo que tendrá algún coste de seguro, pero para tres días, ¿qué puede costar? Al final, estos vehículos deben tener un seguro a todo riesgo que ellos revenden, así que no puede ser muy alto. En las condiciones de contratación, tengo la siguiente información.

Figura 3: Quizá tenga que comprar un seguro obligatorio

Bueno, hasta aquí todo normal siguiendo el proceso habitual de alquilar coches - que ya llevo algunos alquilados -, así que nada. Llegado el día, me voy a la compañía Green Motion Rental Car en Lisboa, para recoger el vehículo. 

Figura 4: Greem Motion Car Rental

Cuando llega el momento de pagar el coche, la persona que me atiende me entrega una hoja escrita a mano, que os dejo a continuación, y me dice que me va a bloquear 2.700 € en la tarjeta de crédito, con lo que me quedo ojiplático.

Figura 5: Documento con el que me querían bloquear 2.700 €

Primero, el coste de los 84,64 € ya no coincide con los 85,07 € que me pasa, pero después me dice que me bloquea 300 € por gasolina y 2.400 € de fianza. Por supuesto, no sé qué depósito de SIN 95 en Portugal necesita 300 € para llenarse, pero os aseguro que el del coche que me dieron que fue un Citroën no es el caso. Y en segundo lugar, que me digan que me bloquean 2.400 € de fianza por el coche me parece una salvajada para un servicio de 85 €. 

A pagar, no queda otra, que estoy de viaje sin alternativas

Por supuesto, entiendo que me ofrezcan varias opciones de seguro, con y sin franquicia, pero que me digan que el servicio son 85,07 € y que luego me bloqueen 2.400 € es una salvajada. Por supuesto, no podía dejar bloqueados 2.700 € con la fianza de la gasolina (una salvajada que sea más del 100% del valor del depósito) porque no tenía ese límite en la tarjeta de crédito - y como yo mucha gente -, así que me vi forzado a pagar el seguro.

Figura 6: El cliente "decidiu fazer o seguro devido achar alto o valor de 2.400 €"

Como si hubiera tenido una elección. Pero lo más divertido es que pedí información de las otras tres opciones, y me dijo que no, que él me las contaba, y que una vez que pagara, me daba una factura. Pedí una factura Pro-Forma con todos los datos de lo que incluía y me dijo: "No, cuando pagues te doy la factura".  Así que, tenía la opción de comérmelo y pagar a ciegas, o quedarme sin coche. Por lo que tuve que pagar el servicio con un coste de 317.99 € más el bloqueo de 300 €.

Figura 7: Pago final del alquiler con los seguros

Por supuesto, le dije que me parecía mal que no hubieran enviado esas opciones en el proceso de realizar el booking, porque una vez el cliente en el mostrador, si no tienes 2.700 € para bloquear en tu tarjeta, te dejan sin poder tomar la alternativa de contratar el coche en otra compañía. Así que, el proceso es engañoso. No puedes vender un servicio por 1 € y luego cuando el cliente venga a recogerlo decir que tienes que hacer un bloqueo de 10.000 € ... o pagar 100 €, porque entonces debes dar clara esos costes ocultos de manera clara al cliente y no con un "puede tener que contratar un seguro", que es lo único que dicen.

Figura 8: Me entretuve en ponerle una queja oficial aunque tenía prisa.

Como ya sé que estas cosas en la Unión Europea son claras para los comercios, decidí ejercer mi derecho a reclamación, y rellené una queja oficial. Además, he puesto otra queja a la plataforma - porque es ahí donde contraté el servicio y donde debería estar clara toda la información, y estoy siguiendo el proceso de poner una queja a Consumo en Portugal. No se trata de que el servicio sea caro o barato, sino que es traposo el proceso y deja al usuario sin capacidad de maniobra en mitad de un viaje.

Figura 9: Conversación con la plataforma

En definitiva, este proceso tine muchas cosas que mejorar, y alguna que otra trampa por el camino, que os dejo por aquí en forma de reflexión:

• Pagar con seguro un precio de alrededor 100 € día de un coche de alta gama por día me parece un precio normal, así que no es por el coste total del coche.

