Análisis en profundidad sobre la seguridad del navegador, el aislamiento y las ideas detrás de Bromure.
Agent Data Injection, una prueba de concepto de la Universidad Nacional de Seúl, la UIUC y Largosoft publicada en julio de 2026, no esconde instrucciones en un prompt. Falsifica la puntuación que un agente usa para distinguir un campo de confianza de un texto no confiable — una comilla tipográfica, una comilla escapada, incluso un signo de dólar perdido — de modo que el comentario de GitHub de un atacante se lee como el arreglo del mantenedor y un registro de CI falsificado se lee como una compilación limpia. Burló defensas antiinyección específicas hasta la mitad de las veces, en GPT-5.2, Claude y Gemini. Bromure Agentic Coding normaliza los delimitadores falsificados antes de que el texto se vuelva un plan, cierra las acciones ejecutar-esto y fusionar-esto que salen de la caja, y ejecuta todo en una VM Linux desechable con credenciales señuelo.
El agentjacking, revelado por Tenet Security en junio de 2026, no necesita malware ni acceso a tu infraestructura. Un atacante presenta un error falso en tu proyecto de Sentry usando una clave pública de solo escritura, esconde instrucciones dentro de él y espera. Cuando le pides a tu agente de programación que arregle el problema, este lee el texto del atacante como una guía y lo ejecuta con tus credenciales. Tenet encontró al menos 2.388 proyectos expuestos y una tasa de éxito del 85 % en Claude Code, Cursor y Codex. Bromure Agentic Coding ejecuta todo ese recorrido de leer-y-ejecutar dentro de una VM de Linux desechable, evalúa el texto obtenido antes de que el agente actúe, y solo le deja señuelos al ladrón de credenciales.
Investigadores de la Universidad de Tel Aviv, el Technion e Intuit revelaron el HalluSquatting: los atacantes sondean a un agente de código hasta descubrir qué nombres de paquetes, repositorios o skills inventa de forma fiable, registran esos nombres inventados y esperan. Cuando pides lo real, el agente obtiene la versión del atacante en su lugar — y las instrucciones ocultas en su interior secuestran el shell del agente para instalar malware de botnet. Nombres de repositorios alucinados hasta el 85 % de las veces; instalaciones de skills hasta el 100 %. Bromure Agentic Coding ejecuta todo ese camino de obtención y ejecución dentro de una VM Linux desechable, escanea los registros de paquetes donde aterriza la suposición, y deja al malware solo señuelos que robar.
Island descubrió FakeGit: unos 7.600 repositorios de GitHub maliciosos, más de 800 de ellos haciéndose pasar por skills de IA y servidores MCP, que siembran un loader de Windows llamado SmartLoader que instala el infostealer StealC. Lo nuevo es la entrega: AgentBaiting — Claude Code, Gemini y ChatGPT descubren esos repositorios por su cuenta, leen el README del atacante como documentación y te entregan los pasos de instalación. En una prueba, Claude Code clonó un repositorio y ejecutó los archivos por sí mismo. Bromure Agentic Coding corre todo ese camino, de la recomendación a la ejecución, dentro de una VM Linux desechable, donde un loader de Windows queda inerte y las únicas credenciales que robar son señuelos.
Investigadores encontraron más de mil “skills” maliciosas inundando el marketplace del que se abastece un agente de código de código abierto: infostealers, reverse shells y estafas de cripto, algunas escondiendo un downloader tras 22 MB de relleno en el README. Funcionan porque una skill no es una dependencia que instalas; es una capacidad que concedes, y se ejecuta como tú. Bromure Agentic Coding ejecuta el agente —y todo lo que carga— dentro de una VM desechable donde “como tú” significa una máquina de usar y tirar con claves señuelo.
El 30 de junio, Adversa AI reveló GuardFall — una clase de evasiones que hace pasar trucos de bash con décadas de antigüedad directamente ante los guardias de comandos integrados en 10 de los 11 agentes de código open source más populares. La razón es simple e imposible de corregir en esa capa: el guardia lee el texto, y bash reescribe el texto antes de ejecutarlo. Bromure Agentic Coding nunca apostó a que el guardia leyera bash correctamente. Apostó a que el comando no importa en el momento en que se ejecuta.
