Security

Para el 26 de septiembre, OpenAI había notificado a más de 100 organizaciones porque sus agentes de IA se habían excedido en sus sitios web durante el entrenamiento y las pruebas. Entre ellas hay cuatro organismos del gobierno australiano. Para encontrar más casos, OpenAI está examinando unos 50 petabytes de registros en aproximadamente 7.000 GPU. Esto es lo que significa y qué tiene que ver con los usuarios de ChatGPT.

Rockstar podría estar reaccionando a un jailbreak de PS5 compatible con el firmware de julio. Una filtración de datos extraídos reveló que GTA 6 solo arrancará con la actualización 14.10.00.00 de Sony, prevista para octubre, en su fecha de lanzamiento. Los defensores de la piratería podrían responder con una versión parcheada del exploit Relapse o con emuladores basados en PC.

El teléfono Waffle Home es un teléfono inalámbrico apto para niños que elimina las aplicaciones, las redes sociales, los juegos y los contactos no deseados, a la vez que permite comunicarse de forma segura mediante llamadas aprobadas por los padres. Disponible con planes de llamadas gratuitos y de pago, también ofrece seguimiento por GPS y controles parentales a través de una aplicación complementaria para smartphones.

Según se informa, Apple está desarrollando una cámara doméstica cilíndrica, con nombre en clave J450, que utiliza IA y reconocimiento facial para identificar a personas y mascotas, e informa de la actividad en forma de texto en lugar de grabar vídeo. La cámara está diseñada para emparejarse con el concentrador inteligente para el hogar J490 de Apple, cuyo lanzamiento se espera ya en octubre de 2026, mientras que la propia cámara llegaría, según se informa, en 2027.

Un resultado patrocinado de Google para ChatGPT puede llevar a un modelo falso llamado Plus 5.6 alojado en el sitio real chatgpt.com. El GPT personalizado apunta a un supuesto dominio de respaldo, donde una falsa verificación de Cloudflare pide a los usuarios que peguen un comando en Windows. Huntress e Island han documentado dos campañas. Basta con seguir una regla para mantenerse a salvo.

Anthropic probó las habilidades de hacking del modelo de pesos abiertos GLM-5.3 de Z.ai. Crea exploits casi con la misma fiabilidad que Claude Mythos Preview, encontró nuevos errores en un navegador y escribió un exploit para una antigua vulnerabilidad de Chrome por 20,40 dólares. Cualquiera puede descargar los pesos y es fácil eliminar las medidas de seguridad.

Anthropic ha lanzado Claude Sonnet 5.5, y los usuarios de Claude.ai con cuentas gratuitas también pueden usarlo, tanto en la web como en las aplicaciones. El modelo genera resultados más de un 30 % más rápido que Sonnet 5 y cuesta hasta un 30 % menos por tarea. Las solicitudes de ciberseguridad de mayor riesgo siguen dirigiéndose al antiguo Sonnet 5.

Los suscriptores de ChatGPT Plus y Pro ahora pueden permitir que aplicaciones como Notion, Vercel y Devin usen su plan de ChatGPT. OpenAI anunció esta opción en DevDay. La aplicación obtiene tu nombre, dirección de correo electrónico y foto de perfil, pero no tus chats. Cerrar sesión en la aplicación no pone fin a la conexión. Eso debe hacerse en ChatGPT.

ChatGPT, Gemini, Claude y Copilot funcionan sin suscripción. Aun así, cada uno implica algo a cambio: anuncios, tus chats como datos de entrenamiento o un modelo más pequeño. Esto es lo que ofrece cada plan gratuito, qué está activado de forma predeterminada y qué ajustes conviene revisar antes de tu próximo chat.

Tras una serie de incidentes de seguridad y el creciente temor a que los «agentes de IA se escapen», la nueva plataforma de Nvidia está diseñada para restringir y supervisar técnicamente a los agentes de IA, en lugar de simplemente confiar en que un modelo de IA siempre siga correctamente las instrucciones. Lo hace mediante dos capas de seguridad. El software de Nvidia es de código abierto.

OpenAI retrasa GPT-6.1 Astra tras las pruebas de seguridad. Las simulaciones del AISI del Reino Unido revelaron que GPT-6 Astra ejecutó ataques no autorizados a la cadena de suministro en el 29,2 % de las pruebas de ciberseguridad.

Google retirará Gems de Gemini. A partir del 17 de noviembre de 2026, los Gems personalizados, prediseñados y compartidos se convertirán automáticamente en habilidades, y Gemini ya muestra el aviso a los usuarios de Alemania. Según Google, las habilidades requieren que esté activada la opción «Conservar actividad» y están limitadas a usuarios mayores de 18 años. Esto es lo que debes comprobar antes del cambio.

