Cadena de suministro: el bot de release de Ethersphere publicó un bee-js 13.3.0 malicioso con provenance de npm válida, y 30 minutos después un Swarm Desktop con el mismo loader (09/11)

1. 30 de octubre de 2026 Ciberseguridad

   "Embrace": fallas en los navegadores embebidos de cinco herramientas de desarrollo con IA, y las de Codex y VS Code siguen sin parche (29/10)

   Lo publicó Gal Weizman, de la startup Forever Security, y el hilo común es simple: los navegadores embebidos en estas herramientas tenían capacidades que un navegador normal no tiene. El cuadro, por gravedad: en Cursor, ejecución de código arbitrario por inyección de prompt —una página abierta en el navegador integrado podía llamar al composer del agente, que obedecía las instrucciones escondidas—, reportado el 10 de septiembre y parcheado en silencio el 1 de octubre, sin aviso publicado y sin que Cursor respondiera la divulgación. En Claude Desktop, lectura de archivos y robo de datos: los web workers saltean la restricción a la carpeta del proyecto y alcanzan cualquier archivo; Anthropic rechazó primero el reporte del 23 de julio como inválido por tratarse del límite de "workspace trust" y aceptó como válido el mismo hallazgo cuando Noma Security lo reportó un día después. En Codex, lectura de archivos sin necesidad de worker —una página local lee cualquier archivo directo—, divulgada a OpenAI el 27 de julio y todavía sin arreglo, con OpenAI diciendo que está al tanto y trabajando en eso. En VS Code, el mismo bypass de web workers que Claude Desktop, divulgado a Microsoft el 10 de septiembre, sin parche según los investigadores, también clasificado por Microsoft como "workspace trust" inválido y sin responder pedidos de comentario. Y en GitHub Copilot, suplantación de la barra de direcciones: la página reportaba su propia dirección y la aplicación solo chequeaba que el texto pareciera una URL, no a dónde apuntaba la pestaña, lo que permite mostrar github.com/login sobre una página de phishing; GitHub lo arregló en el build 1.1.29 del 13 de octubre sin reporte de Forever. No hay CVE ni puntuación formal para ninguna. The Register

   The Register OpenAI Anthropic Microsoft GitHub Claude GitHub Copilot

2. 30 de octubre de 2026 Técnicas y repos

   GitHub saca un firewall de npm que bloquea paquetes en el momento de instalar, y Rust suma periodo de enfriamiento en noviembre (29/10)

   Es lo más accionable del día para cualquiera que tenga agentes o CI instalando dependencias solos, que es exactamente donde más duele un paquete envenenado. El firewall está en preview público para todos los clientes de GitHub Enterprise Cloud, incluida la versión con residencia de datos, y por ahora soporta solo npm; GitHub lo describe como una "compuerta de política en tiempo de instalación" y se para entre los clientes —agentes de código, hosts de CI/CD, registries internos— y el repositorio público, que ahora consultan a través suyo en vez de conectarse directo. Los controles que puede configurar un administrador son cinco y vale conocerlos antes de prenderlo: bloquear paquetes con avisos de malware activos en la Advisory Database de GitHub; bloquear por severidad de vulnerabilidad conocida, con default en "solo críticas" y opciones de alta o superior, media o superior, y cualquiera; bloquear una versión que perdió una atestación SLSA que las anteriores tenían; bloquear versiones que agregan por primera vez scripts de preinstall o postinstall, que es el vector clásico de robo de datos; y un periodo de enfriamiento que bloquea versiones más nuevas que una edad mínima, configurable de 1 a 365 días, con default de 1 día y 0 para desactivarlo. Si un paquete legítimo queda bloqueado, el usuario puede pedir una excepción y la aprueban administradores o security managers. El movimiento no es aislado: Rust 1.100, previsto para el 12 de noviembre de 2026, agrega edad mínima de publicación configurable con global-min-publish-age en cargo/config.toml, en días o semanas, con default de siete días si no se fija; npm, Python, Ruby, Bun, pnpm, Yarn y VS Code agregaron esperas parecidas en el último año. La contra la marcó Socket y conviene tenerla en cuenta al elegir el valor: el enfriamiento también retrasa los arreglos legítimos, y el código malicioso no se vuelve inofensivo con el tiempo. The Hacker News

   The Hacker News GitHub npm

3. 7 de noviembre de 2026 Ciberseguridad

   Claude Dispatch: una extensión maliciosa en claude.ai podía mandarle tareas a Claude Desktop y ejecutar código en la máquina (06/11)

