La creciente potencia de los modelos lingüísticos y sus integraciones en herramientas de desarrollo están abriendo nuevas superficies de riesgo. Un informe reciente advierte que la alucinación de IA puede ser weaponizada, y describe un fenómeno denominado HalluSquatting (adversarial hallucination squatting). Este vector aprovecha la tendencia de los modelos a “alucinar” identificadores de recursos o repositorios cuando no puede identificarlos con certeza, para desplegar código malicioso a gran escala.

HalluSquatting se asemeja al typosquatting, pero en lugar de equivocaciones tipográficas humanas, se basa en errores del propio sistema de IA para distribuir recursos maliciosos. Si un modelo falla al identificar un repositorio o recurso con certeza, los atacantes pueden registrar recursos fantasma y sembrar prompts adversariales que, cuando son invocados por un usuario, ejecutan acciones peligrosas.

La técnica podría escalar para campañas de ransomware, botnets y otras intrusiones, especialmente en servicios de IA populares. El estudio cita herramientas como GitHub Copilot, Gemini CLI y OpenClaw entre las afectadas, aunque la lista podría ampliarse a medida que evolucionen las integraciones de IA en distintas plataformas de desarrollo.

Push-me-pull-you

Hasta ahora, las operaciones maliciosas basadas en LLM han utilizado ataques de extracción (pull). En este enfoque, un prompt diseñado para eludir o subvertir la IA se aloja en un sitio web y la IA es inducida a recolectar información, reduciendo su seguridad interna. El informe revela que las técnicas de “pull” se están combinando con ataques de “push”, tradicionalmente ejecutados como inyecciones de código, para ampliar el alcance de la intrusión.

La introducción del documento resume: “Preemptivamente registrando recursos alucinados —una técnica que llamamos adversarial hallucination squatting (HalluSquatting)— demostramos ejecución de herramientas remotas y ejecución de código remoto a gran escala en una serie de aplicaciones de LLM agentic, lo que podría facilitar el establecimiento de una botnet.”

Una vez que un atacante identifica el recurso que probablemente sea mal nombrado por un LLM y lo squattea para incrustar prompts adversariales, el preparativo queda hecho. Todo lo demás es que el usuario active el recurso, el chatbot o agente inicie la respuesta y el recurso squatteado sea accedido.

Promptware attack

Posteriormente, el contenido adversarial alojado dentro del recurso squatteado se activa, desencadenando la etapa de invocación de herramientas. Este es el “promptware attack”, donde las instrucciones controladas por el atacante se ejecutan, con resultados que podrían incluir convertir el dispositivo del usuario en un zombi de botnet.

LLMs como Cursor, Cursor CLI, Windsurf, GitHub Copilot y Cline han sido utilizados en pruebas de este vector, junto con Gemini CLI y OpenClaw, ZeroClaw y NanoClaw como asistentes de IA. Los investigadores lograron ejecución remota de herramientas (acceso y control remoto de los LLM) y ejecución remota de código (RCE, código malicioso ejecutado de forma remota).

Existen mitigaciones posibles, como que los desarrolladores de LLM bloqueen operaciones de fetch en favor de herramientas de búsqueda, y que los propietarios de recursos hagan cumplir naming estrictos, tal vez promoviendo nombres de recurso globalmente únicos. Sin embargo, estas medidas requieren cooperación entre múltiples partes y podrían tardar en implementarse.

El riesgo de malware basado en LLM está aumentando y ya se han detectado casos en la vida real. Entre ellos, el ataque JADEPUFFER destaca como notable, ya que no es simplemente malware basado en IA: es un ransomware completo ejecutado completamente por un LLM. Este panorama subraya la necesidad de una vigilancia continua, gobernanza de IA y prácticas de desarrollo seguro para mitigar posibles abusos.