• Usar un precio muy barato para salir en las listas de las plataformas con luego una fianza de 2.400 € es tramposo. Busca tener al cliente asegurado para terminar el proceso de venta - una vez forzado por estar de viaje - cuando el cliente no tiene margen de alternativa.

• Hacer el proceso de venta con una hoja de papel obligando a pagar sin ver las condiciones de los seguros y lo que están cobrando, es ilegal. Negarse a dar una factura Pro-Forma es ilegal. Esto es algo que pienso seguir peleando con ellos.

• Cobrar 300 € que es más que el coste de la gasolina, no cumple la regulación tampoco según me he informado con los abogados, así que también voy a pelearlo.

• Que la plataforma, que es el lugar de contratación no informe de estos costes tampoco cumple la regulación europea, así que necesito perseguir a los dos y ver quién está haciéndolo mal. La plataforma a la hora de integrar datos de un tercero, o un tercero integrándose en una plataforma de manera "tricky". Os contaré lo que descubro.

Ya os contaré como termina todo esto, que apunta a ser otro proceso divertido, y este año, además del que os he publicado ya con el vino, llevo alguno más. Viajar es lo que tiene, mucha diversión.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Anthropic Cyber Jailbreak Bug Bounty & Severity Framework (Para Fable o "Mythos")

Anthopic ha puesto otra vez de regreso Fable, con mejores protecciones para evitar técnicas de Jailbreak que permitan que los usuarios consigan las capacidades de exploiting avanzadas que este modelo tiene en común con Mythos. Fue por culpa de uno de estos Jailbreaks que Fable fue baneado por el gobierno para evitar que "malos actores" pudieran utilizarlo para hacer el "cosas malas", y con este regreso al mercado, se han incrementando las medidas de seguridad.

Figura 1: Anthropic Cyber Jailbreak Bug Bounty &

 Severity Framework (Para Fable o "Mythos")

Para ello han abierto un Bug Bounty de Cyber Jailbreak, que está publicado en HackerONE, una de las plataformas utilizadas por los hackers & Security Researchers para reportar de forma responsable sus vulnerabilidades y ser recompensados por ellas.

Figura 2: Anthropic Cyber Jailbreak

Utilizar estas plataformas es algo que los Security Researchers utilizan habitualmente, como se explica en el libro de Bug Hunter, lugar donde las empresas tienen confianza para evitar sorpresas desagradables con investigadores. 

Figura 3:"Bug Hunter" escrito por David Padilla en 0xWord

Este es un gran cambio en la importancia de las técnicas de Hacking IA, donde el Jailbreak "no era tan importante", como podemos aún ver en el Bug Bounty de ChatGPT, donde puedes reportar bugs, pero dentro de su programa "aún" no entran los relativos a Jailbreak.

Figura 4: Bug Bounty de OpenAI - No Jailbreaks

Sin embargo, las técnicas de Jailbreak son muy poderosas a la hora de valorar la seguridad de un modelo de Inteligencia Artificial, puesto que amplia las capacidades que un atacante tiene simplemente por tener acceso a un modelo vulnerable a una técnica de Jailbreak, algo que con la búsqueda avanzada de bugs y la generación de exploits complejos ha demostrado ser de primera necesidad.

Figura 5: Resultados empíricos de Exploitbench donde Mythos destaca

En los artículos de "ExploitBench: Un benchmark para medir las capacidades de Agentes IA en la explotación de bugs" y "ExploitGym: Mythos, GPT 5.5, Gemini Pro en un CTF & Benchmark de hacer exploits" se pude ver cómo las capacidades de Mythos son muy diferenciales con respecto al resto a la hora de vulnerar sistemas creando exploits.

Figura 6:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

En la comunidad de Security Researchers, las técnicas de Jailbreak han sido muy importantes desde casi el primer día que se descubrieron estas capacidades, porque es fácil ver el riesgo real al que puede llevar que un atacante tenga de colaborador malicioso a un modelo de frontera, y por eso es un tema tan importante en el libro de Hacking IA que publicamos hace poco.

