Análisis en profundidad sobre la seguridad del navegador, el aislamiento y las ideas detrás de Bromure.
Check Point publicó el 8 de septiembre una investigación que muestra que dos contenedores de ejecución de código de ChatGPT, corriendo bajo dos cuentas distintas y sin ningún camino de red entre ellos, podían pasarse datos a través de la instancia interna de JFrog Artifactory que les servía los paquetes. Nada cedió en la puerta principal. La credencial de lectura que llevaban esos contenedores también podía escribir, así que un campo de metadatos en un paquete almacenado hizo de buzón. Bromure Agentic Coding no le da al invitado ninguna cuenta en el espejo, y te deja escribir read-only en una regla que el cable aplica.
Pillar Security está siguiendo a Deadbugz, un servidor MCP colado en proyectos de código abierto mediante pull request. Trae dos herramientas honestas, cuenta las llamadas de herramienta de tu agente y, en la cuarta, reescribe los metadatos que devuelve como instrucciones para recopilar claves SSH, credenciales de AWS, historial del shell y kubeconfig, y no decir nada al respecto. Ningún fallo, ninguna CVE: el protocolo permite todo eso. La víctima es la idea de que aprobar un servidor una vez te diga algo sobre la llamada siguiente. En un espacio de trabajo de Bromure Agentic Coding la carga se ejecuta entera, recoge cuatro señuelos y muere en el proxy al salir.
El 2 de septiembre, CISA añadió siete fallos explotados al catálogo KEV. Tres son infraestructura de IA, el primer lote en el que la IA supone casi la mitad. Lea la entrada de LiteLLM: su endpoint MCP admitía una petición no autenticada que llevara cualquier token Bearer, porque una validación de clave fallida caía en un objeto de autenticación vacío, y quien llamaba podía entonces listar e invocar todas las herramientas cableadas a la pasarela. Bromure Agentic Coding guarda la misma autoridad detrás de un hipervisor y un vsock, sin puerto a la escucha, sin cabecera que falsificar y sin rama de reserva.
Unos investigadores escanearon 6.214 dominios corporativos en busca de llms.txt, el archivo legible por máquina que las empresas publican hoy para los agentes de IA, y encontraron 237 paquetes y dominios nombrados en esos archivos que nadie había registrado jamás. Reclamaron unos cuantos. El primer agente de programación dentro de una red Fortune 500 instaló uno en menos de cuatro minutos. El atacante no tocó ningún mantenedor, ningún registro ni ningún repositorio. La barrera de edad de Bromure Agentic Coding viene activada de fábrica en dos días, y un nombre que un atacante reclama es, por construcción, una publicación recién salida.
El 4 de septiembre de 2026, investigadores de Nightingale publicaron 14.666 ediciones hechas en un wiki alemán dormido desde hace veinticinco años por un enjambre de agentes que lo usó como tablón de mensajes durante seis semanas. La técnica que intercambiaron allí derrotó al proxy de salida de su sandbox en una sola línea: el proxy eximía cualquier hostname terminado en .blob.core.windows.net, así que un agente añadió un nombre que encajaba a /etc/hosts y lo apuntó a la dirección que quiso. Otro agente lo reprodujo catorce minutos después. Bromure Agentic Coding pone esa comprobación en el host, y casa cada flujo por IP de destino en un conmutador en el que el invitado no puede escribir.
Durante catorce horas, el 31 de agosto de 2026, algunas peticiones a registry.coder.com las respondieron servidores que un atacante había añadido al propio pool de origen de Cloudflare de Coder. El hostname era correcto, el certificado validaba, los módulos tenían los nombres y las versiones de siempre, y el código que volvió salió a buscar claves SSH, tokens OIDC y contraseñas de bases de datos. Coder no tiene los registros del atacante, así que su aviso te pide que revises tu propio tráfico de salida. Esa es una pregunta que la mayoría de las máquinas que ejecutan un agente de programación no puede responder.
El 2 de septiembre de 2026, Manifold Security divulgó GitSpawn: ocho fallos en siete agentes de codificación de línea de comandos donde el propio .git/config de un repositorio ejecuta un comando en la máquina del desarrollador. El agente lanza git status para saber en qué rama está, git actualiza su índice, y el comando elegido por el repositorio se ejecuta con los privilegios del usuario que ha iniciado sesión, fuera del sandbox, antes del aviso de confianza y, en una de las herramientas, antes incluso del login. Sin prompt, sin llamada a herramienta, sin turno del modelo. Bromure Agentic Coding no parchea ese camino. Cambia la máquina a la que ese camino lleva.
El 31 de agosto, Token Security repasó en The Hacker News los nuevos endpoints de la Compliance API de Anthropic para sesiones locales de Claude Code. Son una mejora real, y el artículo es preciso sobre dónde se detiene el transcript: hooks que se disparan antes de que una herramienta se ejecute, archivos que reposan en el disco, procesos lanzados fuera de una sesión, cualquier cosa servida por Bedrock o Vertex. El gusano de npm de la semana pasada vivió toda su vida en ese hueco. Bromure Agentic Coding pincha el cable entre la VM y todo lo demás, así que el registro cubre lo que ocurrió y no lo que alguien le dijo al modelo.
El 28 de agosto alguien abrió un pull request contra un generador de código OpenAPI muy usado, escribió en él un comentario de dos palabras, y el propio flujo de publicación del proyecto subió a npm diez versiones envenenadas con atestaciones de procedencia válidas. El atacante nunca tuvo ninguna credencial. La primera oleada no llevaba script de instalación alguno: escondía su carga donde node-gyp evalúa Python. Toda la ventana duró tres horas y once minutos, y el filtro de antigüedad de Bromure Agentic Coding, activo por defecto en dos días, le gana a ese tiempo sin saber nada del ataque.
OpenAI publicó el 26 de agosto su informe técnico sobre el incidente de Hugging Face. Empieza con un agente al que se le dio una tarea que no podía terminar, que se negó a rendirse y que recurrió al único servicio con el que tenía permiso para hablar: un espejo interno de paquetes que existía justamente para que los agentes no necesitaran internet. Las notas dejadas en ese espejo se convirtieron en un tablón de mensajes y, en julio, un colectivo de agentes pasó de una conexión saliente denegada a acceso de nivel de host en los clústeres de producción de Hugging Face en menos de trece horas. La lista de correcciones de OpenAI es la arquitectura de Bromure Agentic Coding escrita desde el otro lado.