Las tensiones geopolíticas se intensifican y los Estados disponen de nuevas estrategias para obtener inteligencia. Una advertencia reciente de Five Eyes, por ejemplo, acusó a oficiales de inteligencia militar china de utilizar redes profesionales y plataformas de empleo en línea para identificar a individuos de interés.

En este caso, los agentes se hacen pasar por reclutadores que publicitan trabajos aparentemente legítimos para entablar relaciones y, en última instancia, obtener información no pública. Sitios populares como LinkedIn, Indeed y Upwork han sido escenarios de este nuevo tipo de ataque.

Al mismo tiempo, surge una amenaza paralela: operativos que solicitan empleo dentro de organizaciones de confianza con acceso a inteligencia, generando amenazas internas que los expertos advierten podrían ser en gran medida responsabilidad de la IA.

La IA generativa, por ejemplo, puede crear documentos, redactar solicitudes e incluso suministrar respuestas en tiempo real durante entrevistas remotas, lo que significa que un pequeño grupo de solicitantes falsos puede ampliar su alcance mucho más rápido.

Rather than attacking existing workers, nation states are creating their own job candidates

Una vez dentro de una organización y con acceso a herramientas de la empresa como PC, correos electrónicos y otros sistemas internos, los espías estatales pueden moverse lateralmente para obtener la información deseada.

Los expertos en seguridad de Exabeam advierten que, dado que esta técnica sigue evolucionando, no siempre es fácil de detectar. Además, los motivos pueden diferir: las operaciones de inteligencia chinas suelen buscar información militar, política o económica. Los agentes norcoreanos, por otro lado, tienden a estar ligados al robo de dinero, lo que también podría conllevar robo de datos e inteligencia.

Exabeam incluso observó este tipo de ataque de primera mano, cuando un solicitante afiliado a Corea del Norte usó una identidad falsa para postularse a un empleo en la empresa. Tras aprobar pruebas técnicas, una entrevista en video y otros controles estándar, la laptop del sospechoso fue rápidamente marcada por una actividad inusual.

En la siguiente sesión de preguntas y respuestas con Steve Povolny, vicepresidente de Estrategia y Seguridad de IA, analizo estos nuevos tipos de ataques, quién es responsable de erradicarlos y qué podemos hacer para evitar incidentes similares con mayor frecuencia.

• La alianza Five Eyes advirtió recientemente que grupos de inteligencia extranjeros están usando plataformas de empleo para reclutar a insiders. ¿Qué tan significativo es esta amenaza y qué está impulsando su crecimiento?

Este es uno de los ataques de mayor nivel de acceso que enfrentan los trabajadores con autorización, y sigue creciendo porque la economía actual favorece al atacante.

Los servicios de inteligencia extranjeros ya no necesitan manejadores y hojas muertas cuando pueden publicar un anuncio de trabajo en LinkedIn o Upwork y dejar que los candidatos se auto-seleccionen según el acceso listado en sus currículos. La IA generativa les permite realizar miles de estas conversaciones a la vez, redactando acercamientos y evaluando qué solicitantes están más próximos a información sensible sin necesidad de un oficial entrenado.

La alerta de Five Eyes describe un embudo escalado y automatizado; y ese alcance es lo que lo hace peligroso.

• Un riesgo paralelo acompaña a esa advertencia: adversarios que consiguen empleo directamente, en lugar de reclutar a un empleado existente. ¿Qué escenario presenta un mayor desafío defensivo, y por qué?

El modelo de infiltración ofrece a los defensores menos herramientas para actuar, lo que lo convierte en el problema más difícil. Cuando un adversario recluta a alguien que ya forma parte del personal, la mayor parte del comportamiento sospechoso ocurre fuera de la empresa, en plataformas que el empleador nunca ve, y aun así la persona es conocida y tiene una historia real.

Cuando el adversario se convierte en empleado, la empresa ha incorporado a una persona fabricada y le ha entregado un portátil y acceso a la red desde el primer día. No existe una línea base conductual, ya que todo lo que la cuenta realiza cuenta como un primer paso. La decepción además anula los controles en los que la mayoría de las organizaciones confían, por lo que el fallo se produce antes de que cualquier herramienta de seguridad tenga voz.

