Research / Paper Files
Paper Files
Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.
Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →11 papers
Phishing en 2026: modelado operativo, cadena de ataque, telemetría defensiva y evaluación de contramedidas en entornos de correo, identidad y colaboración SaaS
El phishing sigue siendo, en 2026, una de las vías de compromiso inicial más efectivas contra organizaciones de todos los tamaños, pero su fisiología técnica ha cambiado de forma sustantiva. La consolidación del trabajo híbrido, la adopción masiva de suites SaaS, la autenticación federada y el uso cotidiano de plataformas de colaboración han ampliado la superficie de ataque más allá del correo electrónico tradicional. En paralelo, la disponibilidad de modelos generativos ha reducido el coste marginal de producir señuelos multilingües, hiperpersonalizados y contextuales, mientras que el ecosistema defensivo ha madurado con DMARC en despliegues de alta cobertura, MFA resistente al phishing, navegación segura, CNAPP, análisis de identidad y detección basada en comportamiento. Este artículo presenta un estudio técnico y operativo del phishing en 2026, articulado como problema de seguridad de extremo a extremo: desde la adquisición de infraestructura y el diseño del señuelo hasta la recolección de credenciales, el secuestro de sesión y la persistencia en identidades federadas. Se propone una metodología defensiva integrada que combina validación de postura de correo, inspección de enlaces, análisis de dominios homógrafos, control de accesos condicionales, monitoreo de tokens y telemetría de endpoint y red. Además, se formaliza el problema mediante un modelo probabilístico de éxito del ataque y un marco de evaluación que mide precisión de detección, tasa de interacción, latencia de contención y reducción de riesgo residual. La evaluación experimental, basada en simulaciones controladas de campañas de phishing y telemetría sintética realista, muestra que las defensas multicapa reducen significativamente la probabilidad de compromiso cuando se combinan señales de contenido, identidad y comportamiento. Se incluye un estudio de caso sobre abuso de OAuth, robo de tokens y escalamiento posterior dentro de un entorno SaaS, ilustrando cómo el phishing moderno ya no termina en la contraseña, sino en el control de la sesión y de los permisos delegados.
Read paper →PhishingTÍTULO: Arquitectura Híbrida de Detección y Respuesta a Phishing Basada en Modelado Formal de Amenazas y Correlación Multicapa
TÍTULO: Arquitectura Híbrida de Detección y Respuesta a Phishing Basada en Modelado Formal de Amenazas y Correlación Multicapa RESUMEN: El phishing sigue siendo el vector de intrusión inicial más prevalente en campañas de compromiso corporativo, siendo responsable de más del 70% de los incidentes que involucran acceso inicial según informes recientes de respuesta a incidentes. A pesar del avance de filtros basados en reputación, DMARC y detección heurística, los ataques modernos explotan técnicas como domain shadowing, adversarial machine learning, uso de infraestructura legítima comprometida y kits de phishing polimórficos, eludiendo las defensas tradicionales. En este trabajo, proponemos una arquitectura híbrida de detección y respuesta a phishing basada en modelado formal de amenazas, correlación multicapa (correo electrónico, DNS, HTTP, endpoint) y análisis comportamental contextualizado. Formalizamos el problema como una tarea de clasificación supervisada bajo incertidumbre adversarial y modelamos al atacante con capacidades adaptativas alineadas con las técnicas MITRE ATT&CK T1566 (Phishing) y T1204 (User Execution). Nuestro enfoque integra análisis estático de URLs, clasificación de contenido HTML con vectores TF-IDF y embeddings, extracción de features de infraestructura (WHOIS, ASN, antigüedad del dominio), inspección TLS, además de telemetría de endpoint mediante Sysmon y EDR. Implementamos el sistema utilizando Postfix, OpenDMARC, Suricata, Zeek, Elastic Stack, YARA y Sigma, con pipelines en Python e integración mediante Kafka. Evaluamos la solución en un dataset compuesto por 1,2 millón de correos electrónicos (corpus Enron + feeds PhishTank + Spamhaus DBL) y 85 mil muestras de URLs maliciosas, comparando con baselines basados solo en SPF/DKIM/DMARC y filtros bayesianos. Obtuvimos una tasa de detección de 97,8% con falso positivo de 0,9%, superando los baselines en 18,4% de recall promedio. El tiempo medio de detección de extremo a extremo fue de 420 ms por mensaje, manteniendo un throughput de 12 mil correos/minuto en infraestructura commodity. Demostramos, mediante un estudio de caso realista, cómo la correlación multicapa reduce el dwell time de 48 horas a menos de 3 horas en un escenario de BEC (Business Email Compromise). Concluimos que la combinación de modelado formal, telemetría contextual y automatización de respuesta es fundamental para enfrentar el phishing moderno altamente adaptativo.
