Briefing Tech — 8 de noviembre de 2026

Generado el 8 de noviembre de 2026 a las 13:20 UTC. Cubre las últimas 24 horas, desde el 7/11 a las 13:20 UTC.

TL;DR

Apiiro buscó en GitHub público el archivo donde Claude Code guarda los comandos aprobados y encontró 1.379 secretos en 1.122 copias, entre ellos 379 contraseñas de base de datos. Los reportes de la falla llevan un año cerrados por un bot.
Microsoft disolvió AI Frontiers, el grupo de unas 50 personas de Microsoft Research que hizo Autogen y Fara. John Langford se fue y las pasantías del año que viene quedaron canceladas.
Microchip dice que los compradores de IA “se llevaron la fábrica entera”: los plazos de entrega de productos estándar pasaron de 4-8 semanas a 6-32, y la acción cayó 22,5% en dos ruedas.
Anthropic publicó cómo está armada la memoria de sus agentes y le puso nombre al paso que falta: un pase offline que corrige las notas contra el transcripto. En un corpus de 350.000 archivos, el wiki que construye pasó del 13% al 48% de respuestas correctas en 128 sesiones.
El super PAC Public First, respaldado por Anthropic, ganó 10 de las 17 carreras al Congreso que apoyó después de gastar más de 63 millones de dólares.

IA

OpenAI contrata a Hacktron para buscar fallas en sus propios sistemas y le abre acceso ampliado a modelos frontera (07/11). Sigue de lo del 6/11, donde OpenAI publicaba GPT-6 Cyber con el rating Critical de su marco de preparación: ahora pone esa clase de capacidad del otro lado del escritorio. Ingenieros de OpenAI y gente de Hacktron van a elegir juntos las áreas prioritarias de prueba, con foco en cómo interactúan los servicios de OpenAI con plataformas de terceros, y Hacktron recibe acceso ampliado a modelos frontera por el programa Daybreak Red. Es el mismo movimiento que ya hizo con investigadores de Cathedral y con la suba de recompensas del bug bounty. OpenAI · Hacktron · ProPakistani

Microsoft disolvió AI Frontiers, el grupo de investigación que hizo Autogen y Fara, y su fundador se fue (06-07/11). Lo contó John Langford en su blog el 6/11 y llegó a la portada de Hacker News el 7/11 con 314 puntos. AI Frontiers eran unas 50 personas dentro de Microsoft Research, armadas después de ChatGPT para coordinar trabajo que una sola persona no podía hacer a tiempo: de ahí salieron los sistemas de agentes Autogen y Fara, y trabajo más de fondo como Next Latent, Dion3 y el Full Bandwidth Transformer. En septiembre el grupo se fusionó con Microsoft AI, y Langford sostiene que el liderazgo ex-Inflection prioriza escalar sobre investigar. Se fue, dice que otros fundadores llegaron a la misma conclusión, y las pasantías del año que viene están canceladas. Machine Learning (Theory) · Hacker News

El super PAC Public First, respaldado por Anthropic, ganó 10 de las 17 carreras que apoyó tras gastar más de 63 millones de dólares (07/11). Lo reportó Emily Birnbaum en Bloomberg y lo levantaron Japan Times y Business Mirror el 8/11. Sigue de lo del 6/11, donde el barrido demócrata en las legislativas hundía a los chips y borraba billones del Nasdaq: ahora se puede ver qué compró la plata de la pelea regulatoria. La cifra que enmarca todo es 110 millones entre los dos bandos, lo que convierte a la regulación de IA en uno de los temas más caros de estas elecciones de medio término. Techmeme/Bloomberg · Japan Times · AI Weekly

Meta le suma “Spaces” a Muse: el usuario describe la app que necesita y el asistente la arma al momento (06-07/11). Sigue de lo de ayer, donde Meta bajaba Active Memory y Active Focus de Muse Wonder a todos los usuarios. Spaces es la otra mitad de la jugada: en vez de que el asistente te conteste dentro de una interfaz fija, genera un hub con las herramientas y la vista que pediste, y queda ahí para volver. Es el mismo patrón que ya se vio en los artifacts y en los Gems de Google, pero movido al centro de una app de consumo masivo. Digital Trends · Analytics Insight

Los dueños de los derechos de Elvis y el editor de Eminem demandan a Suno: 41 millones por 269 composiciones y el primer test federal de la ELVIS Act (07/11). Son dos demandas presentadas el mismo día en el distrito norte de California. La de los derechos de Presley, liderada por Authentic Brands Group y Raleigh Music Publishing, son 51 páginas y se apoya en la ELVIS Act de Tennessee de 2024: alegan que Suno dejaba generar temas que imitan el timbre vocal de Elvis con solo poner su nombre en el prompt, y dicen que lo verificaron en octubre de 2026. La de Eight Mile Style, el editor de Eminem, es por copyright: 150.000 dólares por composición sobre 269 temas, más 672.000 por remoción de información de copyright. Suno responde que pedir un tema “al estilo de” alguien no es ilegal. Variety · AllHipHop · AI Weekly