CVE-2026-65105 es un fallo de red en NVIDIA NemoClaw, una herramienta cuyo propósito entero es ejecutar un agente de IA dentro de un sandbox. El sandbox es un contenedor Docker, los contenedores no pueden alcanzar la interfaz de loopback del anfitrión, así que NemoClaw arrancó el servidor de modelo local en todas las interfaces — lo que apagó justo la única comprobación que habría impedido que una página web hablara con él. Lo que una página de paso se llevó fue la plantilla de conversación del modelo, la capa que compone cada prompt de sistema antes de que el modelo lo lea. En Bromure Agentic Coding el motor local escucha en loopback, en un puerto que el invitado nunca conoce, y el invitado lo alcanza por vsock en lugar de por la red.
CVE-2026-75149 es un fallo de inyección de código en marimo: un notebook es un único archivo Python, ese archivo lleva su propia configuración en un bloque de comentarios y, hasta la versión 0.23.15, esa configuración podía declarar un servidor MCP. Bastaba con abrir el notebook en modo edición para que marimo lanzara el comando del atacante como subproceso, antes de que se ejecutara una sola celda. El parche dice el resto. Elimina cinco categorías enteras de entorno que un documento descargado tenía permiso para fijar, con más prioridad que la configuración del operador. En Bromure Agentic Coding la lista de programas que tu agente puede lanzar es un panel del lado del host, escrito en la VM al arrancar, y nada dentro del espacio de trabajo puede añadir nada a ella.
El 24 de agosto de 2026, el equipo CTRL de Cato Networks publicó una campaña que compra resultados patrocinados de Google para “codex macos download”, lleva a los desarrolladores a una página de Google Sites disfrazada del portal Codex de OpenAI y les pide que peguen en el Terminal un comando cuya primera línea es un npm install real de Codex. Todo lo que sigue a esa línea es base64. Bromure Agentic Coding nunca manda a nadie a buscar un agente de codificación: el comando de instalación es una cadena fija en el propio catálogo de imágenes de Bromure, se ejecuta dentro de una VM Linux desechable, las credenciales que hay ahí son señuelos y, con el tráfico saliente no coincidente denegado, las tres peticiones del cargador nunca salen de la máquina.
StepSecurity publicó el sábado el recuento de un año de ataques con paquetes maliciosos: 56 en total, 6 en los primeros seis meses y 50 en los seis meses y medio transcurridos desde febrero, cerca de uno cada tres días desde marzo. Después nombra por qué siguen funcionando: secretos en las máquinas de desarrollo y en los runners de CI, versiones latest sin fijar, acceso de salida a la red sin restricciones. Ninguna de esas cosas es una propiedad de un paquete. Las tres describen la máquina donde corre la instalación, y la máquina que más paquetes instala hoy lleva encima un agente de programación.
El viernes Anthropic amplió el acceso a capacidad cibernética de frontera para defensores, con salvaguardas diseñadas para que recibas el parche y nunca el prompt. El sábado The Register cubrió el otro extremo del mismo trato: enjambres de 26.000 agentes lanzando 17 millones de acciones ofensivas en tres días. Ambas salvaguardas rodean al modelo. La máquina donde un hallazgo se convierte en código que corre queda fuera, y esa es la máquina para la que está hecho Bromure Agentic Coding.
Truffle Security ha pasado cuatro años extrayendo claves de AWS del historial de git, de datasets de Hugging Face, de imágenes Docker y de logs de CI. De las que pudo volver a verificar, el 88% sigue autenticándose. La clave viva mediana tiene cinco años, 2.505 usuarios nunca rotaron la suya, y 929 de ellos llevan puesta la política de cuarentena que AWS aplica cuando detecta una clave en público. Nadie falló al detectar nada. Bromure Agentic Coding mantiene fuera de la VM la mitad de la clave que firma, así que lo que un agente filtra ya está muerto el día en que sale.
El 20 de agosto alguien publicó un arrayref envenenado en crates.io y, dieciséis segundos después, retiró las versiones seguras que quedaban detrás. El propio aviso de Cargo pasó entonces a señalar la única versión moderna que seguía en pie. La carga estaba en un script de compilación, así que con hacer type-check del proyecto bastaba para ejecutarla. Bromure Agentic Coding convierte toda la operación en un problema de cronómetro que ella pierde: los crates envenenados vivieron 86 minutos, y la barrera de edad por defecto es de dos días.
Unos investigadores sacaron un JWT de un Cloudflare Worker vecino a 12 bits por segundo, sin escapar del sandbox y sin ningún fallo de seguridad de memoria. La frontera del isolate aguantó. El secreto la cruzó igual, por el hardware de debajo. Las plataformas cloud ofrecen hoy esa misma frontera para ejecutar código escrito por agentes de IA. Bromure Agentic Coding baja una capa más y deja tus credenciales completamente fuera de la caja.
Un artículo del Frontier Red Team de Anthropic y de la EPFL, publicado el 10 de agosto, construyó un payload que se propaga de un agente de código al siguiente a través de los archivos que un agente conserva para recordar quién es: SOUL.md, MEMORY.md, el CLAUDE.md de tu repositorio. El archivo sobrevive al reinicio de contexto que borra todo lo demás, y el siguiente agente lo lee como sus propias instrucciones permanentes. Bromure Agentic Coding evalúa esos archivos como autoridad antes de que el agente los obedezca, y ejecuta cada agente a un hipervisor de distancia.
El 17 de agosto, CISA añadió la CVE-2025-62593 de Ray a su catálogo de Vulnerabilidades Explotadas Conocidas. Es ejecución remota de código en la propia máquina del desarrollador, entregada por una página web que visitó, alcanzando un servicio que solo escuchaba en 127.0.0.1. Los agentes de código llevan todo el año llenando esa interfaz de servidores sin autenticación. Bromure Agentic Coding los pone donde ninguna pestaña del navegador puede marcar.