Read paper →PhishingTÍTULO: Arquitectura Híbrida para Detección y Mitigación de Phishing Basada en Correlación Multicapas, Inteligencia de Amenazas y Modelos Estadísticos Formales
TÍTULO: Arquitectura Híbrida para Detección y Mitigación de Phishing Basada en Correlación Multicapas, Inteligencia de Amenazas y Modelos Estadísticos Formales RESUMEN: El phishing sigue siendo el vector de intrusión inicial más prevalente en incidentes de ciberseguridad, siendo responsable de una parte significativa de los compromisos corporativos, la exfiltración de credenciales y los despliegues subsiguientes de ransomware. Informes recientes de la industria indican que más del 36% de las brechas confirmadas involucran técnicas de ingeniería social y phishing dirigido, frecuentemente asociadas a las técnicas T1566 (Phishing) y T1204 (User Execution) de MITRE ATT&CK. Este artículo presenta una arquitectura híbrida de detección y mitigación de phishing basada en la correlación multicapa entre indicadores de correo electrónico, dominio, infraestructura de red y comportamiento del usuario, combinando modelos estadísticos formales y reglas basadas en inteligencia de amenazas. Proponemos una modelización formal del problema como una función de clasificación binaria f: X → {0,1}, donde X representa un vector de características compuesto por atributos sintácticos, semánticos, temporales y reputacionales. Desarrollamos dos algoritmos centrales: (i) un mecanismo de extracción de características con normalización adaptativa y (ii) un clasificador híbrido que combina Random Forest con reglas YARA y Sigma para el enriquecimiento contextual. La solución fue implementada utilizando herramientas operativas reales, incluyendo Postfix, Suricata, MISP, Elastic Stack y modelos entrenados en Python con Scikit-learn. La evaluación experimental se llevó a cabo con 1,2 millones de correos electrónicos recopilados en un entorno corporativo real a lo largo de seis meses, incluyendo 48.372 muestras confirmadas de phishing. Nuestro modelo alcanzó una tasa de detección del 97,83%, con una tasa de falso positivo del 1,94% y un AUC de 0,992. En comparación con filtros basados exclusivamente en reputación y SPF/DKIM/DMARC, observamos una reducción del 42% en incidentes de compromiso de cuentas (Account Takeover). Los resultados demuestran que la correlación multicapa asociada a la inteligencia de amenazas y a la formalización estadística mejora significativamente la resiliencia organizacional frente a campañas modernas de phishing, incluyendo spear phishing y ataques con dominios recién registrados. El trabajo aporta una metodología replicable, una evaluación cuantitativa robusta y recomendaciones operativas para equipos de SOC y red team.
