Curso de Hacking Ético: "De 0 a Hackear Aplicaciones" disponible en Youtube

Supongo que muchos visteis anunciado en algún sitio, y hoy quería avisaros de que lo podéis ver en Youtube, en un largo vídeo de más de 4 horas. Para que veas las partes del curso de The Big School que hicimos Mario Álvarez, Thomas O´Neil , Gorka El Bochi y yo mismo.

Figura 1: Curso de Hacking Ético: De 0 a Hackear Aplicaciones

Este curso gratuito, que puedes ver aquí, es parte de un programa de máster que se hace online y bajo demanda más largo, donde además tendrás Tempos de MyPublicInbox, un chat conmigo en la plataforma, y libros de 0xWord, por si quieres seguir con esta andadura profesional.

Figura 2: Curso de Hacking Ético: De 0 a Hackear Aplicaciones

Como veréis en le vídeo, yo estaba en remoto desde San Francisco, y os publico esto desde la Praga, mientras que estoy esperando a subir al escenario, así que no os voy a quitar más tiempo de lectura con letras en el post.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Jornada Técnica para Democratización de la Inteligencia Artificial para PyMEs: Getafe 10 de Noviembre

El próximo 10 de Noviembre, tendrá lugar en el Centro de Referencia Nacional de Desarrollo Informático y Comunicaciones  de Getafe (Madrid), sito en la Avenida de las Arcas del Agua, 2, 28905 Getafe, (Madrid), y dónde yo he dado muuuuchas charlas, tendrá lugar un evento muy especial, que han llamado "Cara A y Cara B de la IA: De los Mitos a la Práctica", para ayudar a las PyMes y a los profesionales autónomos y de empresas de pequeño y mediano tamaño a tirarse de lleno al mundo de la IA.

Figura 1:Jornada Técnica para Democratización de la Inteligencia Artificial

para PyMEs - Getafe 10 de Noviembre.

El objetivo de esta Jornada Técnica es desmitificar la Inteligencia Artificial y acercarla a la realidad del tejido empresarial y los profesionales del sector IT de las PyMes, huyendo de los discursos catastrofistas o puramente teóricos. Por ello, la jornada contrastará las inmensas oportunidades y ventajas competitivas de la IA con la necesidad ineludible de aplicar rigor, ética, ciberseguridad y cumplimiento normativo. 

Figura 2: Agenda de la jornada

Si quieres saber más sobre cómo la IA puede beneficiar tu negocio, te invitamos a unirte a estas V Jornadas Técnicas del sector IT en el Centro de Referencia Nacional de Desarrollo Informático y comunicaciones. Allí, tendrás a expertos del campo como Manuel S. Lemos, José Palanco de Pléxicus, Kiko Gámez, mi compañera de Cloudfare Alba Massa, o mis queridas Irene Gómez y Elena Gil, junto con David Santiago y Noelia Reyes, que debatirán sobre cómo aprovechar la IA para mejorar las operaciones de las Pymes. 

Figura 3: Ponentes de la Jornada

Las plazas son limitadas, que si has estado en alguno de mis eventos allí, ya conoces que el auditorio es pequeñito, por lo que debes registrarte cuanto antes para guardar tu sitio. Allí tendrás, además, la ocasión de poder comprar los libros de 0xWord, y todos los asistentes que vayan ese día, tendrán 100 Tempos gratuitos de MyPublicInbox.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

CP Advantage 2026: En Praga el 5 de Noviembre

Últimamente estoy haciendo un esfuerzo de meter muchas cosas en la agenda para poder cumplir con las peticiones que he ido recibiendo, pero os garantizo que en Diciembre voy a realizar cero charlas, eventos o entrevistas. Eso sí, Noviembre me ha quedado "apretado", y si el día 3 de Noviembre, es decir, mañana, tengo la charla en el eCrime 2026 del Anti-Phishing Working Group en Lisboa, al día siguiente tomo un avión desde la capital de Portugal  para ir a Praga, que el día 5 de Noviembre estaré dando una charla en el evento de seguridad CP Advantage 2026, organizado por los amigos de CheckPoint para subir el nivel de los CISOS frente a los ciber-malos.

Figura 1: CP Advantage 2026. En Praga el 5 de Noviembre

Así que, si eres de esos Españoles por el Mundo, y estás por allí, puedes animarte y venir al evento, que tiene una agenda repleta de charlas de Hacking & Cybersecurity. La agenda está en el idioma local, pero las conferencias serán en inglés - creo (o por lo menos la mía seguro que sí) -, con temas muy chulos. Eso sí, tradúcelo para tener los detalles.

Figura 2: Agenda de CP Advantage 2026

Acabo de ver que me han puesto como "elitní hacker", así que más que agradecido por el detalle. Aunque los que venís a leer por aquí todos los días ya sabéis que sigo siendo el "josemaricariño" de siempre. Así que quedaros en la lista completa de speakers del evento y los temas que es espectacular.