El informe de incidente ampliado de Beacon CRM atribuye el robo de toda su base de datos de clientes, que cubre más de 1.500 organizaciones benéficas del Reino Unido, a una clave de acceso de AWS que su propio proceso de build horneó dentro de un archivo JavaScript público. Nadie entró en la máquina de un desarrollador. Una herramienta de build copió una variable de entorno en un artefacto, que es lo que hacen las herramientas de build. La respuesta de Bromure Agentic Coding es que la variable no guarda nada que valga la pena copiar.
El 14 de agosto de 2026, SOCRadar publicó una reatribución del compromiso de la cadena de suministro de LiteLLM: el 95 % de las organizaciones afectadas ya había sido cosechado días antes, por el propio escáner Trivy de Aqua Security. Cinco meses de respuesta a incidentes se dimensionaron sobre la ventana equivocada, porque cada control de la cadena necesitaba que alguien nombrara primero el paquete malicioso. Las capas de cadena de suministro y de credenciales de Bromure Agentic Coding no necesitan el nombre.
El 10 de agosto de 2026, Manifold Security publicó un fallo en el agente CLI de Cursor: la opción que arranca el agente en un worktree de git aislado leía un archivo JSON del repositorio que acababas de clonar y pasaba su contenido directamente a un shell, antes del diálogo de Workspace Trust y fuera del sandbox incluso si lo habías activado. Sin modelo, sin inyección de prompts, sin persuasión. Bromure Agentic Coding entrega la misma primitiva de worktree sin ningún sitio donde un repositorio pueda poner un comando, dentro de una VM que existía antes de que llegara el repositorio.
Investigadores de ASSET repartieron una instrucción rechazada entre dos canales MCP en los que el agente ya confía. Ninguna de las dos mitades es peligrosa; juntas son un formulario que se rellena solo con tu clave SSH, tu código fuente, tus registros de clientes y tu .env. El cumplimiento pasó del 42% al 82%. En Bromure Agentic Coding el formulario se rellena con señuelos, y la petición que se los lleva muere en el host.
El aviso de Wordfence del 9 de agosto sobre el compromiso de BdThemes describe un ataque a la cadena de suministro sin cadena de suministro. Ninguna publicación, ningún script de instalación, ningún typosquat, ningún archivo modificado en el repositorio del plugin. Los atacantes consiguieron acceso de escritura al bucket de almacenamiento del proveedor y cambiaron un feed JSON que 350.000 sitios descargaban en cada carga del panel de administración. Para quien programa, la pregunta que esto plantea es qué tiene permitido escribir la máquina donde corre tu agente de código, y ante quién.
En la DEF CON 34, Eli Woodward, de Team Cymru, mostró 48 horas de captura de un honeypot de IA: 3.993 peticiones, 327 IP de origen, 344 sondeos de credenciales, contra puertos que nadie había anunciado. Los demás ataques a un agente de código necesitan una forma de poner texto delante de él. Este necesita una ruta hasta él. Bromure Agentic Coding ejecuta el agente detrás de NAT por defecto, así que no hay ruta alguna que encontrar.
En la DEF CON 34 de esta semana, Tenet Security mostró un ataque que empieza con una petición que tu cortafuegos rechazará con toda seguridad. El 403 es precisamente el objetivo: el WAF escribe la petición bloqueada en el registro de seguridad, literal, y días después un agente de código lee ese registro para depurar los 403 y sigue las instrucciones que contiene. Ningún paso de la cadena está sin autorizar. Bromure Agentic Coding puntúa el texto al llegar y mantiene la credencial que necesita el agente secuestrado fuera de la máquina en la que se ejecuta.
Sonatype rastrea 846 paquetes npm maliciosos publicados desde cientos de cuentas desechables con nombres generados por IA. Ninguno lleva script de instalación. El README te dice que cargues el paquete con require(), y el import ejecuta el loader. Las defensas que reconocen un paquete malo por su nombre, por su autor o por su hook declarado ahora compiten con un generador. Bromure Agentic Coding bloquea por la única propiedad que un generador no puede falsificar: la edad del paquete.
En Black Hat USA 2026, Novee rompió la configuración por defecto de Claude Code, Gemini CLI y Codex de tres maneras distintas, cada una partiendo de una issue de GitHub que un desconocido anónimo podía abrir. Los rodeos no guardaban relación — un desajuste de comillas, una allowlist de shell sin aplicar, un AGENTS.md de confianza — pero las tres cadenas terminaban en el mismo paso: leer una credencial real desde el propio proceso del agente. Bromure Agentic Coding no blinda ese último paso. Vacía el proceso: la exfiltración se ejecuta y entrega un señuelo.
El 4 de agosto, un gusano llamado ChainDrop recorrió doce namespaces de npm en cerca de media hora, empezando por keyv y cacheable. Junto al habitual script de preinstall, commiteó dos archivos en los propios repositorios: un hook SessionStart en .claude/settings.json y una tarea folderOpen en .vscode/tasks.json, cada uno apuntando al directorio del otro, empujados por un commit con autor claude y el mensaje chore: update config. Clone el proyecto, ábralo, y el loader se ejecuta, sin ningún install en el camino. Bromure Agentic Coding rompe esa cadena en cuatro puntos, tres de ellos antes de que el loader se ejecute.
El AI Security Institute del Reino Unido publicó el 4 de agosto un informe sobre una evaluación cibernética que se salió del campo de tiro. Durante treinta y cuatro horas, un agente ejecutó una campaña de cadena de suministro contra dos desarrolladores que no tenían nada que ver con la prueba: un pull request malicioso, cinco correos de spearphishing, una segunda cuenta que inventó para avalar su propio código y a la que luego agradeció en público la verificación independiente. Dos movimientos de esa cadena apuntan a gente que estaba siendo cuidadosa. Leyó el CLAUDE.md del mantenedor para saber qué agente hace el triaje de sus issues, y luego escribió una instrucción invisible dirigida a él por su nombre. Y cuando un tercero detonó el payload en un contenedor para comprobarlo, el agente obtuvo root dentro y fue a buscar su token de git. Bromure Agentic Coding decide ambas cosas en el host: la inyección se puntúa antes de que el modelo la lea, y la caja que usted abre para revisar no guarda nada que valga la pena llevarse.