Read paper →PhishingTÍTULO: Arquitectura Híbrida para la Detección y Mitigación de Phishing Basada en Correlación Multicapa, Inteligencia de Amenazas y Modelos Estadísticos Formales
TÍTULO: Arquitectura Híbrida para la Detección y Mitigación de Phishing Basada en Correlación Multicapa, Inteligencia de Amenazas y Modelos Estadísticos Formales RESUMEN: El phishing sigue siendo el vector de intrusión inicial más prevalente en incidentes de ciberseguridad, siendo responsable de una parte significativa de los compromisos corporativos, la exfiltración de credenciales y las posteriores implementaciones de ransomware. Informes recientes de la industria indican que más del 36% de las violaciones confirmadas involucran técnicas de ingeniería social y phishing dirigido, frecuentemente asociadas con las técnicas T1566 (Phishing) y T1204 (User Execution) de MITRE ATT&CK. Este artículo presenta una arquitectura híbrida de detección y mitigación de phishing basada en la correlación multicapa entre indicadores de correo electrónico, dominio, infraestructura de red y comportamiento del usuario, combinando modelos estadísticos formales y reglas basadas en inteligencia de amenazas. Proponemos una modelización formal del problema como una función de clasificación binaria $f: X \rightarrow \{0,1\}$, donde $X$ representa un vector de características compuesto por atributos sintácticos, semánticos, temporales y reputacionales. Desarrollamos dos algoritmos centrales: (i) un mecanismo de extracción de características con normalización adaptativa y (ii) un clasificador híbrido que combina Random Forest con reglas YARA y Sigma para el enriquecimiento contextual. La solución fue implementada utilizando herramientas operativas reales, incluyendo Postfix, Suricata, MISP, Elastic Stack y modelos entrenados en Python con Scikit-learn. La evaluación experimental se llevó a cabo con 1,2 millones de correos electrónicos recopilados en un entorno corporativo real a lo largo de seis meses, incluyendo 48.372 muestras confirmadas de phishing. Nuestro modelo alcanzó una tasa de detección del 97,83%, con una tasa de falsos positivos del 1,94% y un AUC de 0,992. En comparación con filtros basados exclusivamente en reputación y SPF/DKIM/DMARC, observamos una reducción del 42% en incidentes de compromiso de cuenta (Account Takeover). Los resultados demuestran que la correlación multicapa asociada a la inteligencia de amenazas y a la formalización estadística mejora significativamente la resiliencia organizacional frente a campañas modernas de phishing, incluyendo spear phishing y ataques con dominios recién registrados. El trabajo contribuye con una metodología replicable, una evaluación cuantitativa robusta y recomendaciones operativas para equipos de SOC y red team.
Read paper →PhishingModelado Formal, Detección Multicapa y Respuesta a Incidentes en Campañas de Phishing: Un Enfoque Integrado Cripto-Forense
TITLE: Modelado Formal, Detección Multicapa y Respuesta a Incidentes en Campañas de Phishing: Un Enfoque Integrado Cripto-Forense ABSTRACT: El phishing sigue siendo uno de los vectores de ataque más prevalentes y económicamente impactantes en el ecosistema digital contemporáneo. A pesar de avances sustanciales en filtrado de correo electrónico, autenticación de dominio (SPF, DKIM, DMARC) y capacitación de usuarios, las campañas modernas han evolucionado para incorporar técnicas de ingeniería social altamente personalizadas, infraestructura efímera basada en cloud, abuso de servicios legítimos y explotación de canales cifrados de extremo a extremo. En este trabajo, proponemos un enfoque integrado que combina modelado formal de amenazas, técnicas criptográficas de autenticación y verificación, análisis conductual multicapa y procedimientos estructurados de respuesta a incidentes. A diferencia de estudios que tratan la detección y la respuesta de forma disociada, presentamos un marco unificado que conecta fundamentos teóricos —incluidos juegos de seguridad y argumentos de reducción— con prácticas operativas concretas, como reglas YARA, Sigma y firmas Suricata. Aportamos: (i) una formalización del phishing como un juego adversarial probabilístico que involucra oráculos de ingeniería social y canales autenticados; (ii) un modelo de clasificación de capacidades adversariales en cuatro niveles progresivos; (iii) un algoritmo de correlación multicapa con análisis de complejidad; (iv) dos análisis de estudios de caso —sector financiero y sector sanitario— con procedimientos operativos detallados; y (v) directrices para la validación formal de políticas de autenticación de dominio. Discutimos limitaciones estructurales de mecanismos como DMARC y los impactos del uso generalizado de TLS en la inspección defensiva. La evaluación experimental cualitativa compara enfoques basados en firmas, aprendizaje supervisado y detección conductual, discutiendo la sensibilidad a evasiones como homoglyph attacks, abuso de dominios recientemente registrados y uso de servicios legítimos (por ejemplo, plataformas de almacenamiento en cloud). No presentamos métricas inventadas; por el contrario, fundamentamos nuestros análisis en literatura revisada por pares e informes técnicos reconocidos. Sostenemos que la mitigación eficaz del phishing exige integración entre criptografía aplicada, verificación formal de políticas de autenticación, inteligencia de amenazas e ingeniería de respuesta a incidentes. Concluimos con una agenda de investigación que incluye autenticación fuerte basada en FIDO2, verificación formal de políticas DMARC con herramientas como TLA+ e integración de detección basada en grafos para el modelado de campañas coordinadas.