Hardware y Robótica

Vuelve la escasez de chips: Microchip dice que los compradores de IA “se llevaron la fábrica entera” y los plazos pasaron de 4-8 a 32 semanas (05-07/11). Steve Sanghi, CEO de Microchip, lo dijo el 5/11 con esas palabras: las empresas de IA “vinieron y tomaron la fábrica completa”, “empujaron a todos los demás afuera”. Los productos estándar que antes salían en cuatro a ocho semanas ahora tardan entre seis y 32, y mover ese trabajo a otro proveedor o hacerlo en casa lleva unos seis meses. El mercado lo cobró: MCHP cerró el 6/11 a 58,35 dólares, 10,02% abajo, después de un 13,92% el día anterior; desde el cierre del 4/11 la caída acumulada es 22,55%. Es el primer caso concreto de la escasez de IA llegando a los microcontroladores comunes, no a las GPU. 24/7 Wall St. · Barchart

El New York Times encuentra oficinas vacías en empresas chinas habilitadas para los H200 de Nvidia, y legisladores piden una auditoría (07/11). New Matrix, una de las empresas que Commerce autorizó para manejar los chips, declara una dirección en Beijing donde hay una oficina vacía, y sus dueños aparecen vinculados a un fondo en lista negra. Son alrededor de dos docenas de licencias en juego. Legisladores de los dos partidos quieren que Commerce publique las revisiones de licencia, lo que convierte el caso en el primer test real del régimen de aprobaciones caso por caso. El punto no es el chip: es que el control de exportaciones depende de verificar quién recibe, y acá la verificación no encontró a nadie. AI Weekly · FourWeekMBA · ShiftDelete

Robótica: el pack de batería del Atlas son 70 celdas 2170 de Samsung SDI y unos 1,3 kWh (07/11). Sigue de lo del 28/10, donde Boston Dynamics armaba una cadena de proveedores liderada por Corea y les pedía prepararse para 10.000 robots: este es el primer número concreto de esa cadena. Lo reportó The Elec: celdas cilíndricas de 21 mm por 70 mm, 5.000 mAh cada una, con Samsung SDI cubriendo la mayor parte del volumen inicial y LG Energy Solution también seleccionada. Conviene leer el 1,3 kWh como energía almacenada y no como autonomía: cuánto aguanta depende de la tarea, la carga y el cómputo a bordo. Humanoids Daily

Robótica: Theseus no vende robots, vende el sistema operativo que convierte un humanoide con ruedas en repositor de supermercado (07-08/11). La startup salió de la Fall 2026 de Y Combinator el 7/11 con una tesis angosta: el hardware ya existe, lo que falta es la percepción y las habilidades para que agarre miles de productos distintos y se integre con las listas de entrega y los planogramas de la tienda. Los números que declaran son hasta 400 unidades por hora reponiendo de noche y hasta 40 por hora armando pedidos de día, con dos tiendas desplegadas y pilotos de hasta diez robots más en 2027. Son máximos, no promedios, y no aclaran qué parte es autónoma y qué parte teleoperada; el mercado que apuntan son más de 100.000 supermercados grandes en EE.UU. y Europa y más de 60.000 millones de dólares anuales en reposición manual. FourWeekMBA

Robótica: en la fábrica de Unitree en Hangzhou los robots se siguen armando casi todos a mano (05-07/11). El recorrido lo escribió Josef Chen y llegó a la portada de Hacker News el 7/11 con 140 puntos; Humanoids Daily lo levantó el mismo día. Vio una o dos líneas automatizadas, en el edificio donde hacen los actuadores, y el resto del piso con gente operando bobinadoras viejas. Los números del prospecto de IPO respaldan la lectura: Unitree hizo casi 32.000 robots en 2025, unos 26.000 de ellos perros, con maquinaria valuada en 1,7 millones de dólares — unos 50 dólares de máquina por robot — y mano de obra en torno al 8% del costo. La línea nueva de motores le baja la mano de obra por motor a menos de la mitad, pero el costo de un robot menos del 2%. Tres cuartos de la facturación de humanoides del período salieron de investigación y educación; menos del 5%, de fábricas. Josef Chen · Humanoids Daily