Figura 3: Agenda de CP Advantage 2026

Por supuesto, el evento de CP Advantage 2026 tiene un montón de actividades extras, así que, si por un casual estás por allí, o si te pilla cerca y puedes pasarte, dale un vistazo. Y lo mismo nos vemos por allí y nos saludamos.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Cómo evitar fugas de documentos con un "DLP AI" para ficheros de imágenes con Cloudflare Workers AI y Clef

Estando en Argentina me preguntaron por una capacidad de los Guardarraíles para DLP de Cloudflare. "¿Cómo evitamos que los usuarios envíen documentos gráficos con DNIs, Pasaportes o tarjetas de Crédito?" La idea es sencilla, y no es una opción por defecto en muchos DLPs, pero es que hoy en día en los Guardarraíles, o en los WAF, o en el CASB de la plataforma de Cloudflare puedes hacer una llamada a un Worker y correr cualquier check que quieras, y con la llegada de los Modelos de Decisión como Cloudflare Clef, esto es muy sencillo de realizar.

Figura 1:Cómo evitar fugas de documentos con un "DLP AI" para

ficheros de imágenes con Cloudflare Workers AI y Clef

Así que le puse a mi "wingman" en Cloudflare, el gran Carlos Luengo, un audio que le decía algo así como "Su misión, en caso de aceptarla, consiste en hacer un Worker AI que reciba una imagen, la pase por Clef y nos diga si es un leak de un documento oficial (DNI o Passport) o una tarjeta de crédito." Así que nada, en lo que dura un ping a Cloudflare , con el Vibe Coding hizo una PoC llamada Visor muy sencillita.

Figura 2: Arquitectura de VISOR DLP AI con CLEF en Cloudflare

La arquitectura utiliza las piezas de Cloudflare para construir en el Edge, y la podéis probar vosotros mismos, ¿quién necesita una región en la cloud para esto cuando tienes Region Earth en Cloudflare? Utilizar Turnstile y Precursor para evitar los bots, luego un Worker para validar la imagen que sube, un Worker AI para hacer la ejecución de Clef, y el almacenamiento de imágenes para las pruebas en R2 y D1 para tener la información en tablas y un registro de las decisiones tomadas, que pueda servir para ajustar la configuración de las decisiones.

Figura 3: Explicación de la arquitectura de VISOR DLP AI con CLEF en Cloudflare

El resultado es VISOR, una web con la PoC muy sencilla, en la que puedes subir la imagen y probar la decisión. Sube imágenes fake creadas para esto que Internet está lleno, y en unos milisegundos tienes la respuesta en la misma web.

Figura 4: Prueba con DNI fake

Yo lo he probado con todo tipo de imágenes, y lo ha hecho muy bien, pero si quieres probar esto en tu entorno y antes testearlo - como hemos hecho nosotros - puedes hacer que procese batches, en nuestro caso lo hemos hecho con imágenes que hemos cargado con URLs desde búsquedas en la web, y el resultado es perfecto.

Figura 5: Pruebas con imágenes en Batch para pruebas.

La programación de este servicio en TypeScript es menos de un centenar de líneas, y lo puedes pedir a tu AI Coder favorito, que al final la llamada a CLEF (que es multi-modal y toma decisión con modelos de visión), es tan sencilla como está parte.

Figura 6: Llamada a Clef y clasificación de resultados

Y luego, una vez cargado el análisis - en este ejemplo hecho por mí solo he tenido en cuenta DNI y Pasaporte, pero puedes añadir el que quieras - tomas la decisión adecuada a cada uno de ellos.

Figura 7: Resultados de la clasificación con Clef.

Así que si quieres, puedes hacerte este Worker AI con Clef y meter este DLP en todos los puntos de control que desees. En el SGW, en el CASB, en el eMail Security, en los Guardrrailes, etcétera. La capacidad se puede consumir desde dónde tú quieras. Esta en el Edge mundial de Cloudflare, a 50 milisegundos en media en todo el mundo.

ç

Figura 8: Modelo de decisión Cloudflare Clef

Y si has entendido esta prueba, imagina la cantidad de controles de seguridad que puedes poner en todos los procesos de tu organización, y en todos los servicios digitales que tienes añadiendo checks de seguridad con Clef.  En este vídeo tenéis el proceso completo, y los valores devueltos por Clef para todas las imágenes en la prueba individual y en Batch.

Figura 9: Demo de Visor con Workers AI y Clef para DLP en imágenes

¿Se te ocurren controles de seguridad en llamadas telefónicas de tu Contact Center, en chats con clientes, en ficheros del sistema, en mensajes de email enviados y recibidos? A mí sí, y seguro que a ti también se te ocurren muchas ideas al respecto.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Shadow AI: Los datos de tu empresa que tus empleados enviaron a Servicios IA sin que tú lo supieras.