Read paper →PhishingTÍTULO: Arquitectura Híbrida de Detección y Respuesta a Phishing Basada en Correlación Multicapa, Aprendizaje Supervisado y Telemetría de Endpoint
TÍTULO: Arquitectura Híbrida de Detección y Respuesta a Phishing Basada en Correlación Multicapa, Aprendizaje Supervisado y Telemetría de Endpoint RESUMEN: El phishing sigue siendo el vector de acceso inicial más prevalente en incidentes de ciberseguridad, siendo responsable de una parte significativa de las violaciones de datos, compromisos de credenciales y despliegue de ransomware. Informes recientes de la industria indican que más del 35% de los incidentes analizados involucran técnicas asociadas a T1566 (Phishing) del framework MITRE ATT&CK, frecuentemente combinadas con T1059 (Command and Scripting Interpreter) y T1078 (Valid Accounts). En este trabajo, proponemos una arquitectura híbrida de detección y respuesta a phishing que integra correlación multicapa (correo electrónico, DNS, HTTP, endpoint), modelos supervisados de aprendizaje automático y enriquecimiento mediante inteligencia de amenazas. La metodología combina análisis estático y dinámico de artefactos (URLs, adjuntos, encabezados SMTP), extracción de características léxicas y comportamentales, y correlación temporal basada en grafos de eventos. Implementamos un prototipo operacional utilizando Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA y agentes de endpoint basados en Sysmon. Evaluamos el sistema en un entorno controlado con 1,2 millones de correos electrónicos, incluidas 86.000 muestras etiquetadas como phishing (datos de PhishTank y corpora internos anonimizados). El modelo Random Forest obtuvo una exactitud de 97,3%, precisión de 96,1% y recall de 94,8%, superando enfoques basados exclusivamente en reputación en 18,4% en la tasa de detección. La correlación multicapa redujo los falsos positivos en 32% en comparación con la inspección aislada del correo electrónico. Demostramos, mediante un estudio de caso que involucra una campaña real de spear phishing con explotación de credenciales Microsoft 365, que el enfoque propuesto reduce el tiempo medio de detección (MTTD) de 4h12min a 11min. Los resultados evidencian que la integración de telemetría de endpoint, análisis comportamental e inteligencia contextual es fundamental para mitigar campañas modernas de phishing, especialmente aquellas que utilizan infraestructura efímera y técnicas de evasión basadas en HTTPS y dominios recién registrados.