Apple lanzó iOS 26.7.1 el lunes para corregir un fallo de CoreGraphics que, según la compañía, podría haberse aprovechado en ataques dirigidos. Los iPhone que ya tienen iOS 27 no están afectados y reciben iOS 27.0.1, que corrige el fallo de Face ID en el iPhone 18 Pro. Aquí te contamos qué actualización necesita tu iPhone, iPad o Mac.

La batalla en curso entre el DRM Denuvo de Irdeto y los piratas ha dado un nuevo giro. La organización más relacionada con el exploit para eludir el hipervisor se ha disuelto. DenuvOwO explicó que una demanda dirigida contra el infame hacker «voices38» influyó en su decisión.

Anker ha lanzado el eufy Video Doorbell S4 a un precio de 299,99 dólares como parte de su gama Edge 5.0, junto con la SoloCam E50. Este timbre con cable combina una cámara de 3K y 9 MP con un objetivo de 180 por 180 grados, modo de visualización VR, seguimiento mediante IA, radar con sensores PIR duales y una batería de reserva de 2.600 mAh, y se comercializará junto con un Chime 2 a finales de octubre de 2026. Un paquete que incluye un kit SoloCam E50 de dos cámaras y una HomeBase S380 cuesta 949,98 dólares.

Los agentes de IA de OpenAI publicaron 53 imágenes que los usuarios de ChatGPT habían subido a sitios de alojamiento de imágenes. Solo se vio afectado el contenido apto para el entrenamiento del modelo, y OpenAI no puede indicar a nadie si sus imágenes se encontraban entre ellas. ¿Qué configuración evita que sus imágenes se utilicen para el entrenamiento a partir de ahora, y cuál es la excepción que la propia OpenAI señala?

Un modelo interno de OpenAI detectó una brecha en el filtrado de DNS de su entorno de pruebas y la utilizó para enviar preguntas a un chatbot externo. El sistema de supervisión lo detectó en 12 minutos, pero la operación continuó durante otras dos horas y media. Desde entonces, OpenAI ha suspendido el entrenamiento y el uso de herramientas para sus modelos más avanzados. Esto es lo que significa para ChatGPT.

Una aplicación maliciosa consiguió acceso root en un teléfono OnePlus sin modificar sin solicitar ni un solo permiso. OnePlus afirma que las vulnerabilidades también afectan a los dispositivos Oppo, pero no ha especificado todos los modelos. Cuando el investigador informó del problema, tuvo que esperar meses para recibir información sobre las correcciones y recibió una advertencia legal por publicar sus hallazgos.

Muchas guías siguen indicando el 13 de octubre de 2026 como la fecha de finalización del periodo de gracia de Windows 10. Microsoft ha ampliado discretamente las actualizaciones de seguridad extendidas para los usuarios domésticos hasta octubre de 2027. Sin embargo, en el Espacio Económico Europeo, la opción gratuita sigue finalizando para cualquier persona que deje de iniciar sesión con una cuenta de Microsoft.

Con iOS 27, Apple ha rediseñado la función «Tiempo de uso» para familias, añadiendo las opciones «Pedir permiso para navegar», «Límites de tiempo» y una pausa durante el horario escolar. La instalación de la actualización no activa ninguna de estas funciones, y varias medidas de protección permanecen desactivadas por defecto una vez que el niño cumple 13 años. A continuación se indica lo que deben configurar los padres que utilicen iPhone o Android.

Anker ha abierto el plazo de reserva para la eufy SoloCam E50, una cámara de seguridad con giro e inclinación alimentada por energía solar que cuesta 229,99 dólares y cuenta con dos lentes 4K, zoom híbrido de 12x, detección por radar y una batería de 10 000 mAh, cuyo envío está previsto para finales de octubre de 2026. Esta cámara es la sucesora de la SoloCam E40, de 129,99 dólares, que grababa vídeo en 2K con una única lente fija y almacenaba los clips en una memoria integrada de 8 GB.

Desde el miércoles, el modo de voz de ChatGPT puede extraer datos de aplicaciones conectadas, como Gmail, Google Calendar y Slack, incluso en el plan gratuito. OpenAI no acepta la aprobación verbal, por lo que cualquier acción que requiera un «sí» debe confirmarse en la pantalla. Hay un ajuste que determina qué puede leer ChatGPT sin preguntar, y la desconexión de una aplicación es un paso independiente.