Anthropic Cyber Jailbreak

Para medir el impacto de estas técnicas de Jailbreak, el equipo de Anthropic ha creado el Cyber Jailbreak Severity Framework que define una serie de métricas en función de varias características de la técnica reportada por el programa de Bug Bounty.

Figura 7: Discoverability, o "es tuyo o es conocida"

Por supuesto, primero miden la "Discoverability" o lo que es lo mismo, quién la reporta, cómo se descubrió y cuanto de conocida es esta técnica. El segundo de los indicadores del framework es lo que llama la "Facilidad de Weaponizar", o si esta técnica se puede automatizar fácilmente y convertir en un framework, una aplicación o una API. 

Figura 8: Facilidad de Weaponización

Ejemplos de estos hay muchos, como los ejemplos recientes que os publicaba yo con los Asistentes de IA donde se puede weaponizar el consumo de Tokens, o la técnica de PXPIPE que os contaba ayer donde se Weaponiza el uso de imagénes para reducir los costes de Claude en Tokens. No es lo mismo que haya que ser un experto, o que se pueda construir un herramienta que funciona de manera consistente para explotar el Jailbreak. 

Figura 9: Amplitud de nuevas capacidades abiertas con el Jailbreak

El siguiente indicador de la técnica de Jailbreak es el que mide la cantidad de nuevas capacidades que abre el uso de esa técnica. Es una técnica que sirve sólo para un Prompt, un tipo de Prompts, o para todas las cosas que se le pidan después. Esto es muy relevante, por supuesto.

Figura 10: Tipos de capacidades conseguidas

Y por supuesto, el modelo está protegido por diferentes tipos de categorías, así que conocer qué capacidades en concreto son las que se obtienen con la nueva técnica de Jailbreak reportada, es fundamental.

Figura 11: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso,

Con este Cyber Jailbreak Severity Framework lo que Anthropic acaba de poner es una forma de medir las técnicas de Jailbreak que se están publicando, porque en muchos papers de estas las únicas validaciones de impacto son contra datasets y benchmarks de Prompts y Categorías bloqueadas, y ahora va a ser más fácil entender el impacto real de cada una de ellas.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

"pxpipe" Un proxy para insertar Prompts y Contexto en imágenes y ahorrar (muchos) costes en tokens de Claude [u otros]

Los costes de los Tokens en los últimos modelos de IA empiezan a crear una nueva brecha entre las empresas y ciudadanos que tienen acceso a Tokens de modelos Frontera como Claude Fable sin límites, y aquellos que están sujetos a las limitaciones presupuestarias y tienen que usar modelos más económicos - o menos potentes -, lo que puede ser una diferencia de capacidades y de resultados para las empresas y las personas en el acceso a la Inteligencia Artificial. 

Figura 1: "pxpipe" Un proxy para insertar Prompts y Contexto en

imágenes y ahorrar (muchos) costes en tokens de Claude [u otros]

Para amortiguar este impacto, ya os hablé en el artículo de "Cómo optimizar el gasto en IA con arquitecturas clasificadas, orquestadas y/o destilación. El problema de la Predictibilidad de los Costes de la IA" sobre cómo diseñar arquitecturas de software con orquestación de modelos, elección de algoritmos y destilación de conocimiento en productos y servicios que utilicen LLMs para funcionar. Además, en ese artículo os dejaba algunas recomendaciones en la reducción de Tokens que genera el modelo, para evitar costes innecesarios.

Figura 2: Cómo optimizar el gasto en IA con arquitecturas clasificadas, orquestadas

y/o destilación. El problema de la Predictibilidad de los Costes de la IA.

Sin embargo, acceder a estos últimos modelos, sobre todo con la aplicación de MM-LLMs para todo los Agentes IA para el Red Team, o para los servicios más modernos, sigue siendo una necesidad y las ideas para optimizar este consumo sin degradar el servicio siguen apareciendo. Esta última que os cuento es pxpipe, un proxy local que hace algo muy ingenioso.

