Newsletter diario de IA
Nº 071 · Domingo, 8 de noviembre de 2026
Claude Code expone 2.539 credenciales en repos públicos; flota de agentes IA roba 190K cuentas gaming por menos de $400; Qwen3.5 9B razona sin restricciones en 4 GB; OpenAI publica el primer benchmark de agentes en laboratorio real
La edición de hoy viene cargada de señales de seguridad que se complementan: Claude Code tiene una vulnerabilidad de configuración que ha filtrado 2.539 credenciales reales a GitHub, y el primer caso documentado de crimen organizado corriendo flotas de agentes IA autónomos roba 190.000 cuentas de juego por menos de $400. En modelos: Qwen3.5 9B fusionado con razonamiento DeepSeek llega sin filtros y cabe en 4 GB de VRAM, y OpenAI publica BioBasicsBench para medir agentes en tareas de laboratorio real. En herramientas: OpenViking de ByteDance propone un sistema de archivos virtual para que equipos de agentes compartan contexto, y KeyContain cierra el bucle con control de privilegios mínimos para las APIs que tocan esos agentes.
3 apartados · 10 piezas · 9 min de lectura
Lo grande
4 piezasClaude Code "Don't Ask Again" expone 2.539 credenciales en 1.994 repositorios públicos de GitHub — .claude/settings.local.json nunca se añade al .gitignore
Cuando un usuario hace clic en "Yes, and don't ask again" en Claude Code, el comando aprobado —junto con cualquier secreto que lleve— queda persistido en .claude/settings.local.json como regla de allow. Ese archivo no está en el .gitignore por defecto, así que llega a GitHub con el resto del repo. La firma Apiiro escaneó 104.185 copias públicas del archivo y encontró 2.539 secretos en 1.994 repositorios de 63 organizaciones: 379 passwords de bases de datos, 122 service keys de Supabase, 43 credenciales SSH y 23 claves de AWS. Los reportes en GitHub Issues de Anthropic llevan activos desde agosto de 2025 sin respuesta pública.
Qué significa: No es un fallo del modelo sino de diseño de configuración: el archivo de allow-rules almacena información operativa sensible y no tiene protección de exclusión de VCS incorporada. La solución inmediata es añadir .claude/settings.local.json al .gitignore de cada proyecto. Cualquier repo con Claude Code activo que no lo haya hecho debería auditarse ya con git log --all --full-history -- .claude/settings.local.json para detectar si el archivo llegó al historial.
Artex: primera campaña de cibercrime documentada con flota de agentes IA autónomos — 190.000 credenciales gaming robadas por menos de $400 en costes de modelo
Check Point Research publica el análisis técnico de las campañas Artex: un framework chino de pentesting agéntico disponible en GitHub hasta principios de octubre. Un operador apuntó la flota contra 13 servidores de credenciales del juego Honor of Kings y recuperó 190.000 sets de acceso. El coste total de la operación: menos de $400, usando DeepSeek Flash como modelo base. Tasa de éxito del 3,3%; entre $700 y $1.500 por campaña; 36.000 millones de tokens consumidos. Los actores apenas interactuaron con sus agentes —se limitaron a pedir actualizaciones de progreso y redirigir a nuevos objetivos.
Qué significa: Artex establece una línea base concreta para el riesgo de agentes en producción: modelo barato + framework público + objetivo de alto volumen = campaña rentable a escala. No es un caso teórico ni de laboratorio. Para equipos que exponen endpoints o autentican usuarios en volumen, el umbral de viabilidad de un ataque automatizado ha bajado de forma material. El informe de Check Point incluye los indicadores de compromiso y los vectores técnicos.
Qwen3.5 9B UNCENSORED con razonamiento DeepSeek-V4-Pro — rechaza solo 3 de 100 prompts, corre en 4 GB de VRAM
xtools-at publica en HuggingFace una fusión de Qwen3.5-9B con el razonamiento de DeepSeek-V4-Pro bajo el tag UNCENSORED: el modelo rechaza solo 3 prompts de cada 100 y cabe en hardware de consumo con 4 GB de VRAM. La fusión combina la eficiencia de Qwen3.5 en el rango de 9B con las capacidades de razonamiento en cadena del modelo DeepSeek de mayor rendimiento.
Qué significa: Para builders que necesitan razonamiento local sin restricciones de contenido —pipelines de análisis de datos sensibles, agentes de seguridad ofensiva, casos de uso en mercados regulados donde la dependencia de APIs externas no está permitida— este modelo ofrece la combinación más accesible disponible hoy: rendimiento real, hardware consumer, sin contratos de uso.
OpenAI BioBasicsBench: 100 tareas de laboratorio real para medir agentes IA en biotech — GPT-6 Astra obtiene 66,7% de reward medio
OpenAI publica BioBasicsBench, un benchmark de 100 tareas extraídas de protocolos reales de laboratorio húmedo: caracterización de proteínas, imaging celular, clonación molecular. No son preguntas teóricas sino secuencias de acción que un agente debe ejecutar correctamente para que el experimento sea viable. GPT-6 Astra obtiene un 66,7% de reward medio sobre el conjunto. Es el primer benchmark de este tipo que mide capacidad de agentes en dominios donde un error tiene consecuencias físicas reales.
Qué significa: Los benchmarks de coding miden si el agente produce código correcto; BioBasicsBench mide si el agente puede razonar en un dominio de alto riesgo donde los errores cuestan tiempo, reactivos y potencialmente resultados. El 66,7% de Astra es un punto de partida, no un umbral de confianza para uso clínico —pero la existencia del benchmark es la señal: OpenAI está midiendo capacidades reales donde los errores son costosos, no solo donde son convenientes.