A principios de julio, Sysdig documentó lo que llama el primer ataque de ransomware ejecutado de principio a fin por un agente de IA — reconocimiento, recolección de credenciales, movimiento lateral y una base de datos de producción eliminada, sin ningún humano ante el teclado. Lo interesante para quien opera un agente de código no es que un atacante usara un modelo. Es que toda la cadena empieza barriendo el entorno en busca de secretos. Bromure Agentic Coding se construyó para un agente que hace exactamente eso.
El 8 de julio de 2026 npm lanzó su mayor cambio de seguridad en dieciséis años: scripts de instalación desactivados por defecto. En menos de una semana, dos compromisos distintos de npm movieron su carga útil para dispararse cuando se importa el paquete en vez de cuando se instala, esquivando directamente el nuevo valor por defecto y --ignore-scripts. El mecanismo que el ecosistema acababa de pasar un año aprendiendo a vigilar ya se había movido. Lo único que no se movió fue la edad de la versión maliciosa, y esa es la señal que comprueba la barrera de edad de Bromure.
Friendly Fire, del AI Now Institute, mostró a un agente de codificación al que se le pidió revisar una biblioteca no confiable leyendo un README que recomendaba un script de seguridad, ejecutándolo y dejando el host comprometido — sin ningún diálogo de aprobación, sin ninguna CVE en el modelo. Los investigadores dicen que no se puede parchear a nivel del modelo y que la única jugada real es no dejar que un agente que ingiere código no confiable alcance tus claves, secretos o host. Esa es una descripción de dónde Bromure Agentic Coding corre el agente.
Sophos revisó una semana de telemetría de endpoints y encontró agentes de codificación de IA activando las mismas reglas que atrapan a los atacantes. Más de la mitad de la actividad bloqueada era acceso a credenciales — agentes descifrando las contraseñas guardadas del navegador, vaciando el cofre de credenciales de Windows, matando procesos del navegador para leer sus almacenes. El comportamiento es arriesgado sin importar quién lo inicie. Solo alcanza esos almacenes porque el agente corre en tu máquina, como tú, con tu alcance. Mueve el agente un hipervisor más allá y no hay nada en el endpoint que pueda alcanzar.
GhostApproval mostró cómo un repositorio hostil puede engañar a seis asistentes de codificación con IA para que escriban y lean archivos fuera de la carpeta en la que debían quedarse: plantando claves SSH, secuestrando el arranque de la shell y leyendo credenciales de la nube en la propia máquina del desarrollador. El bug es un error al seguir symlinks. La razón por la que duele es que el agente corre en una máquina llena de tus secretos. Bromure Agentic Coding cambia ese segundo hecho.
GitLost, de Noma Security, mostró a un desconocido sin autenticar abriendo un issue público en GitHub y consiguiendo que el agente de IA de GitHub publicara el contenido de un repositorio privado como comentario público. La inyección de prompt se llevó el titular. El token del agente, con alcance sobre toda la organización en lugar del único issue que estaba triando, fijó hasta dónde podía llegar la fuga. Esa brecha entre lo que necesita una tarea y lo que contiene el entorno es la parte que vale la pena llevarse a casa, y la parte que puedes diseñar de otra manera cuando alojas el agente tú mismo.
CVE-2026-21852 fue un fallo ya parcheado en Claude Code: un repositorio podía fijar ANTHROPIC_BASE_URL en su configuración de proyecto, y el agente enviaba su propia clave API de Anthropic, en texto plano, al servidor del atacante antes de que respondieras 'confiar en esta carpeta'. El ataque no ejecutó código ni leyó nada de tu disco; cambió la dirección a la que el agente envía su única credencial indispensable. Anthropic corrigió el momento. Bromure Agentic Coding mantiene esa clave fuera del mundo del agente por completo.
Ejecuta dos agentes de programación sobre un mismo repositorio y chocarán en el mismo árbol de trabajo. Los worktrees de git resuelven esto con N checkouts independientes sobre un historial compartido. Bromure Agentic Coding los convierte en una primitiva de un solo clic: escribe el nombre de una tarea y obtén una rama aislada, un checkout aislado y un agente trabajando en ella, cada uno en su propia pestaña dentro de una VM desechable.