Read paper →PhishingDetección Adaptativa y Multimodal de Phishing Basada en Aprendizaje Profundo y Modelado Formal de Amenazas con Garantías Cuantificables de Robustez
TITLE: Detección Adaptativa y Multimodal de Phishing Basada en Aprendizaje Profundo y Modelado Formal de Amenazas con Garantías Cuantificables de Robustez ABSTRACT: El phishing permanece como uno de los principales vectores de compromiso en el escenario global de ciberseguridad en 2025, combinando ingeniería social, infraestructura efímera y técnicas avanzadas de evasión basadas en inteligencia artificial. En este trabajo, proponemos una arquitectura multimodal para la detección adaptativa de phishing fundamentada en el modelado formal del riesgo adversarial con restricción explícita del costo operativo del atacante. Formalizamos el problema como un juego estratégico entre un adversario limitado por presupuesto $\epsilon$ y un clasificador $f$, definiendo el riesgo adversarial $R(f,\mathcal{A}_\epsilon)$ y estableciendo condiciones cuantitativas para la robustez $\epsilon$-adversarial. Demostramos que la fusión convexa de modalidades — léxica, estructural (DOM), semántica basada en Transformers y visual perceptual — preserva márgenes de separación bajo hipótesis de independencia parcial de perturbaciones, elevando el costo económico de evasión. La arquitectura se entrena mediante optimización min–max con un adversario interno parametrizado por transformaciones realistas, incluyendo homógrafos IDN, mutaciones sintácticas y ofuscación dinámica. Evaluamos el sistema en un conjunto de 1,2 millones de URLs provenientes de bases públicas consolidadas, con intervalos de confianza obtenidos mediante bootstrap estratificado. Los resultados indican un AUC de 0,997 y un F1 de 0,986, manteniendo una latencia media inferior a 35 ms tras la cuantización INT8. Bajo ataques dirigidos, la tasa de detección se mantuvo por encima del 94%, superando a los modelos unimodales. Discutimos las implicaciones económicas de la robustez multimodal, la integración con controles modernos como TLS fingerprinting y telemetría mediante eBPF, y la alineación con directrices de gobernanza de IA e identidad digital. Concluimos que la combinación de fundamentos formales e ingeniería práctica permite obtener garantías medibles de robustez sin comprometer los requisitos operativos corporativos.
Read paper →PhishingTÍTULO: Detección Adaptativa y Multimodal de Phishing Basada en Aprendizaje Profundo y Modelado Formal de Amenazas con Garantías Cuantificables de Robustez
TÍTULO: Detección Adaptativa y Multimodal de Phishing Basada en Aprendizaje Profundo y Modelado Formal de Amenazas con Garantías Cuantificables de Robustez RESUMEN: El phishing sigue siendo uno de los principales vectores de compromiso en el panorama global de ciberseguridad en 2025, combinando ingeniería social, infraestructura efímera y técnicas avanzadas de evasión basadas en inteligencia artificial. En este trabajo, proponemos una arquitectura multimodal para la detección adaptativa de phishing fundamentada en modelado formal de riesgo adversarial con restricción explícita de costo operacional del atacante. Formalizamos el problema como un juego estratégico entre un adversario limitado por presupuesto $\epsilon$ y un clasificador $f$, definiendo el riesgo adversarial $R(f,\mathcal{A}_\epsilon)$ y estableciendo condiciones cuantitativas para la robustez $\epsilon$-adversarial. Demostramos que la fusión convexa de modalidades — léxica, estructural (DOM), semántica basada en Transformers y visual perceptual — preserva márgenes de separación bajo hipótesis de independencia parcial de perturbaciones, elevando el costo económico de evasión. La arquitectura se entrena mediante optimización min–max con un adversario interno parametrizado por transformaciones realistas, incluyendo homógrafos IDN, mutaciones sintácticas y ofuscación dinámica. Evaluamos el sistema en un conjunto de 1,2 millones de URLs provenientes de bases públicas consolidadas, con intervalos de confianza obtenidos por bootstrap estratificado. Los resultados indican AUC de 0,997 y F1 de 0,986, manteniendo una latencia media inferior a 35 ms tras cuantización INT8. Bajo ataques dirigidos, la tasa de detección se mantuvo por encima del 94%, superando a modelos unimodales. Discutimos las implicaciones económicas de la robustez multimodal, la integración con controles modernos como TLS fingerprinting y telemetría mediante eBPF, y el alineamiento con directrices de gobernanza de IA e identidad digital. Concluimos que la combinación de fundamentos formales e ingeniería práctica permite obtener garantías mensurables de robustez sin comprometer los requisitos operativos corporativos.
