Podcast 5-5 de Dongee · 6 de noviembre de 2026

Transcripción

Gabriel: Bienvenido al episodio del viernes seis de noviembre. Arrancamos.

Gabriel: Oye, Lina, imagínate una cuenta bloqueada para contraseñas. Solo clave.

Lina: ¿Bloqueada?

Gabriel: Pones un asterisco en el archivo y listo: nadie entra con password.

Lina: Ya. ¿Y?

Gabriel: En servidores Alpine y otros Linux con la librería musl, alguien descubrió que con una contraseña ridículamente larga… entra igual.

Lina: ¿Larga cómo de larga?

Gabriel: Más de doscientas cincuenta y seis letras. El sistema falla al hashearla, devuelve otro asterisco, y ese asterisco coincide con el de la cuenta bloqueada.

Lina: O sea: la cerradura y la llave rota dicen lo mismo, y la puerta se abre. Qué diseño tan elegante.

Gabriel: Se llama *sshole, con doble hache. Y en las imágenes oficiales de Alpine en la nube de Amazon y de Azure, la cuenta por defecto puede escalar a administrador sin contraseña.

Lina: ¿Un solo intento?

Gabriel: Uno. Sin fuerza bruta, y listo.

Lina: ¿Y mi Ubuntu de siempre?

Gabriel: No. Debian, Ubuntu y Fedora usan otra librería.

Lina: ¿Hay parche?

Gabriel: OpenSSH 10.6p2. Si no puedes actualizar hoy, apagas el login por contraseña hasta hacerlo. Lo encontró un investigador con agentes de IA, casi dieciocho mil pruebas. El hilo en Hacker News pasó de los dos mil votos.

Lina: Hay quien lo lee como un agujero crítico en la base de contenedores y routers del mundo. Y hay quien dice que hace falta que se cumplan cinco condiciones a la vez, y que muchos ya tienen eso apagado.

Gabriel: Y tú, que nos escuchas: si hoy administras un servidor Alpine, ¿lo actualizas antes de dormir?

Lina: Gabriel, ayer Wall Street se puso blanco.

Gabriel: ¿Tan malo?

Lina: El Nasdaq bajó un cinco punto cinco por ciento. El peor día desde abril del año pasado.

Gabriel: ¿Cinco y medio?

Lina: El S&P 500 casi un cuatro y medio. El Dow, más de mil ochocientos puntos.

Gabriel: Uy.

Lina: Y los siete grandes de la tecnología perdieron más de un billón de dólares en valor.

Gabriel: ¿Nvidia también?

Lina: Solo Nvidia se dejó más de cuatrocientos cuarenta mil millones. Cerró el año en negativo.

Gabriel: ¿Y el miedo cuál es?

Lina: Que tras las elecciones de mitad de mandato en Estados Unidos frenen la IA y los centros de datos.

Gabriel: ¿Y Asia?

Lina: Hoy Asia siguió el golpe. El índice de Japón cayó un seis por ciento. Corea y Taiwán abrieron con más de un ocho por ciento abajo. En Corea hasta pausaron la cotización.

Gabriel: O sea… lo que votaron los vecinos el martes contra los centros de datos, ayer lo cobró la bolsa.

Lina: Hay quien dice que se rompió la ilusión de que la IA crece sin techo y sin vecinos enojados.

Gabriel: Y hay quien responde que es un susto político de corto plazo, que la demanda de chips sigue, y que Asia ya recuperó parte de las pérdidas en el mismo día.

Lina: A ver, dime la verdad: con acciones de tech, ¿vendes en pánico o esperas quieto?

Gabriel: Mira, Lina. Claude Code, la herramienta de programación de Anthropic, estaba mandando el correo de la cuenta a sitios web.

Lina: ¿Sin preguntarte?

Gabriel: Sin preguntarte. Se lo metían al contexto del modelo para que no inventara nombres en etiquetas de autor.

Lina: ¿Cómo lo manda?

