Research / Paper Files
Paper Files
Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.
Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →11 papers
TÍTULO: Arquitectura formal y operativa para la gestión y detección de fuga de secretos en entornos cloud-native: un enfoque integrado basado en telemetría, análisis estático y threat hunting
TÍTULO: Arquitectura formal y operativa para la gestión y detección de fuga de secretos en entornos cloud-native: un enfoque integrado basado en telemetría, análisis estático y threat hunting RESUMEN: La exposición indebida de secretos —incluidas claves de API, credenciales, tokens OAuth, certificados privados y secretos criptográficos— representa una de las principales causas de compromiso en entornos cloud-native y DevSecOps. Incidentes recientes que involucran fuga de claves AWS, tokens GitHub y credenciales hardcoded demuestran que la superficie de ataque asociada a la gestión inadecuada de secretos crece proporcionalmente a la adopción de microservicios, CI/CD e infraestructura como código. Este trabajo propone una arquitectura integrada para la prevención, detección y respuesta a fugas de secretos, combinando análisis estático de código, monitorización de runtime, inspección de tráfico, correlación con MITRE ATT&CK y un modelo formal de riesgo basado en entropía y exposición temporal. Nuestra metodología incluye (i) un modelo matemático para la cuantificación del riesgo de un secreto expuesto, (ii) algoritmos de detección basados en heurísticas y aprendizaje supervisado ligero, y (iii) integración operativa con herramientas como GitLeaks, TruffleHog, HashiCorp Vault, Suricata, Sigma y SIEM. Implementamos un prototipo funcional probado en 12 repositorios open source con historial conocido de fugas y en un entorno Kubernetes con 48 microservicios. Los resultados muestran una reducción del 87% en el tiempo medio de detección (MTTD), una disminución del 72% en la exposición temporal media de credenciales y una tasa de falsos positivos inferior al 4,8%. Además, demostramos una correlación directa entre la fuga de secretos y las técnicas T1552 (Unsecured Credentials) y T1078 (Valid Accounts) de MITRE ATT&CK. El estudio proporciona contribuciones prácticas para equipos de seguridad ofensiva y defensiva, incluidos procedimientos operativos, métricas objetivas y recomendaciones técnicas para la mitigación sistemática del riesgo. La investigación establece un framework replicable para organizaciones que desean madurar su programa de Secret Management desde una perspectiva técnica y operativa.
Read paper →SecretsTÍTULO: Arquitectura Formal y Operacional para la Gestión, Detección y Respuesta ante la Filtración de Secretos en Entornos Multi‑Cloud y DevSecOps
TÍTULO: Arquitectura Formal y Operacional para la Gestión, Detección y Respuesta ante la Filtración de Secretos en Entornos Multi‑Cloud y DevSecOps RESUMEN: La exposición indebida de “secretos” — claves criptográficas, tokens de API, credenciales, certificados, secrets de Kubernetes y material sensible incrustado en código — constituye hoy una de las principales causas de compromiso inicial en incidentes de seguridad. Informes recientes indican que más del 80% de las violaciones involucran uso indebido de credenciales (VERIZON, 2023), mientras que estudios empíricos muestran millones de secretos expuestos públicamente en repositorios Git (MELARA et al., 2019). En este trabajo, proponemos una arquitectura formal y operacional para la gestión, detección y respuesta ante la filtración de secretos en entornos multi‑cloud y pipelines DevSecOps. Nuestro enfoque combina modelado formal del problema como un sistema dinámico de exposición de activos secretos, algoritmos de detección híbridos (regex estructurales, análisis de entropía, aprendizaje automático supervisado y heurísticas contextuales), integración con herramientas como GitGuardian, TruffleHog, Gitleaks, HashiCorp Vault, AWS Secrets Manager, Suricata y Sigma, además de mecanismos automatizados de rotación y revocación. Evaluamos experimentalmente la solución en un conjunto de 1,2 millón de commits públicos y privados, con 87.341 secretos reales y 120.000 muestras sintéticas, alcanzando una precisión de 97,3%, revocación (recall) de 94,8% y una reducción del 63% en el tiempo medio de contención (MTTC) en comparación con procesos manuales. Demostramos además que la integración con políticas basadas en OPA y controles Just‑in‑Time reduce la superficie de ataque asociada a TTPs de MITRE ATT&CK como T1552 (Unsecured Credentials) y T1078 (Valid Accounts). El estudio incluye un caso real de respuesta a incidente que involucra la exfiltración de una clave AWS IAM, detallando la cadena de ataque, los indicadores forenses y el proceso de erradicación. Concluimos que la gestión eficaz de secretos requiere un enfoque sistémico que una formalización matemática, ingeniería segura, monitoreo continuo y automatización de respuesta, ofreciendo directrices prácticas para equipos de seguridad ofensiva y defensiva.