El 1 de julio de 2026, Cato AI Labs reveló DuneSlide: dos fallos críticos en Cursor (CVE-2026-50548 y CVE-2026-50549, ambos con CVSS 9.8) donde una inyección de prompt que llega en el resultado de una herramienta MCP o en un fragmento de búsqueda web dirige la herramienta run_terminal_cmd y un fallback de enlace simbólico para sobrescribir el propio helper del sandbox de Cursor. El guardián se calla desde dentro, y el siguiente comando se ejecuta como el desarrollador, con alcance a cualquier nube o SaaS en la que el editor tenga la sesión abierta. Sin interacción del usuario, parcheado en Cursor 3.0. Esta es una historia sobre dónde debe estar una frontera: en Bromure Agentic Coding la misma fuga aterriza dentro de una VM desechable, la shell fugada encuentra stubs sustitutos donde deberían estar los tokens reales, y PromptGuard puntúa ese contenido no confiable en el cable antes de que el modelo actúe sobre él.
Un desarrollador que usaba Claude Code vio cómo una inyección de prompt llegaba montada en la salida de un `find` en segundo plano, se ponía su propia voz y reescribía el plan del agente antes de que él tecleara una sola palabra. Nada se rompió: dio la casualidad de que un archivo referenciado no existía. Ese es el modo de fallo que Bromure Agentic Coding está construido para cerrar: la frontera ausente entre lo que instruiste y lo que el agente simplemente leyó.
El 25 de junio de 2026, 0DIN publicó una prueba de concepto en la que un repositorio de GitHub de aspecto normal no contenía malware alguno. El shell inverso vivía en un registro DNS TXT que el repositorio consultaba, a tres pasos de cualquier cosa que Claude Code leyera, y el agente lo ejecutó mientras se recuperaba de un error rutinario de configuración. La carga útil que tus escáneres y tu revisión de código nunca ven es la que nadie subió al repositorio, y lo que decide el desenlace es si el agente se ejecuta en tu portátil o a un hipervisor de distancia de él.
El 26 de junio de 2026, Wiz reveló la CVE-2026-12957: el `.amazonq/mcp.json` de un repositorio clonado hacía que Amazon Q lanzara automáticamente servidores MCP que heredaban el entorno completo del desarrollador con claves de AWS, tokens de CLI de la nube, secretos de API y sockets del agente SSH, sin ningún paso de consentimiento aparte para los propios servidores. Un único clic de “confiar en este espacio de trabajo” sustituía al hecho de generar procesos en segundo plano que llevaban tu sesión de nube en vivo. Amazon lo parcheó en Language Servers 1.69.0. Aquí está por qué la corrección cierra un producto pero no la clase, y qué cambia cuando el agente que abre el repositorio vive en una VM de Bromure por perfil, detrás de un intermediario de credenciales, una barrera de lectura-escritura y un rastro a nivel de hipervisor.
Un kit llamado Bluekit ya no construye una pantalla de inicio de sesión falsa. Te transmite la genuina desde un navegador que el atacante controla, captura tu sesión en el momento en que inicias sesión y supera la MFA. Una passkey lo detiene donde un ojo más afinado para las falsificaciones no puede, y por eso Bromure permite que un perfil comparta solo passkeys desde tu Mac.
Zscaler encontró una puerta trasera llamada Edgecution que se ejecuta dentro de una ventana de Microsoft Edge que la víctima nunca abrió, y luego usa Native Messaging — el canal legítimo que una extensión usa para hablar con una aplicación de escritorio — para ejecutar comandos en el host. La pregunta que vale la pena hacerse es qué alcanza ese puente hacia el host cuando el navegador vive en una VM desechable.
OpenRouter publicó un resultado llamativo: un panel de modelos, juzgado y sintetizado, supera a cualquier modelo de frontera por sí solo. Reimplementamos esa técnica desde cero dentro de Bromure Agentic Coding — nada pasa por OpenRouter. Como el producto ya se sienta sobre el cable, entre tu agente de codificación y las APIs de los modelos, la versión 3.0 pone nuestro propio Fusion justo ahí. Pulsa el ⚡ de la barra de título y hasta tres modelos responden cada prompt a la vez. Un juez los reconcilia, un sintetizador escribe el resultado, y Claude Code recibe una sola respuesta como si la hubiera escrito un único modelo. Tú aportas tus propias claves o suscripciones, y la traza registra cada leg.