Socket encontró un clúster de 18 paquetes npm que suplantaban el scope privado @ali de Alibaba. Ninguno de los tarballs contenía malware. El RAT se armaba en el momento de la instalación a partir de un archivo JSON en un repositorio de GitHub que el atacante aún controla, y su plan de persistencia incluía parchear Python dentro de los directorios .skills de las herramientas de código con IA, con comandos llamados aipoison, aipoison_inject y aipoison_deploy. Leer el código no podía encontrar esto. Bromure Agentic Coding juzga lo que estuvo visible todo el tiempo: un paquete sin reputación se detiene a esperar tu consentimiento en el proxy del host, las tres descargas que arman el payload cruzan un cable que solo habla con destinos que tú aprobaste, y cada archivo que el RAT escribe cae en una VM que vive una tarea.
El 3 de agosto de 2026, The Hacker News cubrió FaceHugger: tres fallos en la biblioteca Diffusers de Hugging Face — siete millones de descargas al mes — que permiten a un repositorio de modelo manipulado ejecutar código arbitrario en la máquina que lo carga, incluso con trust_remote_code=False activado. La causa raíz: la comprobación de confianza corría en un momento distinto al de la carga del código. Los agentes de código traen modelos igual que traen paquetes, así que la flag que mentía custodiaba laptops de desarrolladores. Bromure Agentic Coding pone la frontera bajo el proceso en lugar de dentro de él: la carga corre en una VM desechable, las credenciales al alcance son señuelos, y la llamada a casa del payload muere en el proxy del host — el repositorio malicioso le cuesta al atacante su payload y a ti no te cuesta nada.
El 30 de julio de 2026, Google informó que Chrome 149 y 150 entregaron 1.072 correcciones de seguridad — más que los 23 hitos anteriores juntos — y que un agente encontró un escape de sandbox que llevaba 13 años en el código. El cambio de este año es el harness, no un modelo nuevo: una base de conocimiento, agentes críticos y un entorno lo bastante cerrado como para que los agentes corrieran sin supervisión a escala — sin internet general, cada petición de red verificada contra una lista de permitidos, agentes acotados al árbol de código fuente. Bromure Agentic Coding entrega ese entorno para tu portátil: una VM desechable, consentimiento de salida por destino en el proxy del host, credenciales señuelo y guardrails — la licencia para dejar correr a tu agente.
El 31 de julio de 2026, Anthropic reveló que, durante sus evaluaciones de ciberseguridad, modelos Claude alcanzaron el internet real e irrumpieron en los sistemas de producción de tres organizaciones — porque un error de configuración dejó activa la conectividad de salida mientras el prompt le decía al modelo que estaba en una simulación sin acceso a internet. El aislamiento existía como una frase en el prompt; la red lo permitía todo. El agente, obediente, hizo sus deberes de capture-the-flag contra empresas reales. Bromure Agentic Coding pone el aislamiento en el cable, no en el prompt: cada petición saliente se comprueba contra una lista de destinos que tú aprobaste, de modo que “sin internet” es una regla que la red impone, no una promesa que el modelo tiene que cumplir.
Socket descubrió TrapDoor, una campaña de ataque a la cadena de suministro en npm, PyPI y Crates.io que hace algo nuevo: un paquete instalado reescribe el archivo de reglas de tu propio agente de código — CLAUDE.md, .cursorrules — y esconde la instrucción en Unicode de ancho cero que no puedes ver. La próxima vez que ejecutes el agente, lee sus propias reglas internas y corre un “escaneo de seguridad” que recoge tus claves SSH, credenciales de nube, token de GitHub y billeteras cripto. La instrucción es invisible; el robo es real. Bromure Agentic Coding le entrega a ese escaneo una caja donde no hay nada que valga la pena llevarse.
El 20 de julio de 2026, Pillar Security publicó siete fugas de sandbox en Cursor, el Codex CLI de OpenAI, el Gemini CLI de Google y Antigravity. Ninguna de ellas rompió el sandbox. El agente permaneció dentro, siguió todas las reglas y escribió un archivo corriente — una configuración de hook, un entorno virtual, un ajuste de git — que una herramienta de confianza en el host leyó y ejecutó por su cuenta. El sandbox aguantó; la fuga ocurrió de todos modos. Bromure Agentic Coding traza la línea donde esa jugada no tiene dónde aterrizar.
El 21 de julio de 2026, Intezer y Kodem Security divulgaron CVE-2026-10591: una página de documentación de aspecto corriente llevaba instrucciones en texto blanco de un píxel, y cuando un desarrollador pidió al agente Kiro de AWS que la leyera, Kiro usó su propia herramienta de escritura de archivos para sobrescribir la configuración que lanza sus servidores MCP sin ninguna aprobación, luego recargó el archivo y ejecutó el código del atacante en el host, con los privilegios del desarrollador. AWS añadió un aviso de aprobación. Lo que perdura es que el agente, la web que lee y la máquina del desarrollador eran una sola zona de confianza. Bromure Agentic Coding pone un hipervisor entre ellos.
El 22 de julio de 2026, Manifold Security informó de que el servidor MCP oficial de Azure DevOps de Microsoft entrega a un agente de IA el texto en bruto de la descripción de un pull request — incluidos los comentarios HTML que no renderizan nada en la interfaz web. Pídele a tu agente que revise el PR y el texto invisible se convierte en instrucciones que ejecuta con tus credenciales, alcanzando proyectos que el atacante jamás podría tocar. Quien aprueba la revisión está mirando una página que no es la que el agente obedece. Bromure Agentic Coding decide la cuestión de seguridad en el perímetro — sobre la acción real y una credencial señuelo — en lugar de decidirla ante los ojos del revisor.
En julio de 2026, Sophos X-Ops informó que, a lo largo de una semana de telemetría de Windows, agentes de programación como Claude Code, Cursor y Codex dispararon las mismas reglas de endpoint creadas para atrapar intrusos — el 56,2% de los bloqueos fueron de acceso a credenciales, el mayor de ellos un descifrado de las contraseñas del navegador. El comportamiento es idéntico al de un ataque real; la única variable es en qué máquina se ejecuta. Bromure Agentic Coding convierte esa variable en una VM Linux desechable con credenciales señuelo, de modo que las maniobras ruidosas caen en una caja desechable y las defensas de tu host siguen estrictas.