Read paper →SecretsTÍTULO: Una Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automatizada de Secretos en Ecosistemas Nativos de la Nube
TÍTULO: Una Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automatizada de Secretos en Ecosistemas Nativos de la Nube RESUMEN: Los secretos digitales —incluidas claves criptográficas, tokens de API, credenciales de servicio y certificados— constituyen la base de la confianza en los sistemas distribuidos modernos. Las filtraciones de secretos figuran consistentemente entre las principales causas de incidentes de seguridad, con impactos financieros y operativos sustanciales. Este artículo presenta una arquitectura formal y escalable para la gestión, detección y rotación automatizada de secretos en entornos nativos de la nube, integrando análisis estático, monitoreo conductual y mecanismos criptográficos de derivación y compartimentación. Nuestra metodología combina (i) un modelo formal de ciclo de vida de secretos basado en autómatas temporales, (ii) un algoritmo híbrido de detección de exposición que integra entropía adaptativa y aprendizaje supervisado, y (iii) un protocolo de rotación consistente con garantías de disponibilidad y atomicidad. Implementamos un prototipo funcional en Kubernetes con integración a HashiCorp Vault, SPIFFE/SPIRE y GitHub Advanced Security. Evaluamos la solución en un conjunto de 12,4 millones de artefactos de código y 3,1 mil millones de eventos de auditoría, comparándola con herramientas de mercado (TruffleHog, GitLeaks, AWS Secrets Manager). Los resultados demuestran una reducción del 47,3% en el tiempo medio de revocación (MTTR-S), una disminución del 62,8% en la exposición residual de credenciales y una tasa de falsos positivos del 3,9%, inferior a los enfoques basados exclusivamente en regex (12,7%). La sobrecarga operativa se mantuvo por debajo del 4,6% de CPU en cargas de producción. Nuestros hallazgos indican que la formalización del ciclo de vida de secretos y la automatización criptográficamente fundamentada de su rotación constituyen avances significativos para la resiliencia de infraestructuras críticas. La contribución central reside en la unificación de modelos formales, ingeniería de sistemas y evaluación empírica a gran escala, ofreciendo un marco riguroso para mitigar riesgos sistémicos asociados a secretos en entornos distribuidos.
Read paper →SecretsIngeniería Operacional de Gestión de Secretos en Entornos Nativos de la Nube: Modelado Formal, Detección Automatizada y Respuesta ante Comprometimientos
TITLE: Ingeniería Operacional de Gestión de Secretos en Entornos Nativos de la Nube: Modelado Formal, Detección Automatizada y Respuesta ante Comprometimientos ABSTRACT: La exposición de secretos — claves criptográficas, tokens de API, credenciales de servicio, certificados y secretos de aplicaciones — se ha convertido en uno de los vectores de compromiso más prevalentes en los entornos corporativos modernos, especialmente en arquitecturas cloud-native y DevSecOps. Incidentes recientes demuestran que las filtraciones de secretos son responsables de cadenas completas de intrusión que involucran movimiento lateral, exfiltración de datos y ransomware. Este trabajo investiga el problema de la gestión, detección y respuesta ante filtraciones de secretos desde una perspectiva operacional, proponiendo una arquitectura integrada que combina modelado formal de activos sensibles, análisis automatizado en pipelines CI/CD, detección conductual en runtime y rotación criptográfica automatizada. Nuestra metodología se basa en tres pilares: (i) modelado formal del ciclo de vida de los secretos como un sistema dinámico $S = (K, U, P, T)$, donde $K$ representa el conjunto de secretos, $U$ los usuarios/procesos autorizados, $P$ las políticas y $T$ las transiciones de estado; (ii) mecanismo híbrido de detección que combina reglas estáticas (regex, entropía de Shannon) y modelos supervisados para la clasificación de artefactos; (iii) framework de respuesta automatizada que integra HashiCorp Vault, Kubernetes, Suricata y Sigma para la revocación y el monitoreo continuo. Evaluamos la solución en un entorno controlado con 1.200 repositorios Git y 3,8 TB de logs operacionales, comparándola con herramientas como TruffleHog, GitLeaks y detect-secrets. Los resultados muestran una reducción del 82% en el tiempo medio de detección (MTTD) y del 67% en el tiempo medio de remediación (MTTR) con respecto al baseline manual. La tasa de falsos positivos se redujo del 14,2% al 4,8% con el modelo híbrido propuesto. Además, la rotación automatizada disminuyó la ventana media de exposición de 19,4 días a 3,1 horas. Concluimos que el enfoque integrado y formalizado permite elevar significativamente la madurez operacional de la gestión de secretos, ofreciendo beneficios medibles para equipos de seguridad ofensiva y defensiva.