Gabriel: Luego, al hacer un curl u otra petición, a veces lo ponía en el User-Agent, ese encabezado que identifica al cliente.

Lina: ¿Y?

Gabriel: Algunos sitios piden un contacto, y el modelo usó el que tenía a mano: el tuyo.

Lina: Trabajo gratis… y con tu identidad de yapa.

Gabriel: Una ingeniera del equipo lo admitió en Hacker News, con más de mil votos el hilo. Pidió disculpas.

Lina: ¿Y el arreglo?

Gabriel: Hay un freno en la versión 2.1.317 que te pregunta antes. Y la semana que viene sacan el correo del contexto del todo.

Lina: Mientras tanto, el canal estable seguía en una versión anterior. Un detalle menor, claro.

Gabriel: Hay quien lo ve como una filtración grave: el agente entregó tu identidad a terceros sin permiso.

Lina: Y hay quien responde que el arreglo de fondo es no darle al modelo datos que no necesita para programar.

Gabriel: Y tú, que nos escuchas: ¿seguirías usando un agente que ayer filtró tu correo?

Lina: Oye. Anthropic lanzó Personal Finance en Claude.

Gabriel: ¿Eso qué es?

Lina: Conectas el banco por Plaid, un servicio financiero, y le preguntas en tu idioma: ¿en qué se me fue el mes? ¿Puedo costearme ese viaje?

Gabriel: ¿Y mueve dinero?

Lina: No. Solo lectura.

Gabriel: ¿Qué ve?

Lina: Saldos, hasta dos años de movimientos, cargos duplicados, facturas que suben mes a mes.

Gabriel: ¿Invierte?

Lina: No. No transfiere. No te vende tarjetas. Y los chats de ese hub no sirven para entrenar la IA.

Gabriel: Bien.

Lina: ChatGPT ya tenía algo parecido desde mayo. Ahora Claude juega esa liga, por ahora solo en Estados Unidos y en planes de pago.

Gabriel: Igual… dos años de vida financiera en manos de una IA.

Lina: Hay quien no quiere que una IA lea eso, aunque diga que no toca un peso.

Gabriel: Y hay quien dice: si no mueve plata, no entrena con eso, y yo elijo qué cuentas conectar, adelante.

Lina: ¿Le darías a una IA acceso de lectura a tu banco? Yo todavía no.

Gabriel: Y cerramos con esto. OpenAI presentó GPT-6 Cyber.

Lina: ¿Otro modelo?

Gabriel: Uno pensado solo para investigación de seguridad. Encuentra fallos, los comprueba y propone parches, y se queda dentro del alcance que le marques.

Lina: ¿Qué tan dentro?

Gabriel: En sus pruebas, el noventa y nueve punto noventa y tres por ciento de las veces sin el prompt de despliegue. Y el cien con él.

Lina: ¿Cien?

Gabriel: Lo subieron a Critical en ciberseguridad. Antes estaba en High.

Lina: Critical suena a cuidado con quién lo toca.

Gabriel: Por eso el acceso inicial es solo para clientes aprobados de Daybreak Red, el programa de ciberseguridad de OpenAI.

Lina: ¿Y sirvió?

Gabriel: Con él hallaron ochenta y un fallos graves nuevos en Firefox. Mozilla ya publica correcciones para millones de usuarios.

Lina: Buena para quien defiende sistemas.

Gabriel: Inquietante si cae en otras manos. Hay quien celebra más capacidad para parchear a tiempo y con menos desvíos.

Lina: Y hay quien recuerda que la ventana ofensiva también se abre, por más vetos que pongan.

Gabriel: Y tú, que nos escuchas: ¿confiarías en un modelo Critical si solo lo usan equipos aprobados?

Gabriel: Hasta aquí el episodio de hoy.

Lina: Si alguna pregunta te quedó dando vueltas, compártela con alguien y discútanla.

Gabriel: Mañana, cinco noticias más. Y si tienes Alpine, actualiza OpenSSH antes que el café.

Lina: Yo reviso qué versión de Claude Code tengo. Nos escuchamos mañana.