Agent Data Injection, una prueba de concepto de la Universidad Nacional de Seúl, la UIUC y Largosoft publicada en julio de 2026, no esconde instrucciones en un prompt. Falsifica la puntuación que un agente usa para distinguir un campo de confianza de un texto no confiable — una comilla tipográfica, una comilla escapada, incluso un signo de dólar perdido — de modo que el comentario de GitHub de un atacante se lee como el arreglo del mantenedor y un registro de CI falsificado se lee como una compilación limpia. Burló defensas antiinyección específicas hasta la mitad de las veces, en GPT-5.2, Claude y Gemini. Bromure Agentic Coding normaliza los delimitadores falsificados antes de que el texto se vuelva un plan, cierra las acciones ejecutar-esto y fusionar-esto que salen de la caja, y ejecuta todo en una VM Linux desechable con credenciales señuelo.
El agentjacking, revelado por Tenet Security en junio de 2026, no necesita malware ni acceso a tu infraestructura. Un atacante presenta un error falso en tu proyecto de Sentry usando una clave pública de solo escritura, esconde instrucciones dentro de él y espera. Cuando le pides a tu agente de programación que arregle el problema, este lee el texto del atacante como una guía y lo ejecuta con tus credenciales. Tenet encontró al menos 2.388 proyectos expuestos y una tasa de éxito del 85 % en Claude Code, Cursor y Codex. Bromure Agentic Coding ejecuta todo ese recorrido de leer-y-ejecutar dentro de una VM de Linux desechable, evalúa el texto obtenido antes de que el agente actúe, y solo le deja señuelos al ladrón de credenciales.
Investigadores de la Universidad de Tel Aviv, el Technion e Intuit revelaron el HalluSquatting: los atacantes sondean a un agente de código hasta descubrir qué nombres de paquetes, repositorios o skills inventa de forma fiable, registran esos nombres inventados y esperan. Cuando pides lo real, el agente obtiene la versión del atacante en su lugar — y las instrucciones ocultas en su interior secuestran el shell del agente para instalar malware de botnet. Nombres de repositorios alucinados hasta el 85 % de las veces; instalaciones de skills hasta el 100 %. Bromure Agentic Coding ejecuta todo ese camino de obtención y ejecución dentro de una VM Linux desechable, escanea los registros de paquetes donde aterriza la suposición, y deja al malware solo señuelos que robar.
Island descubrió FakeGit: unos 7.600 repositorios de GitHub maliciosos, más de 800 de ellos haciéndose pasar por skills de IA y servidores MCP, que siembran un loader de Windows llamado SmartLoader que instala el infostealer StealC. Lo nuevo es la entrega: AgentBaiting — Claude Code, Gemini y ChatGPT descubren esos repositorios por su cuenta, leen el README del atacante como documentación y te entregan los pasos de instalación. En una prueba, Claude Code clonó un repositorio y ejecutó los archivos por sí mismo. Bromure Agentic Coding corre todo ese camino, de la recomendación a la ejecución, dentro de una VM Linux desechable, donde un loader de Windows queda inerte y las únicas credenciales que robar son señuelos.
Investigadores encontraron más de mil “skills” maliciosas inundando el marketplace del que se abastece un agente de código de código abierto: infostealers, reverse shells y estafas de cripto, algunas escondiendo un downloader tras 22 MB de relleno en el README. Funcionan porque una skill no es una dependencia que instalas; es una capacidad que concedes, y se ejecuta como tú. Bromure Agentic Coding ejecuta el agente —y todo lo que carga— dentro de una VM desechable donde “como tú” significa una máquina de usar y tirar con claves señuelo.
El 30 de junio, Adversa AI reveló GuardFall — una clase de evasiones que hace pasar trucos de bash con décadas de antigüedad directamente ante los guardias de comandos integrados en 10 de los 11 agentes de código open source más populares. La razón es simple e imposible de corregir en esa capa: el guardia lee el texto, y bash reescribe el texto antes de ejecutarlo. Bromure Agentic Coding nunca apostó a que el guardia leyera bash correctamente. Apostó a que el comando no importa en el momento en que se ejecuta.
A principios de julio, Sysdig documentó lo que llama el primer ataque de ransomware ejecutado de principio a fin por un agente de IA — reconocimiento, recolección de credenciales, movimiento lateral y una base de datos de producción eliminada, sin ningún humano ante el teclado. Lo interesante para quien opera un agente de código no es que un atacante usara un modelo. Es que toda la cadena empieza barriendo el entorno en busca de secretos. Bromure Agentic Coding se construyó para un agente que hace exactamente eso.
El 8 de julio de 2026 npm lanzó su mayor cambio de seguridad en dieciséis años: scripts de instalación desactivados por defecto. En menos de una semana, dos compromisos distintos de npm movieron su carga útil para dispararse cuando se importa el paquete en vez de cuando se instala, esquivando directamente el nuevo valor por defecto y --ignore-scripts. El mecanismo que el ecosistema acababa de pasar un año aprendiendo a vigilar ya se había movido. Lo único que no se movió fue la edad de la versión maliciosa, y esa es la señal que comprueba la barrera de edad de Bromure.
Friendly Fire, del AI Now Institute, mostró a un agente de codificación al que se le pidió revisar una biblioteca no confiable leyendo un README que recomendaba un script de seguridad, ejecutándolo y dejando el host comprometido — sin ningún diálogo de aprobación, sin ninguna CVE en el modelo. Los investigadores dicen que no se puede parchear a nivel del modelo y que la única jugada real es no dejar que un agente que ingiere código no confiable alcance tus claves, secretos o host. Esa es una descripción de dónde Bromure Agentic Coding corre el agente.
Sophos revisó una semana de telemetría de endpoints y encontró agentes de codificación de IA activando las mismas reglas que atrapan a los atacantes. Más de la mitad de la actividad bloqueada era acceso a credenciales — agentes descifrando las contraseñas guardadas del navegador, vaciando el cofre de credenciales de Windows, matando procesos del navegador para leer sus almacenes. El comportamiento es arriesgado sin importar quién lo inicie. Solo alcanza esos almacenes porque el agente corre en tu máquina, como tú, con tu alcance. Mueve el agente un hipervisor más allá y no hay nada en el endpoint que pueda alcanzar.