Hace unas semanas os hablé de en el artículo de "La Inteligencia Artificial está multiplicando los parches de seguridad ... ¿quién los va a instalar en tu PYME?" que el verdadero problema de la Inteligencia Artificial para una PYME no es el APT con el exploit sofisticado que les tumba, sino la gestión del volumen de parches que hay que instalar, y que no tiene a un responsable para ello.  Hoy quiero hablaros de otro problema igual de poco glamuroso y mucho más cercano, porque no viene de fuera. Ya está dentro de la empresa. Se llama la IA en la Sombra, o Shadow AI.

Figura 1: Shadow AI - Los datos de tu empresa que tus empleados

enviaron a Servicios IA sin que tú lo supieras.

Esto no es más que la versión actual del Shadow IT, pero llevada al mundo de la IA, donde nos encontramos con herramientas de Inteligencia Artificial que los empleados usan por su cuenta, sin que nadie las haya revisado ni autorizado. De eso habla hace poco Catalin en su artículo "Inteligencia Artificial en las empresas: Tres formas de uso. Tres niveles de control del riesgo." donde explicaba los peligros de las diferentes formas de utilizar la IA en la empresa.

Figura 2: Descubrimiento de uso de IA en la empresa

con el diagnóstico gratuito de IronGate

Un Asistente IA de chat con la cuenta personal, una extensión del navegador que resume lo que aparece en pantalla, un asistente de notas conectado al calendario que entra sólo en todas las reuniones. Nadie lo hace con mala fe, lo hacen para trabajar mejor. Pero para dar una respuesta útil, una IA necesita contexto, así que recibe contratos, hojas de clientes, informes internos o conversaciones completas. Datos privados de la empresa.

Figura 3: Recomendaciones de "Cost of Data Breach"

Y el problema ya se puede medir. Según el informe de "Cost of a Data Breach Report 2026" de IBM, el porcentaje de incidentes de seguridad con Shadow AI pasó del 20% al 43% en un año, y esos incidentes costaron de media 5,39 Millones de USD. Aun así, el 68% de las organizaciones que sufrieron una brecha NO tenía gobierno de la IA para gestionarla ni para detectar su uso no autorizado.

El consejo que no funciona

La recomendación de todas las guías es «no subas información sensible», y casi nadie la cumple, con razón. Si quieres que una IA revise un contrato y le quitas las partes, los importes y las fechas, el análisis ya no sirve. Y nadie va a pasarse una hora tachando datos antes de cada consulta. Lo que ocurre es que la gente sube el documento entero y no lo dice. La pregunta útil no es qué información subes. Es dónde la subes.

Subir no es entrenar, y al RGPD le da igual

Cuando adjuntas un documento a un Asistente de IA en la nube, sale de tu equipo y se procesa en los servidores de un tercero, tanto en la versión gratuita como en la de pago. Lo que cambia entre planes es lo que pasa después: si pueden entrenar con tus datos, cuánto tiempo los guardan y si puedes auditarlos o borrarlos. Por eso «no entrena con tus datos» no significa «tus datos no salen de la empresa».

Figura 4: ironGate Cybersecurity - Security Operations Center (SOC)

para PyMes, Autónomos y Particulares

Y al Reglamento General de Protección de Datos tampoco le importa si entrenan. Le importa que un dato personal ha salido de tu organización hacia un tercero que pasa a ser encargado del tratamiento, y eso exige un contrato firmado (artículo 28). Con una cuenta personal ese contrato no existe: el proveedor ni siquiera sabe que tu empresa existe.

Prohibir no funciona

La reacción habitual es vetar la IA. En la práctica, la gente sigue usándola desde el móvil o desde casa, y la empresa deja de ver lo que pasa. Prohibir no reduce el riesgo: lo vuelve invisible. La IA en la Sombra aparece cuando la herramienta oficial es peor que la que cada uno se busca, o cuando no hay ninguna. Por eso es un problema de gestión antes que de seguridad.

Lo que funciona es un método de tres pasos:

1.- Descubrir qué herramientas se usan de verdad.

2.- Clasificarlas: autorizada, pendiente de revisar o no autorizada.

3.- Gobernar con una norma de una página, formación del equipo y revisión periódica.

Y el mensaje al equipo cambia. Hemos pasado de «no subas nada sensible», sino «sube lo que necesites, pero solo aquí». Porque los empleados de hoy van a utilizar todos IA en su trabajo sí o sí, se la des tú disponible, o se la tengan que agenciar.

Figura 5: Gobierno de la IA en la empresa

De todo esto hemos hablado en IronGate, donde además hemos dejado una tabla de diferencias entre una cuenta personal y una herramienta de empresa y el método paso a paso para gestionar el Shadow AI en la PyME que merece la pena leer entero. 