De X / conversación social
3 piezas@AGTPinsights: Claude Duet ahora conecta y controla sesiones activas de Claude Code desde el móvil — supervisión y steering en tiempo real para suscriptores Pro/Max/Ultra en EE.UU.
El hilo documenta la nueva capacidad de Claude Duet: conectarse a una sesión de Claude Code activa en el ordenador y supervisarla o redirigirla desde iOS o Android. Los suscriptores Pro, Max y Ultra en Estados Unidos pueden aprobar cambios, ver el estado del agente e intervenir sin abrir el terminal. El hilo incluye capturas de la interfaz de Duet mostrando el contexto de la sesión de Claude Code en tiempo real.
Por qué seguirlo: Cierra el bucle más pedido desde que Claude Duet se anunció: el agente supervisor en el móvil puede vigilar al agente ejecutor en el ordenador sin que el usuario esté delante. Para builders que corren sesiones largas de Claude Code (builds, migraciones, pipelines de datos) el steering desde móvil sin interrumpir el proceso es el caso de uso que justifica la suscripción.
@Dinosn: Check Point Research publica "Hacking on Autopilot" — el desglose técnico más completo de una campaña de cibercrime con agentes IA autónomos
Nicolas Krassas amplifica el informe de Check Point con contexto adicional: el framework Artex estuvo disponible públicamente en GitHub hasta principios de octubre 2026, los actores usaron DeepSeek Flash para mantener los costes por debajo de $400 por campaña, y la arquitectura de agentes permite ejecutar campañas con interacción humana mínima —los operadores revisaban el progreso y redirigían objetivos, pero no supervisaban cada paso. Los replies profundizan en los vectores técnicos y en si el modelo de distribución open-source de frameworks ofensivos necesita revisión.
Por qué seguirlo: El debate en los replies va al fondo del problema: Artex era un framework de pentesting legítimo que se reutilizó para cibercrime sin modificaciones sustanciales. La línea entre herramienta de seguridad ofensiva y herramienta criminal es cada vez más delgada cuando el coste de operación cae a $400 y la supervisión humana se reduce a revisar notificaciones de progreso.
@zodchiii: Claude Code lee el .env antes de que escribas nada, las API keys llegan al chat — y la solución real es una línea en settings.json que nadie documenta bien
El hilo arranca con la observación irónica de que Claude Code captura las variables de entorno al arrancar la sesión, las keys acaban en el chat, y las instrucciones en CLAUDE.md para evitarlo no funcionan de forma consistente. La solución que circula en los replies: añadir explícitamente .claude/settings.local.json al .gitignore del repo y revisar el historial con git log para confirmar que el archivo no se coló en commits anteriores. El hilo fue amplificado por varios developers que confirmaron haber subido el archivo sin darse cuenta.
Por qué seguirlo: La verificación práctica del fix está en los replies, no en la documentación oficial de Anthropic. Es la discusión más accionable del día para cualquier equipo que use Claude Code en un repo compartido o público.
Herramientas, repos y técnicas
3 piezasOpenViking (41.8k★) — Context Layer compartido para equipos de agentes: organiza memoria, conocimiento y skills como sistema de archivos virtual navegable con ls/read/grep
volcengine (ByteDance) publica OpenViking, una capa de contexto compartido para pipelines multi-agente. La arquitectura expone memoria, documentos de conocimiento y skills como un sistema de archivos virtual que los agentes pueden navegar con comandos familiares: ls para explorar, read para acceder a un nodo, grep para buscar. El resultado es un contexto inspeccionable y editable, no una memoria opaca que ningún agente puede auditar.
Para qué sirve: El problema de la memoria compartida entre agentes es que suele ser un blob de texto o una base de datos que solo el agente "dueño" entiende. OpenViking lo convierte en algo que cualquier agente del equipo —y el desarrollador— puede inspeccionar, corregir y versionar. Para builders con pipelines donde varios agentes comparten contexto (revisión de código, análisis de datos, generación de contenido en cadena), elimina el principal punto ciego de la arquitectura multi-agente.
Agent Manager (646★) — terminal multiplexer para correr Claude Code, Codex y Gemini CLI en paralelo con diff review, git worktrees y UI con ratón
Agent Manager es un multiplexer de terminal escrito en Go que gestiona múltiples sesiones de agentes de coding en paralelo dentro del mismo repo. Cada agente trabaja en su propio git worktree para evitar conflictos, el diff de cada propuesta se revisa desde la misma UI, y la interfaz acepta control con ratón. Licencia Apache-2.0, publicado ayer con 646 estrellas.
Para qué sirve: tmux raw para correr 4 agentes en paralelo funciona, pero no hay visibilidad ni control del estado de cada uno desde un punto central. Agent Manager añade esa capa de orquestación visual sin añadir infraestructura: es un binario en Go que se instala localmente. Alternativa directa a herramientas cloud como Type.com para quien quiere mantener el control local del entorno de agentes.
KeyContain — control de acceso granular para las APIs que usan tus agentes: define qué puede hacer cada uno, con approval workflows para acciones de riesgo
KeyContain permite definir políticas de acceso por agente: "este agente solo puede enviar emails a estos destinatarios", "este agente puede leer pero no escribir en este endpoint", "esta acción requiere aprobación humana antes de ejecutarse". MCP-compatible, con free tier disponible desde ayer.
Para qué sirve: El principio de least-privilege para agentes —cada uno solo accede a lo que necesita para su tarea— es la defensa más directa contra los vectores que documenta Artex: un agente comprometido o mal configurado no puede hacer más daño del que su política permite. Para pipelines de ventas, soporte o automatización que tocan Gmail, Slack, GitHub o cualquier API con efectos reales, KeyContain es la capa de guardrail que convierte "el agente puede hacer esto" en "el agente puede hacer exactamente esto y nada más".
Fin de la edición Nº 071