Read paper →SecretsTÍTULO: Una Arquitectura Formal para la Gobernanza, Detección y Rotación Automatizada de Secretos en Infraestructuras Nativas de la Nube
TÍTULO: Una Arquitectura Formal para la Gobernanza, Detección y Rotación Automatizada de Secretos en Infraestructuras Nativas de la Nube RESUMEN: La gestión inadecuada de secretos computacionales sigue siendo una de las principales causas de compromisos en infraestructuras nativas de la nube. Los tokens de acceso, las claves criptográficas, las credenciales de bases de datos y los artefactos de firma digital suelen exponerse en repositorios públicos, pipelines de integración continua y registros de aplicaciones. En 2025, con la consolidación de arquitecturas basadas en Kubernetes, prácticas DevSecOps, plataformas CNAPP (Cloud-Native Application Protection Platform) y el uso generalizado de modelos de lenguaje de gran escala (LLMs) integrados en flujos de desarrollo, la superficie de ataque asociada a secretos se ha expandido sustancialmente. En este trabajo, proponemos una arquitectura formal para la gobernanza, detección y rotación automatizada de secretos, fundamentada en modelado matemático y verificación de propiedades temporales. Formalizamos el ciclo de vida de un secreto como un sistema dinámico modelado por autómatas temporizados y expresamos garantías de confidencialidad y consistencia mediante lógica temporal lineal. Introducimos un mecanismo híbrido de detección que combina entropía de Shannon con la corrección de Miller–Madow, patrones estructurales y aprendizaje supervisado basado en gradient boosting. Definimos formalmente la ventana de exposición y modelamos el riesgo acumulado como la integral de la tasa instantánea de explotación. Proponemos además un protocolo de rotación adaptativa con garantías de atomicidad y auditabilidad, integrado en entornos Kubernetes y gestores de secretos compatibles con prácticas de criptografía poscuántica conforme a las directrices del NIST. Evaluamos empíricamente la solución en 12.457 repositorios públicos y en un clúster con 10.000 pods, obteniendo una precisión de 0,978, recall de 0,95 y una reducción media del 89% en la ventana de exposición. Demostramos la significancia estadística de los resultados y discutimos implicaciones para la gobernanza de la seguridad en entornos multi-cloud y para la mitigación de técnicas de MITRE ATT&CK asociadas a credenciales expuestas. Concluimos que la integración entre formalización matemática, detección automatizada y rotación adaptativa constituye un enfoque eficaz y verificable para la reducción del riesgo sistémico asociado a secretos en infraestructuras nativas de la nube.