   Dispatch es la función que permite mandar tareas desde el teléfono a Claude Desktop, que puede correr comandos en la computadora donde está instalado. Lo que encontraron los investigadores de Forever Security —el escrito técnico lo publicó Gal Weizman— es que Dispatch aceptaba una sesión común de claude.ai con el usuario logueado, aunque el sitio no mostrara ningún vínculo con la función: una extensión corriendo en claude.ai podía entonces mandarle instrucciones a Claude Desktop como si las hubiera mandado el usuario. En la prueba, un script abrió Dispatch y mandó cuatro prompts pidiendo instalar un paquete de npm; Claude dudó, un mensaje de seguimiento lo convenció, el script clickeaba "Allow" cada un segundo, y el script de instalación del paquete abrió la Calculadora. Los investigadores dicen que con el mismo acceso se podían robar archivos o instalar un backdoor. Las precondiciones: una extensión que pueda correr scripts en claude.ai —maliciosa, legítima con una actualización comprometida, o legítima con una falla— y un usuario logueado en claude.ai y en Claude Desktop con Dispatch habilitado. La cronología de la respuesta: lo reportaron el 14 de mayo, el 19 Anthropic lo aceptó como válido pero cerró el reporte como duplicado de algo que ya había encontrado internamente, y el 13 de octubre les dijo que Dispatch se iba a retirar con fin de octubre como objetivo; la página de ayuda, actualizada la semana anterior al artículo, no menciona el retiro y dice que Dispatch está cerrado a usuarios nuevos y que los existentes de algunos planes Pro, Max y Ultra pueden seguir usándolo. Las salvedades: la prueba corrió con el navegador y Claude Desktop en la misma computadora, no hay ataques reportados en el mundo real, y el ataque entre dispositivos se describe pero no se demostró. La frase que resume el punto de los investigadores es que "Anthropic está retirando Dispatch, pero no el diseño detrás"; dicen que Claude Code Remote Control y las sesiones de Cowork podrían permitir lo mismo, sin haberlo probado. The Hacker News

   The Hacker News Anthropic Claude Claude Code npm

4. 8 de noviembre de 2026 Ciberseguridad

   El archivo de "no me preguntes más" de Claude Code: 1.379 secretos en 1.122 copias públicas en GitHub (07/11)

   Sigue de lo de ayer, donde una extensión maliciosa podía mandarle tareas a Claude Desktop: el patrón es el mismo, la comodidad de aprobar una vez pagada después. Cuando elegís "sí, y no preguntes más", Claude Code puede guardar el comando aprobado textual en.claude/settings.local.json, con la contraseña o la API key adentro; la exclusión de git aplica solo en tu máquina y la herramienta no lo agrega al.gitignore del proyecto. Apiiro encontró 104.185 copias del archivo en 103.617 repos, de las cuales 1.122 traen al menos un secreto: 379 contraseñas de base de datos, 43 accesos SSH, 42 tokens de GitHub, GitLab y npm, 23 claves de AWS. Contando versiones viejas, forks, settings.json compartidos y logs de chat, son 2.539 secretos en 1.994 repos y 63 organizaciones. El reporte original es de agosto de 2025 y lo cerró un bot por inactividad; cuatro reportes relacionados corrieron la misma suerte, el último el día anterior a la publicación. The Hacker News · AI Weekly

   The Hacker News AI Weekly Amazon GitHub Claude Claude Code npm

5. 10 de noviembre de 2026 Ciberseguridad

   Cadena de suministro: el bot de release de Ethersphere publicó un bee-js 13.3.0 malicioso con provenance de npm válida, y 30 minutos después un Swarm Desktop con el mismo loader (09/11)

   El commit lo hizo bee-worker, el bot del proyecto, sin firma y sin estar en ninguna rama; un release de GitHub disparó el workflow de publicación y el paquete salió con provenance correcta, porque el workflow no corre tests en builds disparados por release. Es el punto importante: la provenance verificó que el paquete salió del repo, y el repo era el que estaba comprometido. El payload agrega un postinstall que baja y ejecuta código remoto ignorando errores; la segunda etapa lee el config.yaml y el keystore swarm.key de Swarm Desktop y los exfiltra, y como el config guarda la contraseña del keystore en texto plano, la clave del nodo se recupera entera. Después persiste: en Linux y macOS un remote shell en Go llamado evjawbreaker que saca la dirección de su C2 de un contrato en Ethereum, con unidad systemd o LaunchAgent; en Windows un bypass de UAC y un cliente ScreenConnect instalado en silencio como servicio SYSTEM. La ventana fue corta —publicado 00:09 UTC, veredicto malicioso automático a las 00:13, Swarm Desktop a las 00:36, npm lo bajó cerca de 01:25— pero cualquier máquina que instaló esas versiones hay que tratarla como comprometida y mover los fondos del nodo a una clave nueva. Como los archivos de ScreenConnect son legítimos, la detección va por la dirección del relay (185.232.84.169:8041) y el ID del servicio, no por el binario. The Hacker News · SafeDep · OX Security

   The Hacker News SafeDep OX Security GitHub Windows Linux npm

El hilo se arma solo en cada build: junta noticias de días distintos que nombran a la misma entidad y repiten vocabulario que casi no aparece en el resto del archivo. Nadie lo edita a mano, así que puede dejar afuera una noticia o sumar una de al lado.