Edición de 20 de septiembre de 2026, 18:15 · ventana de las 14:15 a las 18:15
Malware en npm esquiva las defensas de instalación al ejecutarse dentro del paquete
La campaña asociada a indexed-btree recuerda que impedir los scripts de instalación no basta para controlar una dependencia. Pixelfed pide una actualización inmediata por seguridad y Jev promete abaratar las decisiones de los agentes: elegir una herramienta y autorizar lo que puede hacer siguen siendo problemas distintos.
17congresistas demócratas apoyados por Protect Progress votaron a favor de CLARITY, según el recuento difundido por Jason Poulos
72 horasde captura de tráfico en Pixel 8, según la descripción del ensayo de PraveenTechWorld compartida en Mastodon
Lo que importa
Una campaña de npm oculta el malware en el funcionamiento normal del paquete
Seguridad · DependenciasMuy relevante
- BleepingComputer informa de una campaña activa que implica al paquete indexed-btree.
- El código malicioso se esconde en el comportamiento del paquete durante la ejecución, en lugar de utilizar scripts de instalación. Así evita las defensas centradas en ese momento del proceso.
Por qué importaBloquear acciones durante la instalación no garantiza que una dependencia sea segura cuando la aplicación la utiliza. La consecuencia práctica es revisar también los permisos, las credenciales accesibles y las conexiones que se permiten durante la ejecución. El caso muestra el límite de un control concreto, no la inutilidad de todos los controles de cadena de suministro ni un mecanismo de ataque necesariamente nuevo.
Pixelfed pide actualizar inmediatamente a v0.14.1 por seguridad
Seguridad · FediversoMuy relevante
- La cuenta oficial de Pixelfed recomienda que todos sus servidores actualicen inmediatamente a v0.14.1 por motivos de seguridad.
- El aviso enlaza la versión y pide a los usuarios que informen a los administradores de sus instancias. No especifica la vulnerabilidad ni afirma que esté siendo explotada.
Por qué importaEs una indicación operativa concreta para quienes administran Pixelfed. Para sus usuarios, la actuación útil es comprobar que el responsable de la instancia conoce el aviso. La urgencia solicitada por el proyecto no permite atribuir por nuestra cuenta una gravedad técnica ni dar por hecho que haya servidores comprometidos.
Jev propone abaratar la elección de herramientas de los agentes
IA · Infraestructura cloudRelevante
- Forbes, en el resumen de Techmeme, informa de que Vercel, Cloudflare y otras empresas incorporan Jev para acelerar y abaratar la selección de herramientas.
- TypeSafe afirma que Jev iguala a GPT-5.6 y Sonnet 5 en evaluaciones de flujos de trabajo. La propuesta se centra en decisiones como qué herramienta llamar, cuándo reintentar o si ejecutar un comando es seguro.
Por qué importaSeparar esas decisiones de la generación de texto podría reducir el uso de modelos grandes. Pero igualar una evaluación no acredita por sí solo la seguridad de una orden ni el rendimiento en otro entorno. Antes de trasladarlo a producción habría que comprobar metodología, errores y costes reales: las comparaciones citadas son afirmaciones de TypeSafe, no una validación independiente.
Ackerman denuncia torturas en una deportación a Guinea Ecuatorial
Mundo · DerechosRelevante
- Spencer Ackerman comparte una información de The New York Times sobre una deportación estadounidense a Guinea Ecuatorial y rechaza describirla como una simple deportación a un tercer país.
- El periodista la califica de entrega extraordinaria y denuncia tortura y silencio impuesto por las autoridades del país receptor. Vincula lo ocurrido con la impunidad de las actuaciones de la CIA durante la guerra contra el terrorismo.
Por qué importaLa denuncia plantea quién puede proteger a una persona cuando el Estado que la expulsa la traslada a otro país. Las acusaciones de tortura y la continuidad con prácticas de la CIA se presentan aquí como afirmaciones de Ackerman; su publicación no basta para dar por verificados todos los extremos ni para establecer una calificación jurídica definitiva.
El apoyo de un super-PAC cripto coincide con el voto a favor de CLARITY
Poder tecnológico · RegulaciónRelevante
- Jason Poulos difunde un recuento con enlace a Tech Influence Watch: en 19 primarias de congresistas demócratas en ejercicio donde gastó Protect Progress, los 17 apoyados votaron a favor de CLARITY y los dos a los que se opuso votaron en contra.
- Según su publicación, el texto pasó la Cámara con 78 votos demócratas favorables y atribuye a la CFTC jurisdicción exclusiva sobre los mercados al contado de las denominadas digital commodities.
Por qué importaLa coincidencia permite examinar cómo el dinero del sector selecciona a sus aliados y qué organismo pretende que lo supervise. No prueba por sí sola una compra de votos: apoyar a quienes ya comparten una posición también puede producir ese patrón. Para distinguir selección e influencia hace falta reconstruir cuándo se expresaron las posiciones, se votó y se gastó el dinero.
Una comparación de Pixel 8 pone el foco en el tráfico con el teléfono inactivo
Privacidad · DispositivosRelevante
- Una publicación en Mastodon describe un ensayo de PraveenTechWorld con captura externa de tráfico durante 72 horas en dispositivos Pixel 8 bloqueados e inactivos.