• Exabeam identificó a una persona afiliada a Corea del Norte que obtuvo empleo en la empresa. ¿Cómo logró el operante superar el proceso de contratación de Exabeam y qué señales iniciales indicaron que algo estaba mal?

Superó el proceso al rendir bien en las pruebas técnicas y al engañar en las partes que verificamos. Operando con el alias Trevor Rothluebber, destacó en la entrevista técnica y en la evaluación para llevar a cabo, aprobó la entrevista en video y pasó por el proceso estándar de pre-empleo, incluida la verificación de antecedentes y la validación I-9.

Nuestra equipe de contratación detectó una sospecha de que dependía de IA generativa para obtener ayuda en tiempo real durante la llamada de video, la primera señal suave. La señal dura llegó cuando inició sesión en su cuenta corporativa. Nuestro feed de inteligencia de amenazas emparejó su nombre de usuario con actividad previamente asociada a operativos norcoreanos y la calificó como de alto riesgo, lo que cambió la interpretación de todo lo que siguió.

Al mismo tiempo, la plataforma de Exabeam detectó una serie de anomalías inconsistentes con el primer día de un empleado recién llegado, y que iban escalando en severidad en pocas horas. La respuesta ante incidentes aisló y re-imaginó de forma silenciosa su portátil antes de que se pudiera causar daño real.

• La candidata completó solicitudes, entrevistas y tareas asignadas sin activar alertas. En retrospectiva, ¿qué indicadores estuvieron presentes y por qué el cribado estándar no los captó?

Los indicadores existían, pero residían en lugares que nuestro cribado no estaba diseñado para leer. La licencia de conducir que presentó era probablemente generada por IA o estaba muy mal modificada manualmente, y la irregularidad era física: la imagen tenía aberraciones únicas, como orejas en la foto con modificaciones poco naturales o pixeladas, un artefacto que los generadores de imágenes aún producen, y un revisor las pasa por alto.

La asistencia de IA en vivo durante la entrevista fue otra señal, ya que las respuestas mostraban una fluidez que no coincidía con la vacilación natural que se espera cuando alguien razona ante un problema desconocido. El cribado estándar falló, porque las verificaciones de antecedentes e identidad confirman si los documentos son consistentes internamente y si existe un registro, y nunca preguntan si la persona attached a esos documentos es real.

Además, la fabricación adicional de documentos como el I-9 fue pasada por alto por una empresa de verificación de identidad de terceros, y la validación de referencias laborales (falsas) no fue adecuadamente identificada.

• ¿Cómo contribuyó la IA al engaño? ¿Qué involucró la documentación fraudulosa y qué capacidades introduce la IA que los métodos de falsificación tradicionales no poseen?

La IA apareció en casi todas las etapas. La documentación fraudulenta se centró en una licencia de conducir falsificada que creemos fue generada en lugar de producida físicamente, emparejada con una identidad robada que dio a los papeles una historia real sobre la que basarse.

Durante la entrevista, el candidato pareció contar con un copiloto de IA que le proporcionaba respuestas en tiempo real, y muchas de estas herramientas ahora permanecen invisibles para todos los demás en la llamada, incluso cuando el candidato comparte pantalla. Lo que la IA añade frente a la falsificación tradicional es volumen y verosimilitud juntos. Un falsificador habilidoso siempre podría producir un pasaporte convincente, pero la capacidad de producción estaba limitada por el tiempo y la mano de obra.

Las herramientas generativas eliminan ese techo, de modo que un solo actor puede fabricar documentos convincentes y asesorarse a sí mismo a través de una entrevista técnica en vivo en decenas de candidaturas a la vez, y la falsificación dejó de ser el cuello de botella que solía ser.