Figura 6: Solicita un Diagnóstico gratuito a IronGate Cybersecurity

Si queréis saber qué herramientas de Shadow IA hay en los equipos de tu organización, desde IronGate ofrecemos un diagnóstico gratuito para descubrirlas todas ellas. Así que la pregunta que yo os haría hoy no es si tus empleados usan IA, que casi seguro que sí. La pregunta correcta es:

¿Sabes qué herramientas, y dónde están subiendo tus empleados hoy los documentos de la empresa?

Saludos,

Figura 7: Contactar con Ricardo Fúster.

CEO y Fundador de IronGate CyberSecurity

SecAdmin 2026 - La CON de Hackers, Ninjas y Samurais en Sevilla el 27 y 28 de Noviembre

Los días 28 y 29 de Noviembre va a tener lugar en Sevilla, una nueva edición de la ya veterana CON de hackers, samurais y ninjas... SecAdmin 2026, donde como siempre hay un agenda llena de ponencias más que interesantes, y en la que tendrás también talleres, un CTF (Capture The Flag) y actividades paralelas que te permitirán disfrutar y aprender. Además, tendrás un stand de libros de 0xWord para poder comprar tus libros - y si quieres usar tus Tempos de MyPublicInbox -.

Figura 1: SecAdmin 2026 - La CON de Hackers, Ninjas

y Samurais en Sevilla el 27 y 28 de Noviembre 

Entre la lista de ponentes, que puedes consultar en la web del evento, tienes al gran Pedro Candel "S4ur0n",  al ya "veterano" Jorge Coronado "WebSec", el más majo que las pesetas Josep Albors, entre otros. Tienes la agenda a continuación:

Figura 2: Agenda de SecAdmin 2025

Para asistir, puedes comprar las entradas en la URL donde las puedes conseguir ahora por 40 €, pero si tienes 100 Tempos de MyPublicInbox - o los consigues gratis en la plataforma - puedes ir a Convierte tus Tempos por un código descuento del 10% en el precio de la entrada. 

Figura 3: Consigue un 10% de descuento en MyPublicInbox

Para redimir el código, lo único que tienes que hacer es añadir tu entrada al carrito y antes de finalizar la compra, introducir el código proporcionado en el campo "código de cupón" y pulsa en "Aplicar cupón" de ese modo podrás obtener tu entrada con descuento. Esta entrada da acceso a los talleres, que tienes aquí en la web, por lo que puedes pasarte dos días disfrutando de hacking en Sevilla. 

Figura 4: Contactar con Adrian Ramírez "Dolbuck", fundador de SecAdmin 

  

Además, habrá la ocasión de conseguir los libros de 0xWord allí, así que si los quieres reservar, cómpralos por anticipado en nuestra tienda online, y cuando llegues allí los tendrás preparados y reservados - y firmados y dedicados si quieres -. Y  tanto para usar en los libros, como para el descuento de la entrada, tienes una campaña en MyPublicInbox patrocinada por SecAdmin 2025 que te va a dar 50 Tempos gratis.

Y ahora, para que podáis conocer más de SecAdmin 2026, le he hecho esta pequeña entrevista al equipo que está detrás de ella, este año el foco estaría en la evolución de la comunidad, IA, nuevas amenazas, futuro del hacking, filosofía de la CON y qué significa mantener un evento independiente durante más de diez años. 

Figura 5: Contactar con SecAdmin en MyPublicInbox

Espero que os guste y animéis a ir a Sevilla los días 27 y 28 de Noviembre disfrutando del hacking. Aquí os dejo la entrevista, y si queréis contactar con el equipo, tenéis un canal directo a través de su buzón público en MyPublicInbox.

1.- Han pasado más de diez años desde aquella primera edición de SecAdmin en 2014. Si echáis la vista atrás, ¿qué es lo que más os sorprende de aquel proyecto que empezó con apenas 80 asistentes?

El apoyo y fidelización de nuestro público, es un acuerdo mutuo, nosotros nunca les hemos fallado y ellos tampoco nos han fallado. A medida que pasa el tiempo te sigues encontrando con personas que han participado en algún que otro año y cuando nos ven, nos lo comentan siempre con un recuerdo muy positivo. 

Es curioso a veces como en un proyecto que nace sin interés de lucro, con el afán de compartir, llega a impactar en las personas, y como siempre lo agradecen y lo llevan en su interior como una experiencia positiva. Nos consta que en muchos casos, hasta les ha condicionado su futuro, con un trabajo mejor, un amistad, un proyecto, un amor. Y ser parte de ese proyecto que hace tan bien, siempre nos llena de orgullo.

2.- y... ¿Qué ha sido más difícil: organizar la primera edición de SecAdmin o conseguir mantener viva una CON durante más de una década?

Sin lugar a duda, organizar la primera edición. Una primera edición, sin conocer a la mayoría de los ponentes, sin experiencia y sobre todo una apuesta económica a fondo perdido. Eso siempre da vértigo. Hoy SecAdmin está consolidado y tiene su público consolidado, hemos tenido muchas épocas, pero tantos agradecimientos de poder montar una cosa así en el sur, nos impulsan año tras año a seguir.