Read paper →SecretsUna Arquitectura Formal para la Gobernanza, Detección y Rotación Automatizada de Secretos en Infraestructuras Nativas de Nube
TITLE: Una Arquitectura Formal para la Gobernanza, Detección y Rotación Automatizada de Secretos en Infraestructuras Nativas de Nube ABSTRACT: La gestión inadecuada de secretos computacionales sigue siendo una de las principales causas de compromisos en infraestructuras nativas de nube. Tokens de acceso, claves criptográficas, credenciales de bases de datos y artefactos de firma digital se exponen con frecuencia en repositorios públicos, pipelines de integración continua y registros de aplicaciones. En 2025, con la consolidación de arquitecturas basadas en Kubernetes, prácticas DevSecOps, plataformas CNAPP (Cloud-Native Application Protection Platform) y el uso generalizado de modelos de lenguaje de gran escala (LLMs) integrados en flujos de desarrollo, la superficie de ataque asociada a los secretos se ha expandido sustancialmente. En este trabajo, proponemos una arquitectura formal para la gobernanza, detección y rotación automatizada de secretos, fundamentada en modelado matemático y verificación de propiedades temporales. Formalizamos el ciclo de vida de un secreto como un sistema dinámico modelado por autómatas temporizados y expresamos garantías de confidencialidad y consistencia mediante lógica temporal lineal. Introducimos un mecanismo híbrido de detección que combina entropía de Shannon con corrección de Miller–Madow, patrones estructurales y aprendizaje supervisado basado en gradient boosting. Definimos formalmente la ventana de exposición y modelamos el riesgo acumulado como la integral de la tasa instantánea de explotación. Proponemos además un protocolo de rotación adaptativa con garantías de atomicidad y auditabilidad, integrado con entornos Kubernetes y gestores de secretos compatibles con prácticas de criptografía poscuántica conforme a las directrices del NIST. Evaluamos empíricamente la solución en 12.457 repositorios públicos y en un clúster con 10.000 pods, obteniendo una precisión de 0,978, recall de 0,95 y una reducción media del 89% en la ventana de exposición. Demostramos la significancia estadística de los resultados y discutimos implicaciones para la gobernanza de seguridad en entornos multi-cloud y para la mitigación de técnicas del MITRE ATT&CK asociadas a credenciales expuestas. Concluimos que la integración entre formalización matemática, detección automatizada y rotación adaptativa constituye un enfoque eficaz y verificable para la reducción del riesgo sistémico asociado a secretos en infraestructuras nativas de nube.
Read paper →SecretsOrquestación Criptográficamente Verificable de Secretos en Entornos Nativos de Nube: Modelo Formal, Arquitectura Distribuida y Evaluación Empírica a Gran Escala
TITLE: Orquestación Criptográficamente Verificable de Secretos en Entornos Nativos de Nube: Modelo Formal, Arquitectura Distribuida y Evaluación Empírica a Gran Escala ABSTRACT: La creciente adopción de arquitecturas nativas de nube, basadas en microservicios, contenedores y pipelines CI/CD, ha elevado la gestión de secretos al estatus de problema central de seguridad en sistemas distribuidos. Las filtraciones recurrentes de credenciales, tokens de API y claves criptográficas demuestran que los enfoques tradicionales, centrados únicamente en el almacenamiento seguro, son insuficientes para garantizar confidencialidad y revocación oportuna en entornos altamente efímeros. En este trabajo, proponemos un modelo formal del ciclo de vida de los secretos fundamentado en sistemas de transición etiquetados, definiendo métricas cuantitativas de exposición temporal y riesgo acumulado. Formalizamos propiedades de confidencialidad, integridad, efimeridad y revocabilidad bajo un modelo de amenaza compatible con el framework MITRE ATT&CK y con prácticas modernas de seguridad en la nube. Introducimos la arquitectura VSMO (Verifiable Secrets Management and Orchestration), que integra generación criptográficamente segura en HSM, atestación remota basada en TPM 2.0, identidad de workload mediante SPIFFE/SPIRE, comunicación mTLS con Envoy, detección continua de anomalías y revocación adaptativa guiada por aprendizaje automático. Evaluamos el sistema en un clúster Kubernetes v1.29 con 512 nodos y 38.000 pods activos, comparándolo con tres baselines ampliamente utilizados. Los resultados indican una reducción promedio de 72,4% en la exposición temporal y de 63,1% en la reutilización indebida de secretos, manteniendo una latencia adicional inferior a 5 ms por emisión. Demostramos además que, bajo hipótesis razonables de tasa de detección, la expectativa de exposición es inversamente proporcional a la capacidad de monitoreo continuo. El trabajo contribuye al integrar rigor formal, arquitectura verificable y validación empírica a gran escala, ofreciendo fundamentos teóricos y evidencia práctica para la orquestación criptográficamente verificable de secretos en entornos nativos de nube hasta el estado del arte de 2025.