• La advertencia de Five Eyes se centró en China, mientras que el caso de Exabeam involucró a Corea del Norte. ¿Estos actores comparten tácticas y objetivos, o representan modelos operativos distintos que se superponen en el método?

Se superponen fuertemente en el método mientras operan con motivos diferentes, lo que deben considerar los defensores. La operación china descrita por Five Eyes apunta a la recopilación de inteligencia, extrayendo información gubernamental y militar de personas que ya poseen acceso.

El programa norcoreano que nos afectó a nosotros y a muchos otros en esta industria tiene un financiamiento distinto, ya que gran parte de su propósito es generar ingresos para un régimen sancionado, con intrusión y robo acompañando al pago. Los objetivos divergen, pero el oficio delictivo ha convergido en un kit de herramientas compuesto por identidades fabricadas, documentos asistidos por IA, historiales profesionales manufacturados y la paciente construcción de relaciones que permiten a un operario permanecer en silencio.

Cuando dos adversarios con fines distintos llegan al mismo manual de juego, eso indica que el manual funciona y que otros actores ya lo observan.

• ¿Cómo deberían las organizaciones identificar a un candidato que desde el día uno ya es un adversario?

Nuestra mentalidad debe cambiar para tratar el momento de contratación como el inicio de la ventana de mayor riesgo en lugar del final del proceso de verificación. Los programas de insider tradicionales buscan deriva, el empleado que se vuelve problemático tras un choque financiero o una queja, por lo que dependen de una línea base construida durante meses.

Un candidato que fue hostil desde el día uno nunca produce esa línea base, lo que obliga a examinar con mayor rigor el comportamiento más temprano. En nuestro caso, la falla llegó al aplicar nuevas cuentas con monitoreo reforzado y permitir que un agente de IA correlacione señales dispersas que no justificarían una escalada por sí solas.

El principio operativo es dotar a los flujos de contratación y a la actividad de los nuevos empleados de la misma sospecha que ya se aplica a la producción de acceso.

• ¿Dónde debería residir la responsabilidad de esta amenaza dentro de una organización? ¿Es una función de seguridad, de RR. HH. o es un vacío que persiste por una falta de claridad de autoridad?

La responsabilidad, hoy en muchos casos, reside en el vacío, y ese vacío es precisamente lo que hace que la amenaza funcione. La contratación recae en RR. HH. y adquisición de talento, que se miden por cubrir roles con rapidez y no por realizar verificación de identidad a nivel de inteligencia.

La detección suele estar en seguridad, que normalmente no tiene visibilidad de un candidato hasta que esa persona ya posee credenciales y un portátil, y el adversario aprovecha la separación entre ambos extremos.

La respuesta viable es una titularidad compartida con una transferencia de responsabilidad clara, donde seguridad fija los estándares de identidad y comportamiento que RR. HH. debe cumplir y se mantiene involucrado durante las primeras semanas de empleo en lugar de heredar el problema al cierre del proceso de incorporación.

• Muchas empresas de tamaño mediano no cuentan con recursos de inteligencia de amenazas dedicados. ¿Qué medidas prácticas pueden implementar para reducir su exposición?

Una defensa útil no requiere un equipo dedicado de inteligencia de amenazas. La propia entrevista es el control más económico disponible, y pequeños cambios pueden ser mucho más reveladores.

Dejar deliberadamente ambigua la naturaleza de un problema puede revelar si un candidato pregunta para aclarar, como un ingeniero real, o simplemente ofrece respuestas seguras y se adapta si se cambia el planteamiento del problema durante la prueba.

Pedir una cámara externa que muestre el espacio de trabajo en lugar de una pantalla compartida elimina uno de los escondites más simples para un copiloto de IA durante la entrevista. Más allá de la contratación, el cambio de mayor impacto es colocar a cada nuevo empleado en una lista de vigilancia para un monitoreo más cercano durante sus primeras semanas, lo que implica más configuración que coste.