Las autoridades alemanas y austriacas han asestado un duro golpe a las redes de fraude en línea. En la «Operación Heracles», de gran envergadura, los investigadores desactivaron cerca de 14 000 números de teléfono utilizados de forma generalizada para estafas financieras. No obstante, la amenaza para los consumidores persiste.

Google ha añadido 14 aplicaciones conectadas a Gemini, entre las que se incluyen Adobe, Peloton, Experian y Airtable. Según la propia tabla de disponibilidad de Google, 10 de ellas solo funcionan en EE. UU. Fuera de EE. UU., solo están disponibles Adobe, monday.com y Wispr AI, y únicamente en inglés. Desconectar una aplicación posteriormente no elimina lo que Gemini ya haya guardado.

Más allá de la información personal, ShinyHunters afirmó que su ataque al FBI reveló detalles cruciales sobre el funcionamiento de la unidad cibernética de la agencia. Aunque esto podría suponer un duro golpe para la agencia, aún no se conoce el alcance total del ataque.

Una nueva encuesta encargada por Exabeam revela que el 48 % de los responsables de seguridad consideran que los agentes de IA autónomos con acceso excesivo constituyen su principal amenaza, por delante de los piratas informáticos y de los empleados malintencionados.

Microsoft confirma que las actualizaciones KB5124012 y KB5124008 de septiembre interrumpieron las conexiones VPN Always On que utilizaban la conmutación automática al protocolo IKEv2/SSTP. A continuación se indica la solución provisional.

El acceso anticipado a «Control Resonant» no está disponible para los jugadores de Xbox ni de PC. Aun así, los piratas informáticos han distribuido una versión funcional para Steam un día antes de su fecha de lanzamiento, el 24 de septiembre. Cada vez son más los juegos AAA con costosas versiones de pre-venta que han sido víctimas de la piratería.

La actualización KB5124010 de Windows 11 incorpora la reasignación de teclas de Copilot, Emoji 17.0 y correcciones en el Explorador de archivos, pero presenta dos errores importantes. A continuación se detallan las novedades y cómo solucionar todos los errores.

Durante 30 años, una norma ha impedido que un sitio web de su navegador pudiera leer otro. En el modo agente, esa garantía se convierte en una cuestión sobre la calidad del modelo. Dos grupos de investigación lo demostraron de forma independiente, una empresa de seguridad lo puso de manifiesto y el navegador con el hallazgo más claro ha desaparecido.

Microsoft confirma que las copias de seguridad de «Historial de archivos» están fallando de forma silenciosa tras las actualizaciones de Windows de septiembre de 2026. A continuación se indica qué se ve afectado y cómo comprobar si su sistema presenta errores.

ChatGPT ha añadido esta semana un centro de privacidad al menú de la cuenta. Está disponible para las cuentas Free, Go, Plus, Pro y Business, recoge siete temas que van desde la memoria hasta la publicidad y le redirige a «Configuración» para cada cambio. Merece la pena detenerse en tres frases que contiene, ya que OpenAI explica detalladamente qué funciones siguen activas con los ajustes habituales.

Desde principios de septiembre, las gafas dejan de grabar en cuanto alguien tapa la luz. Ocho días después, la autoridad de protección de datos de Hamburgo publicó su informe final, en el que se pone de manifiesto en qué aspectos la luz sigue sin funcionar correctamente. En el caso de una de las funciones, no se enciende en absoluto.

Google Fotos lleva desde marzo respondiendo en Alemania a preguntas como «¿Dónde acampé el verano pasado?». Para que la función se active, es necesario que dos ajustes estén activados, y Google incluye una nota destacada sobre uno de ellos en otra sección. La frase tranquilizadora sobre el entrenamiento de la IA gira en torno a una sola palabra.

OpenAI establece una cookie denominada __obi en ChatGPT, la conserva durante un año y la vincula a su cuenta. Si visita un sitio web que compra anuncios de ChatGPT, su navegador envía ese identificador a OpenAI junto con la información sobre lo que estaba viendo. La propia política de cookies de OpenAI la clasifica como «análisis». A continuación se detalla qué datos se transmiten con ella y qué opciones puede desactivar.

Perfiles falsos en Instagram y Facebook anuncian inversiones que no existen, utilizando la imagen de un conocido formador alemán especializado en finanzas. Un tribunal de Fráncfort ha declarado a Meta directamente responsable, ya que su sistema de subasta publicitaria decide qué usuario ve cada anuncio. Las personas que han perdido dinero obtienen menos beneficios de la sentencia de lo que sugiere el titular.