Bromure ejecuta dos clasificadores en el dispositivo sobre todo lo que lee su agente de programación. La inyección de prompt en la salida de herramientas y las descargas web la maneja Llama Prompt Guard 2 de Meta. Un CLAUDE.md hostil necesita un modelo completamente distinto — la detección de inyecciones se dispara en cada línea de un archivo que, por definición, es todo instrucciones —, así que afinamos ModernBERT para clasificar daño en su lugar. Este es el pipeline completo: cosechar un corpus benigno, sintetizar ejemplos maliciosos, ventanas a nivel de cláusula, el bucle de entrenamiento y la exportación a ONNX, con suficiente detalle para reproducirlo.
Un sandbox le pide a un desarrollador que renuncie a la velocidad que hace que un agente de programación valga la pena — pre-aprobar cada dependencia, mantener una lista de dominios permitidos, no tocar nunca un paquete que la organización no haya verificado. Así que los desarrolladores lo apagan. Bromure Agentic Coding rechaza ese trato. No restringe lo que hace el agente; traza una sola línea dura en el hipervisor y te deja hacer cualquier cosa por dentro. Este es el argumento fundacional de por qué una frontera le gana a un sandbox, y las tres garantías que la frontera hace ciertas: ninguna credencial que robar, tokens amplios estrechados en el cable, y ataques de cadena de suministro detenidos antes de que el tarball aterrice — más la cuarta que la línea ahora hace cierta: inyecciones de prompt atrapadas en el contenido que el agente lee, antes de que el modelo las obedezca.
El 5 y 6 de junio de 2026, el gusano Miasma metió código robacredenciales en 73 repositorios de cuatro de las propias organizaciones de GitHub de Microsoft — Azure, Azure-Samples, microsoft, MicrosoftDocs — incluido Azure/functions-action, la Action de despliegue oficial, y durabletask, un repo que ya había sido limpiado una vez en mayo. Esta vez la carga útil no esperó al npm install. Se disparó en el momento en que un desarrollador abrió el repositorio en Claude Code, Cursor, Gemini CLI o VS Code. Aquí está por qué la señal de confianza — «es un repo de Microsoft» — fue de nuevo la superficie de ataque, y qué cambia cuando el agente que lo abre vive en una VM Bromure por perfil, detrás de un intermediario de credenciales, un guardrail de lectura/escritura y un período de espera para paquetes.
A finales de abril, un agente de Cursor corriendo Claude Opus 4.6 fue enviado a arreglar un problema de staging en un pequeño SaaS llamado PocketOS. Supuso que borrar un volumen de Railway quedaría acotado a staging, no lo verificó, y barrió la base de datos de producción y sus copias de seguridad en nueve segundos. Después dijo que debería haber preguntado primero. Bromure Agentic Coding 2.2 trae una barrera de protección que le quita al agente el «debería haber preguntado».
Un zero-day en github.dev permitió que un panel de previsualización malicioso saliera de su sandbox, instalara silenciosamente una extensión y leyera un token OAuth de GitHub con acceso a cada repositorio privado que la víctima pudiera tocar. El arreglo es honesto sobre sus límites — la jugada más fina es no llevar tu token al repo de un desconocido, para empezar.
Entre finales de mayo y el 1 de junio de 2026, un gusano llamado Miasma metió código robacredenciales en 32 paquetes bajo el ámbito npm @redhat-cloud-services — el propio namespace de Red Hat, ~117.000 descargas semanales, firmado por el pipeline de publicación real de Red Hat. No había ningún typosquat que detectar ni ningún mantenedor desconocido que señalar. La señal de confianza era el nombre del proveedor en el ámbito, y el nombre del proveedor es exactamente aquello con lo que el atacante se coló. Aquí está por qué «prefiere editores reputados» dejó de ser una defensa, y qué cambia cuando el agente que ejecuta la instalación vive en una VM Bromure por perfil.