3.- En estos años la palabra “ciberseguridad” ha pasado de ser prácticamente desconocida para el gran público a ocupar titulares constantemente. ¿Cómo ha cambiado la comunidad hacker durante este tiempo?

La comunidad hacker ha experimentado varios cambios y transformaciones en los últimos años. Sin lugar a duda, durante estos últimos años, la escasez de profesionales en la ciberseguridad ha despertado el interés de muchos profesionales de diferentes ramas, por lo que la comunidad se a ampliado con sus cosas buenas y cosas malas. Pero en el balance general creemos que la cambió para bien.

4.- Hoy cualquiera puede utilizar herramientas de IA para generar código, analizar malware o incluso automatizar determinadas fases de un ataque. ¿Cómo cree SecAdmin que está cambiando la inteligencia artificial el trabajo de hackers y profesionales de la seguridad?

La inteligencia artificial, está impactando en todas las ramas de la informática. Empezó por el desarrollo, pero luego siguió por sistemas y ahora por la ciberseguridad. Lo que no puede hacer la inteligencia artificial es conservar el arte del hacking. Ejecuta scripts sin ese “olfato” por lo que está bien para la automatización de tareas, ataques básicos automatizados, tareas complejas de reversing, pero le falta ese pensamiento lateral que tenemos los hackers. Por lo que aún nos deja algo seguir innovando. Que es el arte del hacking. Lamentablemente en todo lo demás, no solo lo hará mejor que nosotros, sino más rápido y de forma más eficiente.

5.- Y desde el otro lado de la trinchera: ¿está la IA haciendo también más peligrosos a los atacantes? ¿A SecAdmin qué amenazas os preocupan especialmente en este momento?

Si, la IA sin filtros, o más conocida como “sin censura”, está automatizando ataques, encontrando más rápido que nadie vulnerabilidad por falta de actualización, errores humanos de configuración, y está agilizando la explotación de nuevos Zero Days. Por lo que el desafío más importante es saber moverse a la velocidad de la IA. Si nuestros sistemas no son capaces de responder, actualizarse y protegerse a la misma velocidad, terminarán siendo vulnerados. La IA acelera todos los procesos de explotación.

6.- Hay una nueva generación que está descubriendo ahora el hacking y la ciberseguridad. ¿Qué consejo le daríais a alguien que quiere empezar hoy, pero se encuentra con un sector mucho más complejo que el de hace diez o quince años?

Los tiempos han cambiado mucho, ya nadie pone de contraseña “123456” o sí. Jajaja. Las nuevas generaciones se están encontrando una especialización muy alta en el campo de la ciberseguridad, una competencia feroz, con tantos máster y certificaciones, lo que hace difícil poder destacar. Por lo que los niveles de exigencia son mayores. 

 

Figura 6: Pedro Candel "S4uron" será ponente. 

 

Si a eso le añadimos el efecto de la IA y que los perfiles senior están sustituyendo a los perfiles junior con IA. Poder acceder al mercado laboral, está siendo especialmente complejo. Por eso la participación en este tipo de jornadas, el pertenecer a una comunidad facilita mucho ese camino tan complejo que es empezar a trabajar en ciberseguridad

7.- En SecAdmin conviven profesionales con mucha experiencia, investigadores, estudiantes y personas que simplemente sienten curiosidad por el mundo del hacking. ¿Cómo conseguís que todos encuentren su sitio?

En SecAdmin tenemos claro que nadie debería necesitar una OSCP para entrar por la puerta y disfrutar demuestra CON jajaja.

Intentamos combinar charlas accesibles con ponencias de nivel técnico alto. Lo mismo ocurre con los CTF: hemos tenido retos tremendamente exigentes y hemos ido incorporando pruebas que permiten participar a quienes están empezando, sin perder el espíritu de desafío.

Y están los talleres prácticos, que en algunos casos duran cuatro o cinco horas. Ahí puedes dejar de mirar diapositivas y ponerte a trabajar con técnicas y herramientas. Después está la otra mitad de la conferencia, que no aparece en el programa: las conversaciones de pasillo. Puedes descubrir que la persona con la que acabas de tomar un café lleva años investigando justo lo que a ti te obsesiona. Esa cercanía es parte de lo que hace distinta a SecAdmin.

8.- Mirando hacia los próximos diez años, ¿cómo imagináis SecAdmin? ¿Qué os gustaría que siguiera siendo exactamente igual y qué os gustaría cambiar?

¿10 años? Yo creo que la IA nos destruirá antes, pero seguro que si no es así, hay cosas que no cambiaríamos. Una es el tamaño de la CON, tal como está es perfecta. Ahora mismo es una CON cercana, accesible y donde se aprende gracias a nuestros talleres de hasta 4 o 5 horas los sábados.