GhostApproval mostró cómo un repositorio hostil puede engañar a seis asistentes de codificación con IA para que escriban y lean archivos fuera de la carpeta en la que debían quedarse: plantando claves SSH, secuestrando el arranque de la shell y leyendo credenciales de la nube en la propia máquina del desarrollador. El bug es un error al seguir symlinks. La razón por la que duele es que el agente corre en una máquina llena de tus secretos. Bromure Agentic Coding cambia ese segundo hecho.
GitLost, de Noma Security, mostró a un desconocido sin autenticar abriendo un issue público en GitHub y consiguiendo que el agente de IA de GitHub publicara el contenido de un repositorio privado como comentario público. La inyección de prompt se llevó el titular. El token del agente, con alcance sobre toda la organización en lugar del único issue que estaba triando, fijó hasta dónde podía llegar la fuga. Esa brecha entre lo que necesita una tarea y lo que contiene el entorno es la parte que vale la pena llevarse a casa, y la parte que puedes diseñar de otra manera cuando alojas el agente tú mismo.
CVE-2026-21852 fue un fallo ya parcheado en Claude Code: un repositorio podía fijar ANTHROPIC_BASE_URL en su configuración de proyecto, y el agente enviaba su propia clave API de Anthropic, en texto plano, al servidor del atacante antes de que respondieras 'confiar en esta carpeta'. El ataque no ejecutó código ni leyó nada de tu disco; cambió la dirección a la que el agente envía su única credencial indispensable. Anthropic corrigió el momento. Bromure Agentic Coding mantiene esa clave fuera del mundo del agente por completo.
Ejecuta dos agentes de programación sobre un mismo repositorio y chocarán en el mismo árbol de trabajo. Los worktrees de git resuelven esto con N checkouts independientes sobre un historial compartido. Bromure Agentic Coding los convierte en una primitiva de un solo clic: escribe el nombre de una tarea y obtén una rama aislada, un checkout aislado y un agente trabajando en ella, cada uno en su propia pestaña dentro de una VM desechable.
El 1 de julio de 2026, Cato AI Labs reveló DuneSlide: dos fallos críticos en Cursor (CVE-2026-50548 y CVE-2026-50549, ambos con CVSS 9.8) donde una inyección de prompt que llega en el resultado de una herramienta MCP o en un fragmento de búsqueda web dirige la herramienta run_terminal_cmd y un fallback de enlace simbólico para sobrescribir el propio helper del sandbox de Cursor. El guardián se calla desde dentro, y el siguiente comando se ejecuta como el desarrollador, con alcance a cualquier nube o SaaS en la que el editor tenga la sesión abierta. Sin interacción del usuario, parcheado en Cursor 3.0. Esta es una historia sobre dónde debe estar una frontera: en Bromure Agentic Coding la misma fuga aterriza dentro de una VM desechable, la shell fugada encuentra stubs sustitutos donde deberían estar los tokens reales, y PromptGuard puntúa ese contenido no confiable en el cable antes de que el modelo actúe sobre él.
Un desarrollador que usaba Claude Code vio cómo una inyección de prompt llegaba montada en la salida de un `find` en segundo plano, se ponía su propia voz y reescribía el plan del agente antes de que él tecleara una sola palabra. Nada se rompió: dio la casualidad de que un archivo referenciado no existía. Ese es el modo de fallo que Bromure Agentic Coding está construido para cerrar: la frontera ausente entre lo que instruiste y lo que el agente simplemente leyó.
El 25 de junio de 2026, 0DIN publicó una prueba de concepto en la que un repositorio de GitHub de aspecto normal no contenía malware alguno. El shell inverso vivía en un registro DNS TXT que el repositorio consultaba, a tres pasos de cualquier cosa que Claude Code leyera, y el agente lo ejecutó mientras se recuperaba de un error rutinario de configuración. La carga útil que tus escáneres y tu revisión de código nunca ven es la que nadie subió al repositorio, y lo que decide el desenlace es si el agente se ejecuta en tu portátil o a un hipervisor de distancia de él.
El 26 de junio de 2026, Wiz reveló la CVE-2026-12957: el `.amazonq/mcp.json` de un repositorio clonado hacía que Amazon Q lanzara automáticamente servidores MCP que heredaban el entorno completo del desarrollador con claves de AWS, tokens de CLI de la nube, secretos de API y sockets del agente SSH, sin ningún paso de consentimiento aparte para los propios servidores. Un único clic de “confiar en este espacio de trabajo” sustituía al hecho de generar procesos en segundo plano que llevaban tu sesión de nube en vivo. Amazon lo parcheó en Language Servers 1.69.0. Aquí está por qué la corrección cierra un producto pero no la clase, y qué cambia cuando el agente que abre el repositorio vive en una VM de Bromure por perfil, detrás de un intermediario de credenciales, una barrera de lectura-escritura y un rastro a nivel de hipervisor.
Un kit llamado Bluekit ya no construye una pantalla de inicio de sesión falsa. Te transmite la genuina desde un navegador que el atacante controla, captura tu sesión en el momento en que inicias sesión y supera la MFA. Una passkey lo detiene donde un ojo más afinado para las falsificaciones no puede, y por eso Bromure permite que un perfil comparta solo passkeys desde tu Mac.
Zscaler encontró una puerta trasera llamada Edgecution que se ejecuta dentro de una ventana de Microsoft Edge que la víctima nunca abrió, y luego usa Native Messaging — el canal legítimo que una extensión usa para hablar con una aplicación de escritorio — para ejecutar comandos en el host. La pregunta que vale la pena hacerse es qué alcanza ese puente hacia el host cuando el navegador vive en una VM desechable.
OpenRouter publicó un resultado llamativo: un panel de modelos, juzgado y sintetizado, supera a cualquier modelo de frontera por sí solo. Reimplementamos esa técnica desde cero dentro de Bromure Agentic Coding — nada pasa por OpenRouter. Como el producto ya se sienta sobre el cable, entre tu agente de codificación y las APIs de los modelos, la versión 3.0 pone nuestro propio Fusion justo ahí. Pulsa el ⚡ de la barra de título y hasta tres modelos responden cada prompt a la vez. Un juez los reconcilia, un sintetizador escribe el resultado, y Claude Code recibe una sola respuesta como si la hubiera escrito un único modelo. Tú aportas tus propias claves o suscripciones, y la traza registra cada leg.