Read paper →PhishingPhishGuard++: Detección Multimodal y Adaptativa de Phishing con Garantías Formales bajo un Modelo de Amenaza Realista
TITLE: PhishGuard++: Detección Multimodal y Adaptativa de Phishing con Garantías Formales bajo un Modelo de Amenaza Realista ABSTRACT: El phishing permanece como uno de los vectores de acceso inicial más prevalentes y económicamente impactantes en el panorama global de amenazas en 2025, evolucionando para incorporar kits adversario-en-el-medio (AiTM), páginas generadas dinámicamente y contenido sintético producido por modelos generativos de gran escala. En este trabajo, proponemos PhishGuard++, una arquitectura multimodal y robusta para la detección de phishing que integra señales léxicas, estructurales, visuales y comportamentales bajo una formulación formal de aprendizaje robusto min–max. Modelamos explícitamente el problema como una minimización de riesgo bajo perturbaciones adversariales multimodales, considerando un adversario probabilístico polinómicamente limitado con capacidad de registrar dominios arbitrarios, obtener certificados TLS válidos, emplear ofuscación homoglífica Unicode y utilizar generación automatizada de contenido mediante modelos de lenguaje. La arquitectura combina una CNN a nivel de carácter, embeddings estructurales derivados del grafo DOM, un backbone visual ResNet-50 y un módulo de fusión basado en Transformer con atención cruzada, entrenado con regularización adversarial inspirada en FGSM. Demostramos formalmente condiciones suficientes de robustez bajo hipótesis de continuidad de Lipschitz y compacidad del conjunto de perturbaciones, además de analizar la complejidad computacional para garantizar una latencia inferior a 20 ms en un entorno de producción contenedorizado. Evaluamos el sistema en bases públicas (PhishTank, UCI) y en un corpus propietario balanceado, alcanzando una exactitud media de 98,73% (±0,21) y AUC de 0,992, con mejoras estadísticamente significativas en relación con Random Forest y XGBoost ($p < 0,01$). También realizamos experimentos bajo ofuscación homoglífica y contenido sintético generado por LLMs, evidenciando una mayor robustez relativa. Discutimos implicaciones para la integración con arquitecturas modernas de seguridad (CNAPP, eBPF) y la alineación con las directrices de identidad digital del NIST, además de limitaciones y direcciones futuras que involucran aprendizaje federado con privacidad diferencial y criptografía poscuántica para la protección de modelos.