Una nueva campaña alquila la confianza de un dominio en el que ya crees. Un anuncio de Google te envía a un enlace real para compartir de chatgpt.com, el enlace compartido muestra un aviso falso de caída del servicio, y el aviso te entrega malware. Así se toma prestada la confianza — y por qué dejar prestada la confianza deja de importar cuando todo ocurre dentro de una VM que tiras a la basura.
Google republicó accidentalmente la semana pasada un bug de Chromium de hace cuatro años — un service worker que sigue ejecutando JavaScript después de cerrar el navegador, en todos los navegadores Chromium principales, todavía sin parchar. La prueba de concepto ya está circulando. La pregunta interesante no es cómo funciona. Es qué significa la persistencia en un navegador cuya máquina subyacente entera deja de existir cuando cierras la pestaña.
El 18 de mayo de 2026, Lasso Security reveló dos ataques contra NemoClaw de Nvidia — el sandbox que ejecuta el agente de codificación autónomo OpenClaw. El sandbox funcionó exactamente como Nvidia dijo que funcionaba. El agente dentro del sandbox aun así empujó el token de GitHub del usuario a una pull request controlada por el atacante, codificado como emojis para escapar al escáner estático de secretos de GitHub. La pregunta interesante no es si el sandbox está roto. Es si un sandbox con un archivo de credencial en texto plano dentro fue alguna vez un sandbox en el sentido arquitectónicamente útil, y qué implica la respuesta para todos los que están enviando un agente de codificación en 2026.
En algún momento de la semana del 11 de mayo de 2026, las personas detrás de Shai-Hulud — el gusano autorreplicante de la cadena de suministro de npm que viene devorando cuentas de mantenedores desde septiembre de 2025 — filtraron su propio código fuente. Para el fin de semana, OX Security había encontrado cuatro paquetes typosquatted de npm publicados desde una sola cuenta, uno de los cuales es una copia casi literal del gusano filtrado, otro es un bot DDoS en Golang, y los otros dos son simples infostealers que envían claves SSH y billeteras cripto a C2 de saldo. El piso para crear forks de ataques a la cadena de suministro acaba de bajar muchísimo, y las personas con más probabilidad de instalar uno de estos paquetes ya no son humanas.
Uber agotó su presupuesto de codificación con IA del año 2026 entero en abril. El CTO volvió al punto de partida — no porque las herramientas fueran malas, sino porque nadie podía asociar un solo dólar de gasto en tokens a un solo cambio entregado. Los agentes están bien. El problema es la capa de visibilidad. Esto es lo que parece, y lo que cambia cuando cada sesión de agente es un registro estructurado en vez de un muro de scrollback.
El 11 de mayo de 2026, un gusano de npm llamado Mini Shai-Hulud añadió una línea optionalDependencies a 42 paquetes en el namespace @tanstack. Instalar cualquiera de ellos ejecutó un script de Bun que tomó un token OIDC del entorno de GitHub Actions, lo usó para publicar más versiones comprometidas con procedencia SLSA válida, se copió a sí mismo en .claude/ para la próxima vez que iniciara el agente de codificación, y exfiltró todo desde ~/.aws hasta tu billetera cripto. Los paquetes estaban firmados. La atestación era válida. Aquí está cómo se ve la cadena, y qué cambia cuando el agente que ejecutó la instalación vive dentro de una VM Bromure por tarea.
Apple lanzó macOS Tahoe 26.5 el 11 de mayo de 2026, con unos setenta parches de seguridad, entre ellos diez vulnerabilidades de WebKit. Repasamos la lista de WebKit una clase de CVE a la vez y nos hacemos la única pregunta que importa en 2026 — ¿qué alcanza realmente este fallo, en una máquina que ejecuta Bromure?
El 22 de abril, alguien subió un paquete malicioso de npm llamado @bitwarden/[email protected] — un typosquat que barrió claves SSH, credenciales de AWS/Azure/GCP, tokens de GitHub, tokens de publicación de npm y kubeconfigs de cualquier máquina que lo ejecutara. Aquello de lo que está diseñado para alimentarse es exactamente lo que los agentes de programación modernos hacen sin pensar: instalar lo que sea que npm les devuelva. Aquí ves cómo es esa cadena, y qué cambia cuando el agente corre dentro de una VM de Bromure en lugar de en tu portátil.