9.- Esta es complicada a día de hoy, pero imaginad que mañana desaparecen Internet, las redes sociales y el marketing durante una semana. ¿Cómo conseguiríais que la comunidad hacker supiera que SecAdmin sigue existiendo?

Esto es Sevilla, aquí se sabe todo, por el boca a boca y por la gran comunidad que nos apoya atrás. En el mundo de hacking, siempre encontraríamos una forma de conectarnos entre todos, ya los veo a todos con un dispositivo Meshtatic en la mochila.

10.- Y aquí está, la última pregunta que no podía faltar, si tuvierais que elegir una sola razón para venir a SecAdmin 2026, ¿cuál sería? Y para los que ya tienen su entrada ¿qué no deberían perderse de SecAdmin 2026?

Esta última pregunta es la más difícil, porque razones hay muchas, pero bueno, vamos a no hacer trampa. La razón más importante es vivir la experiencia. Y para los que ya la han vivido de otros años esa experiencia, indicarles que cada año es diferente. 

 

Para los que ya tienen su entrada, tendrán la posibilidad de encontrarse con grandes profesionales del sector que si no fuera por el esfuerzo que hacemos desde SecAdmin, sería difícil verles y tener la posibilidad de compartir un tiempo de aprendizaje con ellos. 

 

Ir a una SecAdmin siempre merece la pena y es una experiencia que cualquiera que esté en la comunidad del hacking debe vivir. Ya somos parte de la historia del hacking española, como tantas otras CONs al igual que vosotros, que estáis siempre presentes y nos habéis acompañados todos estos años.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Inteligencia Artificial en las empresas: Tres formas de uso. Tres niveles de control del riesgo.

Cuando hablamos de Inteligencia Artificial en las organizaciones, lo habitual es asociarla con ChatGPT, Claude o cualquier otra herramienta a la que accedemos desde un navegador. Esta asociación está bastante extendida entre las empresas menos tecnológicas y, en muchos casos, responde al desconocimiento de cómo funciona realmente esta tecnología. 

Figura 1: Inteligencia Artificial en las empresas.

Tres formas de uso. Tres niveles de control del riesgo.

La Inteligencia Artificial necesita, recursos de computación, almacenamiento y sistemas capaces de procesar información. La capacidad de estos modelos para realizar determinadas tareas mejor o peor que las personas es otra discusión que dejaremos para otro artículo. Lo interesante aquí es comprender cómo accedemos a esta tecnología, qué ocurre con nuestros datos y qué capacidad real tenemos para aplicar medidas de control que reduzcan los riesgos.

Figura 2: Presentación de Chema Alonso en Cloudflare Connect 2026.

"The model is not the permiter"

En muchas organizaciones he observado que la gestión de estos riesgos se apoya principalmente en políticas de uso, herramientas DLP e instrucciones incorporadas a los Prompts para limitar el comportamiento de la IA. No es la solución.

Estas medidas pueden ayudar, pero presentan limitaciones importantes.

Un Prompt no constituye una barrera de seguridad fiable: Y si has visto los muchísimos artículos sobre las técnicas de Jailbreak, los ataques de Prompt Injection, o el desalineamiento de Asistentes IA y servicios digitales, lo tendrías que tener más que claro.

Figura 3:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

Los modelos pueden recibir instrucciones adversarias, interpretar incorrectamente las restricciones o generar comportamientos no previstos. 

Figura 4: Ekoparty 22: Hacking in the age of AI after Mythos, Fable, Sol and Astra.

Es precisamente una de las cuestiones sobre las que Chema Alonso insiste habitualmente en sus investigaciones y charlas sobre seguridad en IA. Para comprender mejor estas limitaciones, vamos a comparar tres formas de utilizar esta inteligencia artificial.

1. Acceso directo mediante navegador

Es el modelo más conocido. La organización contrata licencias de un servicio de Inteligencia Artificial y sus empleados acceden directamente desde el navegador. En realidad, estamos consumiendo un servicio de un proveedor externo, bajo determinadas condiciones contractuales, configuraciones de privacidad y mecanismos de seguridad que solo el propio proveedor impone. Cuando un empleado introduce información en el chat y pulsa enviar, esos datos llegan a la infraestructura del proveedor.

Figura 5: Flujo de información desde el usuario hasta

el proveedor de IA mediante navegador.

 

La organización puede establecer políticas de uso, aplicar controles DLP, restringir accesos y exigir garantías contractuales. Sin embargo, las funciones de protección más avanzadas suelen estar vinculadas a planes empresariales con costes adicionales, lo que puede dificultar su adopción por parte de pequeñas y medianas organizaciones.

Además, el comportamiento humano introduce una dificultad adicional. Un empleado puede compartir información confidencial, ignorar las instrucciones corporativas o utilizar herramientas de IA sin autorización, una práctica conocida como Shadow AI. Este fenómeno dificulta la aplicación de medidas de control y aumenta el riesgo de exposición de información fuera del perímetro organizativo. La exposición del dato puede producirse antes de que cualquier instrucción dirigida al modelo tenga oportunidad de intervenir.