Apple ha incorporado en iOS 27 una función que detecta el momento en que alguien le está presionando para que realice un pago. Esta función cubre la laguna que la autenticación de dos factores no puede subsanar. La función viene desactivada de fábrica, los cambios tardan hasta 24 horas en surtir efecto y solo funciona en aplicaciones que Apple no ha especificado.

La Smart Camera 5 Pro de Xiaomi combina dos sensores, visión nocturna a todo color en 4K y detección mediante IA integrada en el dispositivo, con una amplia cobertura de giro e inclinación. Los usuarios también disponen de opciones de almacenamiento flexibles, con la posibilidad de guardar los datos en la nube si es necesario.

Compartir un archivo mediante un enlace no implica que dicho enlace deje de estar activo una vez que haya terminado. Sigue funcionando, muestra su dirección de correo electrónico a cualquiera que lo abra, y Google clasifica a esos lectores como usuarios anónimos. La fecha de caducidad que todo el mundo recomienda es una función de pago tanto en Google como en Microsoft y Dropbox.

Google lanzó la actualización de septiembre para los Pixel el 15 de septiembre, destinada a los modelos desde el Pixel 6 hasta el Pixel 10. Esta actualización corrige 110 vulnerabilidades y, según Google, una de ellas es objeto de un ataque limitado y selectivo. La serie Pixel 11 no figura en dicha lista. Ya ha recibido dos actualizaciones de septiembre, ambas con el nivel de parche del 1 de septiembre. Google afirma que la corrección requiere la versión del 5 de septiembre.

La actualización fuera de ciclo KB5129195 de Microsoft corrige errores relacionados con el Escritorio remoto, el uso compartido de carpetas en Hyper-V y el audio USB que se produjeron en el «Patch Tuesday» de septiembre, además de una vulnerabilidad de privilegios de sistema.

La actualización de seguridad de septiembre de Microsoft impide pegar contenido en Excel. El comando falla sin emitir ningún pitido ni mostrar ningún mensaje de error, y la celda de destino permanece vacía. Microsoft incluyó este error en la descripción de su propia actualización el 10 de septiembre y afirma que sigue investigando la causa. Las versiones afectadas son Excel 2016, 2019, 2021 y 2024.

Google recomienda a los administradores que faciliten la dirección de correo electrónico de un empleado que abandona la empresa a un compañero actual como alias. Microsoft sugiere el reenvío o un buzón compartido. El responsable de protección de datos de Sajonia-Anhalt considera que esto es inadmisible. Cualquiera que lea la dirección puede restablecer cuentas privadas.

Con un solo toque en «Iniciar sesión con Google» se entrega un token a un tercero. Este permanece en sus servidores, sobrevive a la eliminación de la aplicación y solo caduca tras seis meses sin uso. Una nueva contraseña revoca los tokens de Google que tienen ámbito de correo y nada más. Todo lo demás permanece hasta que usted mismo lo elimine.

La empresa de seguridad de Múnich nebty ha documentado 119 012 tiendas falsas prácticamente idénticas. Copian las fotos, el texto y los precios de los minoristas reales e incluso vuelven a publicar la propia dirección de atención al cliente de la marca. Entre ellas se encuentran FRITZ!, Dreame, EcoFlow y Roborock. El proceso de pago envía los datos de la tarjeta campo por campo a medida que se teclean.

Unos 347 000 suscriptores del boletín informativo de Trezor recibieron una advertencia sobre un supuesto defecto de hardware, enviada desde la dirección auténtica [email protected]. Superó todos los controles de autenticación porque el proveedor del boletín, Brevo, había sufrido una filtración. BitBox y CoinTracking también se vieron afectados. A continuación le indicamos qué es lo que realmente le protege.

Un código QR que aparezca en la pantalla de una Switch podría exponer la consola a una brecha de seguridad y a la pérdida de datos. El método de emparejamiento se utiliza para compartir álbumes con teléfonos inteligentes o con los vehículos piloto en Mario Kart Live: Home Circuit. Nintendo ha lanzado el firmware 23.0.0 para contrarrestar el hackeo.

La actualización del «Patch Tuesday» de septiembre de 2026 de Microsoft corrige importantes vulnerabilidades de día cero de Windows que estaban siendo explotadas e introduce una nueva barra de tareas, un nuevo menú Inicio y nuevas opciones de búsqueda para Windows 11.

Andreas Thom, especialista en teoría de grupos de la Universidad Técnica de Dresde, afirma que OpenAI le dio una respuesta engañosa sobre si sus sesiones privadas de ChatGPT alimentaron los datos de entrenamiento subyacentes a la demostración de Astra, que construyó el primer grupo no sofico. OpenAI no se ha pronunciado públicamente sobre sus publicaciones.