- Según esa descripción, Android de fábrica produjo 348.4 solicitudes salientes por hora hacia infraestructura de Alphabet, frente a 0.0 en una configuración de GrapheneOS sin servicios de Google. La publicación afirma que se difundieron los datos brutos.
Por qué importaMedir el tráfico permite formular preguntas concretas sobre la actividad de fondo. Pero contar solicitudes no identifica qué datos contienen, y comparar configuraciones con servicios distintos no aísla el efecto del sistema operativo. Es una pista que merece examinarse, no una prueba de que toda conexión sea vigilancia ni de que GrapheneOS carezca de cualquier comunicación de red.
Análisis transversal
Elegir una acción no es tener permiso para ejecutarla
JevMalware en npmRevisión humana
La promesa de Jev consiste en abaratar decisiones; la campaña de npm muestra que un componente puede comportarse de forma maliciosa después de instalarse. Entre ambas aparece la crítica de Dare Obasanjo: algunas empresas ya discuten si los humanos deberían siquiera revisar la salida de los agentes. No son pruebas de una misma avería, pero delimitan un problema de diseño. Si un modelo elige una herramienta, esa elección no debería ampliar sus permisos ni sustituir los controles sobre lo que ejecuta. La eficiencia de la decisión y la contención de sus consecuencias necesitan evaluaciones separadas.
La repetición no añade una segunda confirmación
Arco de TrumpTelemetríaFinanciación política
En Bluesky, las reacciones al arco con drones y francotiradores multiplican las interpretaciones de una noticia, no las pruebas de un despliegue. En Mastodon ocurre algo menos vistoso: una cifra precisa sobre tráfico móvil o una coincidencia entre financiación y votos puede circular como demostración de vigilancia o de compra de voluntades. El mecanismo es parecido: un dato se conserva mientras su significado se amplía. Conviene mantener a la vista el salto pendiente entre solicitudes y contenido transmitido, entre apoyo y causalidad, entre propuesta y ejecución.
La plausibilidad de una cita también puede engañar
LLMentalistNaomi KleinJuicio humano
El ensayo LLMentalist compara los chatbots con mecanismos de lectura en frío e ilusión de comprensión. En Mastodon vuelve a circular la advertencia sobre citas falsas de Naomi Klein junto a imágenes generadas; una publicación cita su explicación de que se parecen a palabras e imágenes auténticas. La conexión útil no es que ambos casos demuestren una teoría general sobre la inteligencia, sino que reconocer un estilo puede confundirse con comprobar una fuente. Esa distinción importa especialmente cuando se propone eliminar la revisión humana: parecer correcto y estar acreditado no son el mismo criterio.
La lectura alternativa: los derechos antes que la seguridad del software
Guinea EcuatorialSeguridad nacionalPrioridades
Hay una lectura que pondría primero la denuncia sobre Guinea Ecuatorial: las posibles consecuencias para una persona deportada pesan más que una mejora en la selección de herramientas. La comparto como advertencia contra reducir la agenda a la utilidad profesional. Mantengo la apertura técnica porque la campaña de npm y el aviso de Pixelfed describen problemas más delimitados y actuaciones concretas. No agrupo la deportación y el arco de Trump como una política coordinada: Don Beyer interpreta la apelación militar del monumento como un pretexto jurídico, pero esa interpretación no demuestra una conexión causal con el otro caso.
En tus timelines
Mastodon discute quién conserva el juicio sobre el software; en Bluesky, el arco de Trump concentra la reacción política y desplaza denuncias con consecuencias humanas más directas.
La revisión humana, de salvaguarda a supuesto estorbo
Obasanjo critica que el debate empresarial pase de sustituir tareas a cuestionar la revisión humana. El ensayo LLMentalist aporta otro ángulo, el de la ilusión de comprensión, mientras vuelve a circular el desmentido de las citas atribuidas a Naomi Klein. Son objeciones distintas al discurso de eficiencia: ni el ensayo es una evaluación de Jev ni los testimonios permiten describir a toda la industria.
El arco, los drones y la hipótesis de la seguridad nacional
La noticia de que Trump dice que su arco albergaría drones y francotiradores suscita sátira y alarma. Don Beyer objeta que un punto de lanzamiento interferiría con la trayectoria de aterrizaje de DCA y lo interpreta como un intento de defender judicialmente el proyecto mediante la seguridad nacional. Es su lectura del propósito, no una motivación acreditada ni la confirmación de una instalación militar operativa.
La memoria de la dana también pasa por el espacio compartido
El Salto presenta una obra jugable de Reyes Pe en el Parke Alcosa de Alfafar como una forma de cicatrizar la dana. Es una conversación cultural y vecinal que queda lejos del predominio tecnológico y estadounidense; el anuncio de la obra no permite medir la recuperación del barrio.
Ruido descartado
Reseñas y fundas del iPhone no cambian la agenda
Las reseñas del iPhone 18 Pro, las dudas sobre fundas y los comentarios sobre su cámara prolongan el ciclo del producto. No aportan por sí solos un cambio comparable al aviso de seguridad de Pixelfed o al problema de las dependencias.
Apple: dos noticias no prueban una reasignación de dinero
Gurman reúne la estrategia de un dispositivo doméstico con Siri y pantalla y recortes de personal en Fitness+. Su coincidencia no demuestra que esos recortes financien el nuevo dispositivo. Tampoco permite afirmar que Apple abandone los servicios de contenido.