Ciberseguridad

El archivo de “no me preguntes más” de Claude Code: 1.379 secretos en 1.122 copias públicas en GitHub (07/11). Sigue de lo de ayer, donde una extensión maliciosa podía mandarle tareas a Claude Desktop: el patrón es el mismo, la comodidad de aprobar una vez pagada después. Cuando elegís “sí, y no preguntes más”, Claude Code puede guardar el comando aprobado textual en .claude/settings.local.json, con la contraseña o la API key adentro; la exclusión de git aplica solo en tu máquina y la herramienta no lo agrega al .gitignore del proyecto. Apiiro encontró 104.185 copias del archivo en 103.617 repos, de las cuales 1.122 traen al menos un secreto: 379 contraseñas de base de datos, 43 accesos SSH, 42 tokens de GitHub, GitLab y npm, 23 claves de AWS. Contando versiones viejas, forks, settings.json compartidos y logs de chat, son 2.539 secretos en 1.994 repos y 63 organizaciones. El reporte original es de agosto de 2025 y lo cerró un bot por inactividad; cuatro reportes relacionados corrieron la misma suerte, el último el día anterior a la publicación. The Hacker News · AI Weekly

SonicWall parchea CVE-2026-19868, ya explotada: credenciales válidas de otro método saltean el MFA por SAML del SSL VPN (06-07/11). La falla es de aplicación de autenticación, no de código: un usuario con credenciales válidas para otro método de login puede esquivar los controles SAML del servicio SSL VPN, y con eso el MFA que SAML imponía. CVSS 7,1 y solo expuesto si el login por SAML está habilitado. CISA la metió en el catálogo KEV el 6/11, con plazo federal al 20/11 bajo la BOD 26-04, y SonicWall confirma que investigó un reporte de explotación potencial. Afecta Gen7 con SonicOS 7.3.3-7015 o anterior y Gen8 con 8.2.2-8015 o anterior; se arregla en 7.3.4-7013 y 8.2.3-8015, y no hay workaround. La reportó Ryan Harris, de The Electronic Office. SecurityWeek · CVE Brief

PolinRider secuestra 10 paquetes de npm y usa una billetera de Ethereum como buzón para mover su servidor de comando (07/11). Lo identificó Sonatype Research Labs: 12 releases maliciosos sobre 10 paquetes legítimos, entre ellos seis módulos de @adminide-stack, server-hemera-mongo, cdeops, @cdmbase/wiki-browser y @pubngo-stack/help-browser. La parte interesante es el resolver: el loader consulta nodos RPC públicos de Ethereum — con la API de Blockscout como respaldo — buscando transacciones de una billetera hardcodeada, y lee los primeros cuatro bytes de la dirección destino como IP del servidor de comando y los cuatro siguientes como respaldo. Mover el servidor es mandar otra transacción, sin tocar los paquetes. Y corre al importar el módulo o arrancar el servicio, no en el install script, así que desactivar scripts de npm no alcanza. Si corriste uno de esos módulos, rotá tokens de repositorio, claves de nube y secretos de CI. Daily CyberSecurity

Penpot: se publica el detalle y el PoC de una falla de toma de control de archivos (07/11). Penpot es la alternativa open source a Figma que mucha gente autohostea, y la divulgación trae exploit funcional, así que el reloj arranca ahora para cualquier instancia expuesta. El aviso está publicado como GHSA-8qqw-wm58-45v7. Si tenés una instancia propia, la acción del día es mirar la versión y restringir el acceso externo hasta parchear. Daily CyberSecurity

Coldframe: un honeypot que se hace pasar por el controlador de la heladera de un supermercado llega a la portada de Hacker News (07/11). Son 172 puntos para un único archivo Python de biblioteca estándar, licencia MIT, que emula dos controladores reales: el Danfoss AK-SM 800A, con login de StoreView, dashboard falso de vitrinas y botones de descongelado, API XML y Modbus TCP opcional; y el Copeland/Dixell XWEB EVO, con las rutas CGI del XWEB 500 que apuntan los exploits públicos. Registra cada request, cada credencial probada y cada exploit conocido como una línea JSON, y no ejecuta nada. El contexto es el que lo hace útil: en 2026 los atacantes entraron a supervisores de refrigeración expuestos en Europa con contraseñas por defecto y firmware viejo y forzaron ciclos de descongelado, y el FBI y CISA sacaron aviso por lo mismo. GitHub · Hacker News · TechCrunch