2. Integración mediante API y backend corporativo

El segundo método permite introducir una diferencia importante. En este escenario, la organización desarrolla una aplicación con su propio front-end y backend. El empleado interactúa con esa aplicación y es el backend quien se comunica con el modelo del proveedor mediante una API. Esta arquitectura permite aplicar medidas técnicas antes de que la información salga de la organización.

Podemos clasificar los datos, eliminar información innecesaria, aplicar técnicas de pseudonimización, verificar permisos, limitar las operaciones autorizadas y registrar las solicitudes. También podemos revisar las respuestas del modelo antes de utilizarlas.

Figura 6: Flujo de información mediante una aplicación corporativa,

backend y API de un proveedor externo de IA.

El proveedor continúa procesando la información que recibe, pero la organización puede controlar mejor qué envía y para qué finalidad. La diferencia está en incorporar controles técnicos directamente al flujo de información, reduciendo la dependencia de las decisiones individuales de cada empleado. El riesgo permanece, aunque una implementación correctamente diseñada puede reducir tanto la exposición como la probabilidad de determinados incidentes.

3. Despliegue de inteligencia artificial en infraestructura local

El tercer método consiste en ejecutar el modelo dentro de la propia infraestructura de la organización. Actualmente existen modelos de inteligencia artificial con capacidades avanzadas que pueden desplegarse en servidores internos, como gpt-oss-20B (OpenAI), Mistral Small 3.1 de 24B, Gemma 3 de 27B (Google), Qwen3 de 32B (Alibaba), LLaMA de 65B (Meta, primera generación), Llama 3.3 de 70B y gpt-oss-120B (OpenAI). 

Estos modelos pueden ejecutarse utilizando recursos propios de CPU, GPU, memoria y almacenamiento, con requisitos técnicos que varían según su tamaño, arquitectura y nivel de cuantización. En esta arquitectura, el front-end, el backend, el modelo y los sistemas de almacenamiento pueden permanecer dentro del mismo perímetro organizativo. Estas arquitecturas son muy usadas por los expertos que usan IA para hacer Seguridad Ofensiva y Pentesting.

Figura 7: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso.

Esto permite controlar directamente el procesamiento, los accesos, los registros de actividad, la retención de información y las conexiones con otros sistemas. También ofrece la posibilidad de operar sin enviar los datos utilizados durante la inferencia a proveedores externos, siempre que las dependencias, la telemetría y las integraciones estén correctamente configuradas.

Figura 8: Flujo de información con un modelo de IA local dentro

del perímetro de la organización y sus dependencias externas.

La contrapartida es que la organización asume la responsabilidad de proteger y mantener toda esa infraestructura. Una mala configuración, un usuario con privilegios excesivos, un conector vulnerable o un modelo expuesto pueden generar incidentes igualmente graves.

La arquitectura es una medida de control

Los tres escenarios permiten utilizar inteligencia artificial, pero presentan diferencias importantes en la exposición de los datos, la dependencia de terceros y la capacidad de aplicar medidas de seguridad. Contratar licencias, integrar una API o desplegar un modelo local no determina automáticamente el nivel de seguridad de una organización.

La cuestión es comprender el recorrido de la información y establecer controles eficaces en cada punto de ese recorrido.Las políticas y las instrucciones pueden orientar el comportamiento de los usuarios y de los modelos. Las medidas técnicas permiten imponer restricciones verificables, aunque tampoco ofrecen garantías absolutas.

Figura 9: CDIE: Risk Extension and Traceable Uncertainty in Organizational Al Risk Assessment.

Al final, todo se reduce a entender por dónde circulan nuestros datos, quién los procesa y hasta dónde llega nuestra capacidad de control. Utilizar Inteligencia Artificial es relativamente sencillo; gestionar sus riesgos requiere conocer bien cómo funciona y cómo la hemos integrado en nuestra organización.

Figura 9: CDIE: Risk Extension and Traceable Uncertainty in Organizational Al Risk Assessment.

Y aprovechando que hablamos de riesgos y consecuencias, estoy desarrollando CDIE, una investigación exploratoria centrada en identificar y documentar las posibles consecuencias de las decisiones relacionadas con inteligencia artificial, especialmente cuando afectan a otras partes implicadas directa o indirectamente. Para quienes tengan curiosidad, la propuesta metodológica está publicada que puede consultarse aquí: CDIE: Risk Extension and Traceable Uncertainty in Organizational Al Risk Assessment.