Figura 3: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso,

Convierte tu Prompt y tu contexto en una imagen que se envía a Claude y que hace que los costes del uso de este LLM se reduzcan, gracias a que el coste de procesar las imágenes es fijo en función del tamaño en píxeles de la misma, y se puede lograr un ratio de 3 a 1 metiendo el texto de tu Prompt y tu Contexto de entrada en imágenes. Pero hace lo mismo en la salida, generando imágenes con los tokens de respuesta metidos en una imagen, lo que reduce también el coste.

Figura 4: Pxpipe en GitHub

Así de sencillo, y así de ingenioso. Además, como funciona como Proxy, es una solución perfecta para las apps móviles que usan LLMs con Proxys en el Backend, donde sólo hay que añadir el uso de pxpipe en ese Proxy para conseguir la reducción de costes. 

Figura 5: Imagen hecha con pxpipe con todo el Prompt y Contexto

(Click en la imagen para ver en grande)

En el proyecto, que lo tienes publicado en GitHub, tienes un par de vídeos de ejemplos, donde puedes ver dos sesiones en paralelo. En esta primera comparación, tienes los Tokens de entrada, los Tokens de salida, y el coste del proyecto de una sesión Claude Fable normal.

Figura 6: Demo 1 con y sin pxpipe

La misma sesión, utilizando pxpipe, reduce los costes a menos de un tercio, y consigue los mismos resultados, inyectando sólo un poco más de tiempo en el análisis de la imagen con los datos de entrada y procesando los datos de salida en una imagen.

Figura 7: Sin usar pxpipe cuesta 42.21 USD

Y en esta imagen, lo mismo pero con pxpipe de por medio, donde el coste es poco más de seis dólares para hacer el mismo trabajo, lo que es una diferencia muy significativa.

Figura 8: Mismo trabajo con pxpipe

Este "hack" de optimización se salta la política de costes del modelo, pero realmente no está haciendo nada prohibido, sino aprovechar los sistemas de tarificación y las capacidades de los modelos, pero es de suponer que como esta práctica se empiece a extender, simplemente cambiarán la política de tarificación en estos casos.

Figura 9: Demo 2 de pxpipe

En esta segunda demo que tenéis en vídeo, el resultado pasa de 12 USD a menos de 1 USD, lo que también es una reducción significativa. En el GitHub de pxpipe tenéis diferentes tablas y comprobaciones, pero lo puedes hacer tú. Es tan fácil como correr en local el proyecto y usar tu OpenCode a través de él para poder calcular lo que te consume y cómo funciona.

Figura 10: Límites de gasto en Cloudflare AI Gateway

Este es un buen "hack" de IA, pero donde más duele, a la parte económica. No obstante, si lo que quieres controlar en tu empresa el uso y los costes que hacen los usuarios en los modelos, en Cloudflare AI Gateway tienes límites de presupuesto y observabilidad de los costes en todo momento, algo que te va a permitir evitar "sustos" indeseables.

Figura 11: Cloudflare AI Gateway - Identity & Costs

Tienes toda la información sobre cómo funciona Cloudflare AI Gateway para el control de gastos en el artículo: "Your AI bill is out of control. Cloudflare can fix it now."

Figura 12:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

Como podéis ver, esto va my rápido, pero entender bien todos los detalles, los controles, y los límites de funcionamiento de cada capacidad que te dan los modelos de IA es fundamental. Si tus servicios digitales dejan que tus modelos queden malamente expuestos, podrás ser tú el que pague los costos de otros, como vimos con las apps móviles y con los asistentes digitales inseguros.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Código de Rebajas de Verano 2026 en 0xWord: Cupón VERANO2026 10% descuento. (más lo que tengas en Tempos)

Ya tenemos activo el Código de Rebajas de Verano: VERANO2026 en 0xWord, que  hasta las 23:59:59 del 15/07/2026 tiene un descuento que da un 10% de reducción de precio en todos los productos de la tienda de 0xWord.com. Es tan sencillo como incluir en el proceso de compra el código VERANO2026 para obtener un 10% de rebaja en el precio, y además, como te cuento en este artículo, tienes también otras formas de conseguir más ahorros utilizando tus Tempos de MyPublicInbox.