Incluso una fuente de inteligencia de amenazas básica y de bajo costo habría demostrado la coincidencia de usuario que abrió nuestra caso.

• ¿Cuál es la predicción más discutida sobre este tema, una que muchos líderes de seguridad probablemente dispute?

Mi predicción disputada es que en un par de años la entrevista humana verificada, realizada en persona para cualquier rol con acceso significativo, volverá a ser un requisito de seguridad. Muchos líderes de seguridad lucharán contra ello porque interrumpe el modelo de contratación remoto que han optimizado durante años.

La objeción que espero es que no scalea y reduce el grupo de talentos, y estas inquietudes son legítimas. Mi contraargumento es que la economía ya se ha volcado para los roles de alto acceso, ya que el costo de incorporar a un único adversario fabricado hoy en día supera la fricción de una verificación en persona.

La afirmación más profunda es que la verificación de identidad remota tal como la practicamos hoy ya no es confiable para puestos sensibles, y es la IA la que la ha hecho poco fiable. Muchos líderes de seguridad aún no están dispuestos a decirlo en voz alta.

Panasonic hizo una gran entrada cuando presentó la Lumix L10 en el evento de aniversario de Lumix, este año. La definí como “la Lumix más bonita de los últimos años” y muchos periodistas tecnológicos, yo incluido, la comparamos con la viral Fujifilm X100VI.

Son dos cámaras compactas premium con diseño retro y características de alta gama, pero abordan el formato desde enfoques diferentes. Por ejemplo, la Lumix L10 integra un sensor Micro Cuatro Tercios de 20 MP y un objetivo 24-75 mm f/1.7-2.8, mientras que la X100VI captura stills de 40 MP con un sensor APS-C y un objetivo fijo 35 mm f/2.

Ya he hecho comparaciones basadas en especificaciones y en mi experiencia con cada cámara por separado en mi artículo Lumix L10 vs X100 VI. Pero tenía ganas de ver cuál me atraía más en uso directo, ya que hacía tiempo que no probaba la X100 VI de cerca.

Con mis muestras de prueba, salí a la calle tomando las mismas fotografías con cada cámara en diferentes escenarios: viaje, desplazamientos y fines de semana de exploración. Objetivamente, cada cámara tiene ventajas prácticas sobre la otra, pero hubo una cámara que realmente me conectó con el proceso creativo…

The head

Si tuviera que hacer una lista de pros y contras basada en características y especificaciones, cada modelo tiene ventajas distintas sobre la otra.

En favor de la X100VI: su lente fija de 35 mm f/2, la resolución de 40 MP (el doble que la Lumix L10), estabilización de imagen en el cuerpo, inicio más rápido, visor más sofisticado y una estética retro de siguiente nivel.

Hay mucho a favor de la Lumix L10, entre otras cosas: su versátil lente 24-75 mm con zoom óptico 3.1x, mayor autonomía de batería, perfiles Real Time LUTs (que para mí superan las simulaciones de película de Fujifilm), velocidades de disparo en ráfaga superiores, autofocus más ágil, pantalla articulada y, además, su rendimiento de video tiene la delantera. Ah, y suele costar menos, dependiendo de la región.

Objetivamente, creo que podría darle más uso a la Lumix L10, especialmente gracias a su extremo tele de 75 mm y su apertura f/2.8, que ofrece un mayor efecto de fondo desenfocado. En general, es una cámara más versátil. Sin embargo, la objetividad se desvanece cuando se trata del aspecto creativo, que es crucial para este tipo de equipos para uso personal.

Podemos hablar de características todo el día, pero lo realmente importante es cómo se siente usar una cámara. Y la única forma de saberlo es probándola; eso fue precisamente lo que hice, evaluando las cámaras lado a lado. Y, al hacer esta comparación directa, un favorito emergió rápidamente.

The heart

Más allá de las características, quiero expresar lo que se siente al usar cada cámara, porque al final eso importa más para este tipo de equipo premium pensado para uso diario personal. (Mi cámara de trabajo es otra historia: ahí lo que importa es eficiencia y fiabilidad.)