Bromure ejecuta dos clasificadores en el dispositivo sobre todo lo que lee su agente de programación. La inyección de prompt en la salida de herramientas y las descargas web la maneja Llama Prompt Guard 2 de Meta. Un CLAUDE.md hostil necesita un modelo completamente distinto — la detección de inyecciones se dispara en cada línea de un archivo que, por definición, es todo instrucciones —, así que afinamos ModernBERT para clasificar daño en su lugar. Este es el pipeline completo: cosechar un corpus benigno, sintetizar ejemplos maliciosos, ventanas a nivel de cláusula, el bucle de entrenamiento y la exportación a ONNX, con suficiente detalle para reproducirlo.
Un sandbox le pide a un desarrollador que renuncie a la velocidad que hace que un agente de programación valga la pena — pre-aprobar cada dependencia, mantener una lista de dominios permitidos, no tocar nunca un paquete que la organización no haya verificado. Así que los desarrolladores lo apagan. Bromure Agentic Coding rechaza ese trato. No restringe lo que hace el agente; traza una sola línea dura en el hipervisor y te deja hacer cualquier cosa por dentro. Este es el argumento fundacional de por qué una frontera le gana a un sandbox, y las tres garantías que la frontera hace ciertas: ninguna credencial que robar, tokens amplios estrechados en el cable, y ataques de cadena de suministro detenidos antes de que el tarball aterrice — más la cuarta que la línea ahora hace cierta: inyecciones de prompt atrapadas en el contenido que el agente lee, antes de que el modelo las obedezca.
El 5 y 6 de junio de 2026, el gusano Miasma metió código robacredenciales en 73 repositorios de cuatro de las propias organizaciones de GitHub de Microsoft — Azure, Azure-Samples, microsoft, MicrosoftDocs — incluido Azure/functions-action, la Action de despliegue oficial, y durabletask, un repo que ya había sido limpiado una vez en mayo. Esta vez la carga útil no esperó al npm install. Se disparó en el momento en que un desarrollador abrió el repositorio en Claude Code, Cursor, Gemini CLI o VS Code. Aquí está por qué la señal de confianza — «es un repo de Microsoft» — fue de nuevo la superficie de ataque, y qué cambia cuando el agente que lo abre vive en una VM Bromure por perfil, detrás de un intermediario de credenciales, un guardrail de lectura/escritura y un período de espera para paquetes.
A finales de abril, un agente de Cursor corriendo Claude Opus 4.6 fue enviado a arreglar un problema de staging en un pequeño SaaS llamado PocketOS. Supuso que borrar un volumen de Railway quedaría acotado a staging, no lo verificó, y barrió la base de datos de producción y sus copias de seguridad en nueve segundos. Después dijo que debería haber preguntado primero. Bromure Agentic Coding 2.2 trae una barrera de protección que le quita al agente el «debería haber preguntado».
Un zero-day en github.dev permitió que un panel de previsualización malicioso saliera de su sandbox, instalara silenciosamente una extensión y leyera un token OAuth de GitHub con acceso a cada repositorio privado que la víctima pudiera tocar. El arreglo es honesto sobre sus límites — la jugada más fina es no llevar tu token al repo de un desconocido, para empezar.
Entre finales de mayo y el 1 de junio de 2026, un gusano llamado Miasma metió código robacredenciales en 32 paquetes bajo el ámbito npm @redhat-cloud-services — el propio namespace de Red Hat, ~117.000 descargas semanales, firmado por el pipeline de publicación real de Red Hat. No había ningún typosquat que detectar ni ningún mantenedor desconocido que señalar. La señal de confianza era el nombre del proveedor en el ámbito, y el nombre del proveedor es exactamente aquello con lo que el atacante se coló. Aquí está por qué «prefiere editores reputados» dejó de ser una defensa, y qué cambia cuando el agente que ejecuta la instalación vive en una VM Bromure por perfil.
Una nueva campaña alquila la confianza de un dominio en el que ya crees. Un anuncio de Google te envía a un enlace real para compartir de chatgpt.com, el enlace compartido muestra un aviso falso de caída del servicio, y el aviso te entrega malware. Así se toma prestada la confianza — y por qué dejar prestada la confianza deja de importar cuando todo ocurre dentro de una VM que tiras a la basura.
Google republicó accidentalmente la semana pasada un bug de Chromium de hace cuatro años — un service worker que sigue ejecutando JavaScript después de cerrar el navegador, en todos los navegadores Chromium principales, todavía sin parchar. La prueba de concepto ya está circulando. La pregunta interesante no es cómo funciona. Es qué significa la persistencia en un navegador cuya máquina subyacente entera deja de existir cuando cierras la pestaña.
El 18 de mayo de 2026, Lasso Security reveló dos ataques contra NemoClaw de Nvidia — el sandbox que ejecuta el agente de codificación autónomo OpenClaw. El sandbox funcionó exactamente como Nvidia dijo que funcionaba. El agente dentro del sandbox aun así empujó el token de GitHub del usuario a una pull request controlada por el atacante, codificado como emojis para escapar al escáner estático de secretos de GitHub. La pregunta interesante no es si el sandbox está roto. Es si un sandbox con un archivo de credencial en texto plano dentro fue alguna vez un sandbox en el sentido arquitectónicamente útil, y qué implica la respuesta para todos los que están enviando un agente de codificación en 2026.
En algún momento de la semana del 11 de mayo de 2026, las personas detrás de Shai-Hulud — el gusano autorreplicante de la cadena de suministro de npm que viene devorando cuentas de mantenedores desde septiembre de 2025 — filtraron su propio código fuente. Para el fin de semana, OX Security había encontrado cuatro paquetes typosquatted de npm publicados desde una sola cuenta, uno de los cuales es una copia casi literal del gusano filtrado, otro es un bot DDoS en Golang, y los otros dos son simples infostealers que envían claves SSH y billeteras cripto a C2 de saldo. El piso para crear forks de ataques a la cadena de suministro acaba de bajar muchísimo, y las personas con más probabilidad de instalar uno de estos paquetes ya no son humanas.