Read paper →SecretsTÍTULO: Orquestación criptográficamente verificable de secretos en entornos nativos de nube: modelo formal, arquitectura distribuida y evaluación empírica a gran escala
TÍTULO: Orquestación criptográficamente verificable de secretos en entornos nativos de nube: modelo formal, arquitectura distribuida y evaluación empírica a gran escala RESUMEN: La creciente adopción de arquitecturas nativas de nube, basadas en microservicios, contenedores y pipelines CI/CD, ha elevado la gestión de secretos al rango de problema central de la seguridad de sistemas distribuidos. Las filtraciones recurrentes de credenciales, tokens de API y claves criptográficas demuestran que los enfoques tradicionales, centrados únicamente en el almacenamiento seguro, son insuficientes para garantizar la confidencialidad y la revocación oportuna en entornos altamente efímeros. En este trabajo, proponemos un modelo formal del ciclo de vida de los secretos fundamentado en sistemas de transición etiquetados, definiendo métricas cuantitativas de exposición temporal y riesgo acumulado. Formalizamos propiedades de confidencialidad, integridad, efimeridad y revocabilidad bajo un modelo de amenaza compatible con el framework MITRE ATT&CK y con prácticas modernas de seguridad en la nube. Introducimos la arquitectura VSMO (Verifiable Secrets Management and Orchestration), que integra generación criptográficamente segura en HSM, atestación remota basada en TPM 2.0, identidad de workload mediante SPIFFE/SPIRE, comunicación mTLS con Envoy, detección continua de anomalías y revocación adaptativa orientada por aprendizaje automático. Evaluamos el sistema en un clúster Kubernetes v1.29 con 512 nodos y 38.000 pods activos, comparándolo con tres baselines ampliamente utilizados. Los resultados indican una reducción promedio del 72,4% en la exposición temporal y del 63,1% en la reutilización indebida de secretos, manteniendo una latencia adicional inferior a 5 ms por emisión. Demostramos además que, bajo hipótesis razonables de tasa de detección, la esperanza de exposición es inversamente proporcional a la capacidad de monitoreo continuo. El trabajo contribuye al integrar rigor formal, arquitectura verificable y validación empírica a gran escala, ofreciendo fundamentos teóricos y evidencias prácticas para la orquestación criptográficamente verificable de secretos en entornos nativos de nube hasta el estado del arte de 2025.
Read paper →SecretsSecretGraph: Una Arquitectura Formal, Escalable y Verificable para la Gestión, Detección y Rotación Adaptativa de Secretos en Ecosistemas Nativos de la Nube
TITLE: SecretGraph: Una Arquitectura Formal, Escalable y Verificable para la Gestión, Detección y Rotación Adaptativa de Secretos en Ecosistemas Nativos de la Nube ABSTRACT: La gestión de secretos digitales se ha consolidado como uno de los principales vectores de riesgo en infraestructuras nativas de la nube, caracterizadas por elasticidad, efimeridad de workloads, integración continua e intensa exposición mediante APIs. Las credenciales comprometidas siguen figurando entre las causas predominantes de violaciones de seguridad, según informes industriales recientes, mientras que la proliferación de pipelines DevSecOps y artefactos públicos amplía la superficie de ataque. En este trabajo, formalizamos el problema de la exposición de secretos como una tarea de minimización del tiempo de exposición ponderado en grafos dirigidos dinámicos, en los que los vértices representan identidades computacionales y las aristas representan dependencias mediadas por credenciales. Definimos métricas cuantitativas, incluyendo el Tiempo Medio de Exposición de Secretos (MSET), y demostramos que la política óptima de rotación bajo dependencias estructurales es NP-difícil mediante reducción de problemas clásicos de planificación con precedencia y pesos arbitrarios. Proponemos la arquitectura SecretGraph, que integra detección híbrida (análisis estático, monitoreo dinámico e inspección contextual), construcción incremental de grafos de dependencias, priorización basada en centralidad de intermediación y orquestación adaptativa de rotación a través de APIs de bóvedas criptográficas. Implementamos un prototipo en Go y Rust, integrado con Kubernetes, SPIFFE/SPIRE y HashiCorp Vault, evaluándolo en un entorno con hasta 10.000 secretos activos y 1,2 millones de commits analizados. Observamos una reducción del 78,4% en el MSET en comparación con políticas fijas de rotación, manteniendo un overhead medio inferior al 7% de CPU. Discutimos implicaciones para técnicas de MITRE ATT&CK, integración con criptografía post-cuántica recomendada por el NIST y gobernanza de seguridad orientada a métricas. Concluimos que la modelización estructural explícita de las dependencias de secretos permite una reducción medible de la ventana de explotación, con garantías formales y viabilidad operativa a gran escala.