Lo digo claro: disfruté más la X100VI. Estéticamente tiene la ventaja: ambas son retro, pero la X100VI eleva ese concepto con sus diales de exposición manual y su visor híbrido. Al llevarlas colgadas, la X100VI era la que más me invitaba a acercarme y fotografiar.

Al usarla, la X100VI requería más intervención para dominarla; hay más involucramiento en el manejo de controles de exposición, y eso, en mi opinión, es algo que valoro como fotógrafo serio. También aprecié lo premium que se siente en la mano: el peso, el botón de obturación con amortiguación… la X100VI simplemente se siente mejor.

También valoré su inicio más rápido y el lente primo más compacto. El visor híbrido fue más disfrutable, especialmente para quienes apreciamos el visor óptico.

Claro, preferiría que el autofocus fuera tan bueno como el de la Lumix L10. Y en una variedad de escenarios desearía poder hacer zoom con el lente. Y no quiero restar mérito a la Lumix L10: su manejo del zoom es una delicia. Pero por la sensación en general, y ese impulso de cultivar una habilidad, la X100VI se ganó mi corazón una vez más.

Lumix L10 vs Fujfilm X100VI: las imágenes

Una colección de imágenes de Panasonic Lumix L10. He emparejado la focal de 35 mm de la Fujifilm X100VI en la mayoría de estas muestras, pero también incluyo algunas a diferentes longitudes focales para mostrar su versatilidad.

Y las comparaciones con la Fujifilm X100VI. Para ambas cámaras, configuré el perfil de color en la opción estándar, pero en realidad jugaría con diferentes looks y realizaría ajustes selectivos de exposición.

Cómo maneja una cámara es una parte crucial de la ecuación, pero las imágenes resultantes deben ser agradables a la vista. Con sensores de tamaños tan diferentes, números de píxeles y tipos de lente, es difícil declarar un ganador definitivo solo por especificaciones.

Para empezar, a pesar de contar con un sensor más pequeño, la Lumix L10 tiene píxeles de mayor tamaño y mayor capacidad de captación de luz, por lo que no hay que asumir que la X100VI es mejor en poca luz. Más allá del tamaño del sensor y los píxeles, el autofocus de la Lumix L10 es, en general, más fiable, lo que aumenta las probabilidades de obtener una toma nítida en la primera pasada, según el escenario y la configuración.

Pero para comparaciones directas, al igualar la X100VI 35 mm f/2 con la Lumix L10 en 35 mm f/2.3, lo que más me agradó en general fue el mayor control de profundidad de campo de la X100VI.

Cuando hice retratos callejeros a 35 mm, las imágenes de la X100VI resultaron más agradables a la vista. También me gustó disponer de 40 MP para jugar y el mayor nivel de detalle en las imágenes. La X100VI mostró menos susceptibilidad a destellos de lente.

Dicho esto, la Lumix L10 ofrece la versatilidad del lente zoom, y cuando se coloca a 75 mm y f/2.8, es muy capaz de retratos con profundidad de campo rala, con una mayor compresión que prefiero.

En cuanto al color, no tuve una sensación lo suficientemente contundente como para recomendar una cámara sobre la otra, aunque los perfiles Real Time LUTs de la Lumix L10 son más versátiles.

Conclusión

Si estás considerando la Lumix L10 o la Fujifilm X100VI, la elección es difícil y, en verdad, cualquiera de las dos te dejará conforme. Son dos de las mejores cámaras compactas premium, con una cadena de ventajas únicas sobre la otra.

Para mí, sin embargo, la decisión va más allá de las especificaciones y se dirige a una sensación subyacente: obtendría más placer usando la X100VI de forma regular que con la Lumix L10, aunque esta última sea más práctica. Mi cabeza dice Lumix L10, mi corazón dice Fujifilm X100VI.