Figura 1: Código de Rebajas de Verano 2026 en  0xWord.com.

Cupón 10% descuento: VERANO2026

y descuentos con Tempos de MyPublicInbox

El código descuento, ya está disponible, así que si lo utilizas tendrás un descuento del 10% en todo el material de 0xWord en la tienda. Incluido el merchandising de Cálico Electrónico, los Packs Oferta, los VBOOKs, los cómics de EVIL:ONE en 0xWord Comics, las novelas en 0xWord Pocket o los nuevos de 0xWord Brain.

Figura 2: Consigue los últimos libros de 0xWord con descuento

Pero además, tienes formas de incrementar los descuentos de 0xWord, utilizando tus Tempos de MyPublicInbox, que puedes usar de dos formas diferentes. 

Figura 3: Compra tus libros de Hacking en 0xWord

Enviando Tempos a 0xWord y consiguiendo un descuento extra o canjeando un código descuento de 0xWord por Tempos de MyPublicInbox.  Aquí te explico cómo se hace.

Enviar tus Tempos a 0xWord y recibir el descuento

La idea es muy sencilla, hemos creado un Buzón Público de 0xWord en MyPublicInbox y tenemos disponible el módulo de transferencias de Tempos entre cuentas siempre que el destinatario sea un Perfil Público de la plataforma. Para que se puedan hacer estas transferencias, primero debe estar el Perfil Público destinatario de la transferencia en la Agenda.

Figura 4: Perfil de 0xWord en MyPublicInbox. Opción de "Añadir a  la Agenda".
https://MyPublicInbox.com/0xWord

Para dar de alta un Perfil Público en tu agenda, solo debes iniciar sesión en MyPublicInbox, y con la sesión iniciada ir a la web del perfil. En este caso, a la URL del perfil público de 0xWord en MyPublicInbox, - https://MyPublicInbox.com/0xWord - donde te aparecerá la opción de "Añadir a la agenda". Cuando acabe este proceso, podrás ir a la opción Agenda de tu buzón de correo en MyPublicInbox y deberías tener el Perfil Público de 0xWord allí.

Figura 5: Cuando lo agregues estará en tu agenda

Una vez que lo tengas en la agenda, ya será tan fácil como irte a tu perfil - se accede haciendo clic en la imagen redonda con tu foto en la parte superior - y entrar en la Zona de Transferencias. Desde allí seleccionas el Buzón Público de 0xWord, el número de Tempos que quieres transferir, y en el concepto debes poner que es para recibir un código descuento para usar en la tienda de 0xWord.

Figura 6: Zona de Transferencias en el Perfil de MyPublicInbox

No te preocupes por el texto concreto, porque los procesamos manualmente como los pedidos de se hacen en la tienda. 

Canjear 500 Tempos por un código descuento de 5 €

La última opción es bastante sencilla. Solo debes irte a la sección de Canjear Tempos -> Vales para Tiendas, y "Comprar" por 500 Tempos y código de 5 €. Es lo mismo que enviar la transferencia pero en un paquete de 500 Tempos y de forma totalmente automatizada, así que solo con que le des a comprar recibirás el código descuento y lo podrás utilizar en la tienda de 0xWord.com

Figura 7: Canjear Tempos por Códigos para libros de 0xWord

Así que, si quieres conseguir nuestros libros durante este VERANO2026, entre el código de descuento VERANO2026 y los Tempos de MyPublicInbox podrás hacerlo de forma muy sencilla y mucho, mucho, mucho más barata. 

Figura 8: Compra tus libros de Hacking en 0xWord

Y así apoyas este proyecto tan chulo que es 0xWord.com, donde como ves, nos esforzamos por tener libros técnicos chulos en Español.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)