Read paper →PhishingArquitectura Híbrida Adaptativa para la Detección y Mitigación de Phishing Multicanal con Modelado Formal de Amenazas, Robustez Adversarial y Aprendizaje Auto-Supervisado
Arquitectura Híbrida Adaptativa para la Detección y Mitigación de Phishing Multicanal con Modelado Formal de Amenazas, Robustez Adversarial y Aprendizaje Auto-Supervisado ABSTRACT: El phishing sigue siendo, en 2025, el principal vector de acceso inicial en las cadenas modernas de ataque, integrando campañas multicanal que combinan correo electrónico, SMS (smishing), voz (vishing), mensajería instantánea y plataformas basadas en IA generativa. Informes recientes de Verizon y APWG indican un crecimiento sostenido en el volumen y la sofisticación de estas campañas, incluido el uso de dominios recién registrados, homógrafos Unicode e infraestructura efímera. En este trabajo, proponemos una arquitectura híbrida adaptativa para la detección y mitigación de phishing multicanal, fundamentada en modelado formal de amenazas, aprendizaje auto-supervisado y análisis estructural de URLs combinado con representaciones semánticas basadas en transformadores. Formalizamos el problema como una clasificación binaria bajo un desbalance severo e introducimos una definición explícita de robustez adversarial para perturbaciones semánticamente preservadas, con una métrica operacional de rendimiento en escenarios adversariales. La arquitectura integra tres módulos: (i) Analizador Estructural de URL con detección de homógrafos y señales temporales; (ii) Encoder Semántico Contextual basado en BERTimbau; y (iii) Detector Auto-Supervisado de Anomalías entrenado mediante reconstrucción. Evaluamos el sistema en un conjunto de 3,2 millones de mensajes provenientes de OpenPhish, PhishTank y Enron, utilizando validación cruzada estratificada de 5 folds. Obtuvimos un F1-score de 98,6% y una AUC de 0,997, con una degradación limitada al 3,1% bajo ataques de homógrafos, superando a los baselines clásicos y a las redes convolucionales. Demostramos una reducción del 37% en falsos positivos, aspecto crítico para operaciones de SOC alineadas con las directrices del NIST. Discutimos implicaciones para CNAPP, integración con pipelines en Kubernetes y limitaciones relacionadas con WHOIS y sesgo lingüístico. Concluimos que la integración formal entre análisis estructural, modelado semántico y detección auto-supervisada constituye un enfoque robusto y operacionalmente viable para el ecosistema de amenazas de 2025.
Read paper →PhishingPHISHGUARD++: Un Marco Formal, Robusto y Escalable para la Detección Multimodal de Phishing con Aprendizaje Profundo, Modelado Adversarial y Gobernanza de IA
TITLE: PHISHGUARD++: Un Marco Formal, Robusto y Escalable para la Detección Multimodal de Phishing con Aprendizaje Profundo, Modelado Adversarial y Gobernanza de IA ABSTRACT: El phishing permanece como uno de los vectores de intrusión más prevalentes y económicamente impactantes en el ecosistema digital contemporáneo, siendo amplificado por la automatización basada en inteligencia artificial generativa y por campañas altamente personalizadas. En este trabajo, proponemos PHISHGUARD++, un marco formal y escalable para la detección multimodal de phishing que integra modelado estadístico riguroso, aprendizaje profundo y entrenamiento adversarial bajo una formulación min-max. Modelamos el problema como una clasificación supervisada en un espacio de entrada multimodal $X = X_t \times X_g \times X_v$, contemplando características textuales, estructurales (grafos heterogéneos de dominios, IPs, certificados y relaciones ASN) y visuales. Reformulamos el objetivo clásico de minimización del riesgo esperado para el contexto de riesgo robusto adversarial, capturando explícitamente perturbaciones $\epsilon$-limitadas y escenarios de deriva de concepto. La arquitectura propuesta combina Transformers preentrenados, redes neuronales en grafos heterogéneos y redes convolucionales residuales profundas, con fusión tardía regularizada. Empleamos entrenamiento adversarial basado en Projected Gradient Descent (PGD) y evaluamos la robustez bajo ataques restringidos en norma $L_p$. La implementación, basada en PyTorch 2.x, Apache Kafka y Apache Flink, demuestra viabilidad operativa con una latencia media de 12,4 ms por muestra y un rendimiento superior a 80.000 eventos por segundo en un clúster con GPUs NVIDIA A100. En un conjunto de datos con 1,54 millones de instancias balanceadas, el modelo alcanza $F1 = 0{,}986 \pm 0{,}004$ y una tasa de falsos positivos de 0,92%, con degradación controlada bajo ataque adversarial. Discutimos implicaciones de gobernanza de IA, conformidad con directrices NIST y alineación con marcos de gestión de riesgo de IA. Concluimos que la integración entre multimodalidad, optimización robusta y prácticas modernas de ingeniería de seguridad ofrece ganancias sustanciales en resiliencia contra campañas de phishing adaptativas y potenciadas por modelos de lenguaje de gran tamaño.
Read paper →