Research / Paper Files
Paper Files
Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.
Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →216 papers
TÍTULO: Detección Adaptativa de Amenazas Persistentes Avanzadas mediante Modelado Temporal Multimodal e Inferencia Probabilística a Gran Escala
TÍTULO: Detección Adaptativa de Amenazas Persistentes Avanzadas mediante Modelado Temporal Multimodal e Inferencia Probabilística a Gran Escala RESUMEN: La creciente sofisticación de las Amenazas Persistentes Avanzadas (APTs) en entornos híbridos y nativos de la nube impone desafíos sustanciales para la detección temprana de compromisos. En 2025, el escenario operativo incorpora arquitecturas multi-cloud, CNAPP (Cloud-Native Application Protection Platforms), workloads efímeros, telemetría mediante eBPF y riesgos emergentes asociados a modelos de lenguaje de gran tamaño (LLMs). En este trabajo, proponemos un modelo formal para la detección adaptativa de APTs basado en la integración entre grafos dinámicos multimodales y procesos de Hawkes multivariados, estructurado bajo una perspectiva bayesiana explícita. Formalizamos el flujo de eventos como una secuencia temporal heterogénea y modelamos la propagación de actividad maliciosa como un proceso autoexcitable con restricciones de estabilidad espectral. La decisión óptima se deriva bajo pérdida 0–1 con limitación explícita de la tasa de falsos positivos, enfrentando el problema fundamental de la tasa base. Implementamos la arquitectura en un entorno distribuido con Apache Kafka, Apache Flink y almacenamiento distribuido, incorporando extracción de telemetría basada en eBPF y enriquecimiento contextual alineado con MITRE ATT&CK. Evaluamos el modelo en los conjuntos CIC-IDS2017, DARPA Transparent Computing y en un dataset corporativo anonimizado con 2,3 mil millones de eventos. Los resultados demuestran una mejora estadísticamente significativa (p < 0,01) en F1-score, una reducción del 38% en la tasa de falsos positivos y un AUC de 0,97 en comparación con baselines como Isolation Forest, LSTM y reglas Sigma. Asimismo, discutimos las implicaciones para la seguridad de sistemas basados en IA, la gobernanza de modelos y la integración con controles poscuánticos emergentes. Concluimos que el modelado probabilístico relacional proporciona una base teórica robusta y operacionalmente viable para la detección adaptativa a gran escala, compatible con las exigencias contemporáneas de observabilidad, cumplimiento normativo y resiliencia cibernética.
Read paper →DetectionDETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN PROBABILÍSTICA Y APRENDIZAJE CONTINUO EN ENTORNOS CORPORATIVOS HETEROGÉNEOS
DETECCIÓN ADAPTATIVA MULTICAPA DE AMENAZAS AVANZADAS BASADA EN FUSIÓN PROBABILÍSTICA Y APRENDIZAJE CONTINUO EN ENTORNOS CORPORATIVOS HETEROGÉNEOS La detección de amenazas en entornos corporativos contemporáneos se ha convertido en un problema estructuralmente complejo debido a la convergencia entre infraestructuras híbridas, arquitecturas multinube, dispositivos móviles, workloads contenerizados, superficies expuestas por APIs y la creciente integración de sistemas basados en inteligencia artificial. Informes recientes indican que las credenciales comprometidas, la explotación de vulnerabilidades conocidas y el abuso de herramientas legítimas continúan figurando entre los principales vectores de intrusión, mientras que el tiempo medio de permanencia del atacante (dwell time) sigue siendo significativo, evidenciando limitaciones en los mecanismos tradicionales de detección (VERIZON, 2024; MANDIANT, 2023). En este trabajo, formalizamos el problema de detección casi en tiempo real como inferencia probabilística sobre un estado latente de compromiso sistémico, modelado mediante un proceso de Markov y estimado a través de la fusión de evidencias heterogéneas provenientes de múltiples capas telemétricas. Proponemos el framework AMuLeT (Adaptive Multi-Layer Threat detection), que combina clasificadores supervisados y autoencoders por capa, integrados mediante una regla de razón de verosimilitud logarítmica bajo una hipótesis de independencia condicional aproximada. Además, introducimos un mecanismo de aprendizaje continuo con regularización elástica para mitigar el concept drift y la evolución adversarial, preservando parámetros históricamente relevantes. Evaluamos empíricamente el enfoque en conjuntos de datos públicos ampliamente utilizados y en un dataset corporativo de gran escala, totalizando miles de millones de eventos. Los resultados demuestran mejoras estadísticamente significativas en AUC, F1-score, tasa de falsos positivos y reducción del tiempo medio de detección en comparación con modelos aislados. Discutimos implicaciones prácticas a la luz de las recomendaciones del NIST y de tendencias contemporáneas como CNAPP, eBPF y la seguridad de modelos de lenguaje de gran tamaño, delineando extensiones futuras que involucran grafos dinámicos y aprendizaje federado con garantías formales de privacidad diferencial.