Read paper →SecretsUna Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automática de Secretos en Infraestructuras Nativas en la Nube
TITLE: Una Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automática de Secretos en Infraestructuras Nativas en la Nube ABSTRACT: La gestión de secretos constituye uno de los pilares de la seguridad en infraestructuras nativas en la nube, en las cuales los microservicios efímeros, los pipelines DevSecOps y la orquestación dinámica amplían sustancialmente la superficie de ataque. Las credenciales comprometidas permanecen entre los vectores más explotados en incidentes reales, especialmente mediante el uso de cuentas válidas y la extracción de secretos en repositorios de código. En este trabajo, proponemos una arquitectura formal y escalable para la gestión, detección y rotación automática de secretos, fundamentada en modelado matemático riguroso y alineada con las directrices contemporáneas de Zero Trust, seguridad de cadenas de suministro de software y protección de entornos cloud-native hasta 2025. Formalizamos el ciclo de vida de los secretos como un sistema de transición de estados temporizado, definiendo propiedades cuantitativas de confidencialidad, atomicidad y consistencia eventual. Presentamos un algoritmo híbrido de detección que combina filtrado basado en entropía de Shannon con clasificación supervisada contextual, ofreciendo límites formales para probabilidades de falso positivo y falso negativo. Introducimos además un protocolo de rotación automática con garantías bajo un modelo de fallas parciales del tipo crash-stop, inspirado en ordenación temporal distribuida. La implementación, realizada en Go y Rust e integrada con Kubernetes, HashiCorp Vault y mecanismos de observabilidad mediante eBPF, fue evaluada en un entorno a gran escala con 1.200 microservicios y 85.000 secretos activos. Los resultados indican una precisión media de 96,1%, recall de 94,3% y una reducción del 78,4% en el tiempo medio hasta la detección. Discutimos limitaciones, implicaciones para entornos con IA generativa y riesgos emergentes asociados a modelos de lenguaje y automatización de código. Concluimos que la combinación de formalización matemática, detección contextual y rotación atómica constituye un enfoque robusto y verificable para la mitigación sistemática de fugas de secretos en ecosistemas nativos en la nube.
Read paper →SecretsTÍTULO: Una Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automática de Secretos en Infraestructuras Nativas en la Nube
TÍTULO: Una Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automática de Secretos en Infraestructuras Nativas en la Nube RESUMEN: La gestión de secretos constituye uno de los pilares de la seguridad en infraestructuras nativas en la nube, en las cuales microservicios efímeros, pipelines DevSecOps y orquestación dinámica amplían sustancialmente la superficie de ataque. Las credenciales comprometidas permanecen entre los vectores más explotados en incidentes reales, especialmente mediante el uso de cuentas válidas y la extracción de secretos en repositorios de código. En este trabajo, proponemos una arquitectura formal y escalable para la gestión, detección y rotación automática de secretos, fundamentada en modelado matemático riguroso y alineada con las directrices contemporáneas de Zero Trust, seguridad de cadenas de suministro de software y protección de entornos cloud-native hasta 2025. Formalizamos el ciclo de vida de los secretos como un sistema de transición de estados temporizado, definiendo propiedades cuantitativas de confidencialidad, atomicidad y consistencia eventual. Presentamos un algoritmo híbrido de detección que combina filtrado basado en entropía de Shannon con clasificación supervisada contextual, ofreciendo límites formales para las probabilidades de falso positivo y falso negativo. Introducimos además un protocolo de rotación automática con garantías bajo un modelo de fallos parciales de tipo crash-stop, inspirado en la ordenación temporal distribuida. La implementación, realizada en Go y Rust e integrada con Kubernetes, HashiCorp Vault y mecanismos de observabilidad mediante eBPF, fue evaluada en un entorno de gran escala con 1.200 microservicios y 85.000 secretos activos. Los resultados indican una precisión media de 96,1%, recall de 94,3% y una reducción de 78,4% en el tiempo medio hasta la detección. Discutimos limitaciones, implicaciones para entornos con IA generativa y riesgos emergentes asociados a modelos de lenguaje y automatización de código. Concluimos que la combinación de formalización matemática, detección contextual y rotación atómica constituye un enfoque robusto y verificable para la mitigación sistemática de filtraciones de secretos en ecosistemas nativos en la nube.
Read paper →