Técnicas, repos y práctica

Anthropic publica cómo está armada la memoria de sus agentes y le pone nombre al paso que falta: “dreaming” (06-07/11). El post es del 6/11 y llegó a la portada de Hacker News el 7/11 con 146 puntos. La tesis es que no alcanza con escribir notas durante la sesión: hace falta un pase offline que convierta la experiencia en conocimiento. Los resultados son concretos y aplicables hoy. En Pokémon, el modelo que guardaba solo lo que el juego no mostraba en pantalla — estrategias, planes — avanzó más que el que loggeaba todo y terminó con una carpeta inflada y desactualizada. Decirle para qué sirve la memoria funcionó mejor que darle reglas fijas: “registrá solo los fracasos” empeoró a los modelos fuertes. El pase de dreaming corrigió una nota equivocada sobre un punto del mapa que venía causando fracasos repetidos, y la corrida corregida pasó el obstáculo. Construyendo wikis de páginas enlazadas sobre un corpus de 350.000 archivos, el puntaje solo-wiki subió del 13% al 48% en 128 sesiones, y combinado con búsqueda del 54% al 61% con menos tokens por pregunta. En una tarea de contratos, darle a cada contrato su propia página con la redacción exacta llevó los hechos capturados del 72% al 100%. La advertencia también es útil: la capa que se inyecta en todas las sesiones tiene que quedar chica, porque los errores y los archivos largos se arrastran y bajan la adherencia. Anthropic · Hacker News

Google saca ADK 2.14 y estabiliza el núcleo: A2A, entornos de ejecución y evals salen de experimental (07/11). Es la versión que gradúa lo experimental, lo que importa si tenías agentes en producción esperando esa firma: 26 módulos de auth, entorno y app más 16 features de toolsets pasan a estables, junto con el runtime, el protocolo A2A y los módulos de evaluación. Lo nuevo accionable es MultiRunConfig, que corre evals concurrentes con control de paralelismo, ToolArgsMatcher para comparar argumentos de herramienta semánticamente en vez de por string, un TeamsRunner para Microsoft Teams y un OpenAIDecisionsClassifier. Reportan flujos multi-turno largos un 23% más rápidos con 9% menos de memoria pico, en Python, TypeScript, Go, Java y Kotlin. GitHub · AI Weekly

OpenAI publica BioBasicsBench: 100 tareas rutinarias de laboratorio real y GPT-6 Astra saca 66,7% (06-07/11). No mide conocimiento de biología sino si el agente lee bien datos experimentales crudos: geles, lecturas, curvas, lo que un becario resuelve sin pensar. La escala del eval es lo que lo hace citable: 37 combinaciones de modelo y configuración, cinco intentos por tarea, 18.500 respuestas corregidas. Astra en “xhigh” llega a 66,7% del crédito disponible usando alrededor de la mitad de los tokens de salida que GPT-5.6 Sol, que saca 43,8%; GPT-6.1 Sol queda en 62,0% y GPT-6 Luna en 38,3%. No publican línea de base humana, así que el techo del benchmark queda sin referencia. OpenAI · Gate · R&D World

billion-context escala el trending de GitHub: un proxy que comprime el contexto y promete cinco veces menos tokens con ventanas de 100K (08/11). Sumó 460 estrellas hoy y va por 4.872. Corre como proxy local entre tu agente y la API: parsea cada request, inyecta cuatro herramientas de contexto — compress, decompress, search_context, acp_status — y deja que el modelo decida cuándo plegar un rango de mensajes en un resumen, que después puede restaurar. El detalle de ingeniería que lo hace viable es que los resúmenes se escriben en rangos chicos e incrementales para no romper el caché de prefijo: dicen que una sesión sana mantiene 95-97% de aciertos de caché y que comprimir cuesta 2% o menos. Se instala con npm install -g billion-context, deja el comando bili, y tiene plugin nativo para pi, omp, opencode, dsh, kimi, hermes, zcode y claude, más modo launcher o prefijo de URL para Codex, Gemini CLI, Aider, Copilot CLI, Amp, Goose, Zed y una docena más. La parte a tomar con pinzas son los benchmarks: dicen primer puesto en ContextBench y 79,20% contra 62,60% del mejor RAG en LongMemEval-S, pero los resultados y el paper longitudinal están publicados en el propio repo, no verificados afuera. GitHub · GitHub Trending

vork: un motor 3D y de VFX headless, sin editor, hecho para que lo maneje un agente (05-08/11). Research preview con 1.028 estrellas en tres días. El README lo dice directo: “no hay editor que manejar”. El agente escribe la escena como código — típicamente JSON —, renderiza, mira el resultado y corrige; hay perfiles std/previs, std/draft, std/final y std/path, hooks públicos en Slang para personalizar rayos de cámara, materiales y respuesta de película sin tocar el renderer, y SDKs de Python y TypeScript para generar el JSON. Está en Rust y Slang sobre Vulkan y Metal. Los tiempos que publican son honestos sobre lo que miden: 1,38-1,66x más rápido que EEVEE de Blender en stills finales, pero más lento que Cycles en path tracing, y aclaran que no son comparaciones a calidad igual. Ignora niebla y volúmenes en esta versión, y la primera compilación de programas nuevos puede tardar minutos. GitHub