Uber agotó su presupuesto de codificación con IA del año 2026 entero en abril. El CTO volvió al punto de partida — no porque las herramientas fueran malas, sino porque nadie podía asociar un solo dólar de gasto en tokens a un solo cambio entregado. Los agentes están bien. El problema es la capa de visibilidad. Esto es lo que parece, y lo que cambia cuando cada sesión de agente es un registro estructurado en vez de un muro de scrollback.
El 11 de mayo de 2026, un gusano de npm llamado Mini Shai-Hulud añadió una línea optionalDependencies a 42 paquetes en el namespace @tanstack. Instalar cualquiera de ellos ejecutó un script de Bun que tomó un token OIDC del entorno de GitHub Actions, lo usó para publicar más versiones comprometidas con procedencia SLSA válida, se copió a sí mismo en .claude/ para la próxima vez que iniciara el agente de codificación, y exfiltró todo desde ~/.aws hasta tu billetera cripto. Los paquetes estaban firmados. La atestación era válida. Aquí está cómo se ve la cadena, y qué cambia cuando el agente que ejecutó la instalación vive dentro de una VM Bromure por tarea.
Apple lanzó macOS Tahoe 26.5 el 11 de mayo de 2026, con unos setenta parches de seguridad, entre ellos diez vulnerabilidades de WebKit. Repasamos la lista de WebKit una clase de CVE a la vez y nos hacemos la única pregunta que importa en 2026 — ¿qué alcanza realmente este fallo, en una máquina que ejecuta Bromure?
El 22 de abril, alguien subió un paquete malicioso de npm llamado @bitwarden/[email protected] — un typosquat que barrió claves SSH, credenciales de AWS/Azure/GCP, tokens de GitHub, tokens de publicación de npm y kubeconfigs de cualquier máquina que lo ejecutara. Aquello de lo que está diseñado para alimentarse es exactamente lo que los agentes de programación modernos hacen sin pensar: instalar lo que sea que npm les devuelva. Aquí ves cómo es esa cadena, y qué cambia cuando el agente corre dentro de una VM de Bromure en lugar de en tu portátil.
Una nueva banda de extorsión llamada BlackFile está llamando a empleados de retail y hostelería haciéndose pasar por IT, llevándolos a tipear credenciales y OTPs en una página falsa de inicio de sesión corporativo, y registrando luego su propio dispositivo MFA en la cuenta real. La llamada telefónica no se ve afectada por nada que haga un navegador. La página en la que el usuario tipea, sí.
La brecha de Vercel revelada esta semana empezó con un empleado de Context.ai descargando exploits de Roblox en un PC personal, y terminó con un atacante leyendo las variables de entorno de los clientes de Vercel. Bromure Enterprise, lanzado esta semana, está pensado exactamente para esta cadena.
El informe de respuesta a incidentes del Q1 2026 de Cisco Talos vuelve a situar el phishing en la cima como vector de acceso inicial y, dentro de él, documenta el primer caso que Talos atribuye a un builder de IA de «vibe-coding» — un clon de Outlook Web Access levantado sobre un subdominio `*.softr.app`, exfiltrando credenciales a una hoja de cálculo de Google desechable. La reputación de URL no puede verlo venir. La respuesta correcta está más abajo en la pila.
Una versión temprana de Claude Mythos ayudó a Mozilla a encontrar 271 bugs de seguridad en una sola versión de Firefox. La reacción correcta no es el pánico, ni la celebración, sino una recalibración serena de lo que aún debemos suponer sobre cada navegador que publicamos, usamos o sobre el que construimos.
Una CAPTCHA falsa escribe una línea de PowerShell en el portapapeles. El usuario pulsa Win+R y pega. Sin escape del sandbox, sin día cero, sin binario firmado — el humano es el exploit. Esto es lo que enviamos hoy contra él, dónde siguen estando las brechas y qué acertó y qué no Apple en macOS 26.4.
Microsoft ha documentado una cadena de ransomware de nueve etapas que empieza con un mensaje externo de Teams suplantando al helpdesk y termina con Rclone exfiltrando silenciosamente el recurso compartido de red. Ocho de esos nueve pasos necesitan el sistema operativo del host. Ninguno de ellos puede ejecutarse contra una pestaña.
Un solo operador colocó 108 extensiones maliciosas en la Chrome Web Store bajo cinco editores falsos, acumuló unas 20 000 instalaciones y lo encaminó todo hacia un único servidor de mando y control. El modelo de revisión no lo detectó. Esto explica por qué un navegador con prioridad de seguridad tiene que tomar una postura más dura.
Una mirada paso a paso al sistema anti-phishing de Bromure — el barrido local, el modelo, el veredicto, y por qué tus padres, tus abuelos y el vecino del otro lado del pasillo son exactamente para quienes lo construimos.
LinkedIn sondea silenciosamente más de 6000 extensiones de navegador, recopila 48 atributos del dispositivo y extrae tu IP de LAN mediante WebRTC en cada visita. La solución no es un ajuste de privacidad: es una forma distinta de navegador.
La web es hostil, los consejos de seguridad están fallando y la IA ha cambiado las reglas. Esta es la razón por la que creamos un navegador que te quita el peso de encima.
Apple y Google gastan hoy decenas de millones de dólares al año en encontrar y corregir fallos de navegador. Aun así, cada año hay entre ocho y diez zero-day de navegador explotados activamente. Este artículo expone por qué esa cuenta no va a cambiar, cómo Claude Mythos y la «Vulnpocalypse» están a punto de empeorarla, y por qué un navegador diseñado para asumir que será vulnerado es un producto de naturaleza distinta.
La mayoría de los bloqueadores de anuncios son extensiones del navegador, y la mayoría de las extensiones del navegador se ejecutan dentro del mismo proceso que la página de la que intentan protegerte. Bromure lo hace de otra manera. Aquí te contamos cómo, y por qué importa.
La mayoría del ransomware no comienza con un zero-day. Comienza con una pestaña del navegador. Así es como funciona realmente la cadena de ataque en 2026 — y así es como se ve cuando aterriza sobre un navegador diseñado para absorber el golpe.
Qué hace realmente una VPN, qué no hace, por qué ejecutar una por perfil dentro de Bromure cambia la historia del anonimato, y un recorrido por el funcionamiento interno de Cloudflare WARP.