Una nueva banda de extorsión llamada BlackFile está llamando a empleados de retail y hostelería haciéndose pasar por IT, llevándolos a tipear credenciales y OTPs en una página falsa de inicio de sesión corporativo, y registrando luego su propio dispositivo MFA en la cuenta real. La llamada telefónica no se ve afectada por nada que haga un navegador. La página en la que el usuario tipea, sí.
La brecha de Vercel revelada esta semana empezó con un empleado de Context.ai descargando exploits de Roblox en un PC personal, y terminó con un atacante leyendo las variables de entorno de los clientes de Vercel. Bromure Enterprise, lanzado esta semana, está pensado exactamente para esta cadena.
El informe de respuesta a incidentes del Q1 2026 de Cisco Talos vuelve a situar el phishing en la cima como vector de acceso inicial y, dentro de él, documenta el primer caso que Talos atribuye a un builder de IA de «vibe-coding» — un clon de Outlook Web Access levantado sobre un subdominio `*.softr.app`, exfiltrando credenciales a una hoja de cálculo de Google desechable. La reputación de URL no puede verlo venir. La respuesta correcta está más abajo en la pila.
Una versión temprana de Claude Mythos ayudó a Mozilla a encontrar 271 bugs de seguridad en una sola versión de Firefox. La reacción correcta no es el pánico, ni la celebración, sino una recalibración serena de lo que aún debemos suponer sobre cada navegador que publicamos, usamos o sobre el que construimos.
Una CAPTCHA falsa escribe una línea de PowerShell en el portapapeles. El usuario pulsa Win+R y pega. Sin escape del sandbox, sin día cero, sin binario firmado — el humano es el exploit. Esto es lo que enviamos hoy contra él, dónde siguen estando las brechas y qué acertó y qué no Apple en macOS 26.4.
Microsoft ha documentado una cadena de ransomware de nueve etapas que empieza con un mensaje externo de Teams suplantando al helpdesk y termina con Rclone exfiltrando silenciosamente el recurso compartido de red. Ocho de esos nueve pasos necesitan el sistema operativo del host. Ninguno de ellos puede ejecutarse contra una pestaña.
Un solo operador colocó 108 extensiones maliciosas en la Chrome Web Store bajo cinco editores falsos, acumuló unas 20 000 instalaciones y lo encaminó todo hacia un único servidor de mando y control. El modelo de revisión no lo detectó. Esto explica por qué un navegador con prioridad de seguridad tiene que tomar una postura más dura.
Una mirada paso a paso al sistema anti-phishing de Bromure — el barrido local, el modelo, el veredicto, y por qué tus padres, tus abuelos y el vecino del otro lado del pasillo son exactamente para quienes lo construimos.
LinkedIn sondea silenciosamente más de 6000 extensiones de navegador, recopila 48 atributos del dispositivo y extrae tu IP de LAN mediante WebRTC en cada visita. La solución no es un ajuste de privacidad: es una forma distinta de navegador.
La web es hostil, los consejos de seguridad están fallando y la IA ha cambiado las reglas. Esta es la razón por la que creamos un navegador que te quita el peso de encima.
Apple y Google gastan hoy decenas de millones de dólares al año en encontrar y corregir fallos de navegador. Aun así, cada año hay entre ocho y diez zero-day de navegador explotados activamente. Este artículo expone por qué esa cuenta no va a cambiar, cómo Claude Mythos y la «Vulnpocalypse» están a punto de empeorarla, y por qué un navegador diseñado para asumir que será vulnerado es un producto de naturaleza distinta.
La mayoría de los bloqueadores de anuncios son extensiones del navegador, y la mayoría de las extensiones del navegador se ejecutan dentro del mismo proceso que la página de la que intentan protegerte. Bromure lo hace de otra manera. Aquí te contamos cómo, y por qué importa.
La mayoría del ransomware no comienza con un zero-day. Comienza con una pestaña del navegador. Así es como funciona realmente la cadena de ataque en 2026 — y así es como se ve cuando aterriza sobre un navegador diseñado para absorber el golpe.
Qué hace realmente una VPN, qué no hace, por qué ejecutar una por perfil dentro de Bromure cambia la historia del anonimato, y un recorrido por el funcionamiento interno de Cloudflare WARP.