Saludos,

Autor: Catalin Barsan Apostolescu

Contactar con Catalin Barsan Apostolescu

Hackr0n #GranCanaria: Porque un Ciberataque nunca avisa. 6 de Noviembre

Ver cómo ha crecido la comunidad de Ciberseguridad gracias a los pioneros que han hecho que las CONs se haya desplegado por toda España es me llena de alegría. Es ver hecho realidad el sueño de poder acceder a contenido y profesionales con facilidad, algo que antes era impensable. Así que es para mí siempre un placer poder colaborar con Hackr0n, impulsada por uno de esos locos "old-school" que quería empujar el mundo de la Ciberseguridad. 

Figura 1: HACKRON #GranCanaria.

Porque un Ciberataque nunca avisa. 6 de Noviembre

El próximo 6 de Noviembre, Hacr0n llega a Gran Canaria para compartir conocimiento, experiencias y, sobre todo, poner el foco en algo fundamental: prepararnos para lo que puede pasar de verdad. En ciberseguridad estamos acostumbrados a hablar de vulnerabilidades, herramientas y amenazas. Pero hay algo que a veces olvidamos: ¿Sabemos realmente cómo reaccionar cuando las cosas se tuercen?

¿Y si mañana el incidente ocurre en tu organización?

Uno de los puntos destacados será el ejercicio práctico Tabletop Exercise (TTX), una simulación en la que los participantes tendrán que enfrentarse a un incidente y decidir cómo actuar. No se trata de acertar todas las respuestas, sino de trabajar en equipo, gestionar la incertidumbre y descubrir qué falla antes de que nos encontremos ante una crisis real.

Figura 2: Tabletop Exercise (TTX)

Porque puedes tener las mejores herramientas y un plan perfectamente documentado, pero cuando un sistema crítico deja de funcionar, la información es incompleta y hay que tomar decisiones rápidas, es cuando se demuestra si estás preparado. La mejor forma de aprender a responder a una crisis es entrenarse antes de que suceda.

Ciberseguridad práctica, experiencias reales y comunidad profesional en Canarias.

El 6 de noviembre nos vemos en Gran Canaria para compartir conocimientos, abordar retos del sector y conectar con profesionales de la ciberseguridad. Una jornada para aprender y compartir, donde tendremos de ponentes a Igor Lukic, Cecilio Sanz, Pablo Burgueño, Selva Orejón, Miguel Ángel de Castro Simón, Fortinet o el CCN-CERT entre otros ponentes.

Figura 3: Speakers de Hacr0n Gran Canaria.

Hackr0n Gran Canaria reúne a especialistas que compartirán experiencias de su día a día: contenidos prácticos, intercambio de conocimientos y conversaciones entre profesionales. Aún se está ultimando la agenda. Este es un adelanto de lo que encontrarás.

Contenidos y dinámica

• Experiencias técnicas, sin presentaciones comerciales.
• Retos de cumplimiento normativo que van más allá de cumplir requisitos.
• Respuesta a incidentes en una sala de crisis.
• Portátil opcional para aprovechar mejor la jornada.
• Espacios privados para atender asuntos urgentes.

Comunidad y actividades

• Pausa para el café y parrillada de hamburguesas caseras preparadas al momento.
• Intercambio de experiencias entre asistentes.
• Actividades opcionales de Hangar 37 y competición por equipos.

En este caso, habrá un CTF muy especial con IA, ya que es nuestra nueva realidad, así que se va a poder trabajar con IA y habrá que luchar contra IA, un nuevo formato que será anunciado en breve, así que podrás estar a tope con el nuevo marco profesional que tenemos hoy en día.

Figura 4: CTF con IA y vs IA

Yo intentaré estar allí de alguna forma. No sé si de forma presencial, o remota, pero me gustaría poder apoyar este tipo de iniciativas al máximo, que han conseguido que la ciberseguridad llegue a todos los rincones de España, y desde cualquier rincón han salido grandes profesionales que hemos exportado a todo el mundo.

Figura 5: Entradas para Hacr0n Gran Canaria.

Las entradas son limitadas, pero es que además los precios son para todo el mundo. Tanto si eres estudiante, como profesional, ir no es solo aprender, es apoyar para que puedan seguir haciéndose este tipo de actividades en Gran Canaria. Además, tienes un código del 25% de descuento en la Tienda de MyPublicInbox que puedes canjear por 200 Tempos. Un regalo, vamos.

Figura 6: Código 25% de descuento en tu entrada de Hackr0n 

que puedes canjear en la tienda de MyPublicInbox.

Y para las empresas y administración pública, no os digo nada, es un amplificador de lo que hay en Gran Canaria, así que espero que podáis apoyar al máximo estas iniciativas.

Figura 7: Contactar con Igor Lukic, organizador y fundador de Hackr0n

Si queréis colaborar de alguna manera, proponer entrevistas a los ponentes, ser voluntario, hacer actividades alrededor de Hackr0n, pensar en nuevas iniciativas en las Islas Canarias, podéis poneros en contacto con Igor Lukic, que seguro que agradecerá todo el apoyo y formas de poner las islas en el centro del mapa mundi de la Ciberseguridad.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)