Read paper →DetectionDetección Híbrida y Adaptativa de Amenazas Cibernéticas en Entornos Corporativos Utilizando Correlación Temporal Multinivel y Aprendizaje Representacional Auto-Supervisado
TITLE: Detección Híbrida y Adaptativa de Amenazas Cibernéticas en Entornos Corporativos Utilizando Correlación Temporal Multinivel y Aprendizaje Representacional Auto-Supervisado ABSTRACT: La detección de amenazas cibernéticas en entornos corporativos contemporáneos exige mecanismos capaces de correlacionar eventos heterogéneos, modelar dependencias temporales complejas y adaptarse a adversarios que explotan credenciales válidas, técnicas fileless y cadenas multietapa alineadas con MITRE ATT&CK. En este trabajo, proponemos una arquitectura híbrida que integra aprendizaje representacional auto-supervisado, modelado temporal jerárquico y correlación probabilística en grafos dinámicos, con el objetivo de reducir falsos positivos sin comprometer la sensibilidad bajo deriva conceptual. Formalizamos el problema como la estimación de $P(Y=1 \mid G_{t-k:t})$, donde $G_{t-k:t}$ representa una ventana deslizante de grafos temporales extraídos de múltiples fuentes de telemetría (logs de autenticación, eventos de endpoint, flujos de red y telemetría en la nube). El componente auto-supervisado se basa en predicción contextual temporal con Transformers ligeros, permitiendo el aprendizaje de embeddings semánticos robustos en ausencia de etiquetas abundantes. La etapa de correlación multinivel utiliza potenciales log-lineales definidos sobre subgrafos coherentes con técnicas ATT&CK, asegurando interpretabilidad operacional. Implementamos la solución sobre infraestructura distribuida con Apache Kafka, Apache Flink, PyTorch y Neo4j, alcanzando un rendimiento sostenido de 120 mil eventos por segundo en un clúster de 24 nodos. Evaluamos el modelo en los datasets CIC-IDS2017, LANL Cybersecurity Dataset y en un conjunto corporativo con 4,2 mil millones de eventos. Observamos AUC promedio de 0,982, F1 de 0,941, TPR de 96,4% y FPR de 3,1%, representando una reducción relativa de 38% en falsos positivos frente a baselines como Isolation Forest, DeepLog y Autoencoders LSTM ($p < 0{,}01$). Discutimos implicaciones para la integración con plataformas SIEM y CNAPP, así como extensiones que involucran aprendizaje federado con privacidad diferencial y robustez adversarial. Los resultados demuestran que la combinación de representación auto-supervisada y correlación estructural probabilística constituye un enfoque prometedor para la detección adaptativa a gran escala hasta el estado del arte de 2025.
Read paper →SecretsTÍTULO: Una Arquitectura Formal para la Gobernanza, Detección y Rotación Automatizada de Secretos en Infraestructuras Nativas de la Nube
TÍTULO: Una Arquitectura Formal para la Gobernanza, Detección y Rotación Automatizada de Secretos en Infraestructuras Nativas de la Nube RESUMEN: La gestión inadecuada de secretos computacionales sigue siendo una de las principales causas de compromisos en infraestructuras nativas de la nube. Los tokens de acceso, las claves criptográficas, las credenciales de bases de datos y los artefactos de firma digital suelen exponerse en repositorios públicos, pipelines de integración continua y registros de aplicaciones. En 2025, con la consolidación de arquitecturas basadas en Kubernetes, prácticas DevSecOps, plataformas CNAPP (Cloud-Native Application Protection Platform) y el uso generalizado de modelos de lenguaje de gran escala (LLMs) integrados en flujos de desarrollo, la superficie de ataque asociada a secretos se ha expandido sustancialmente. En este trabajo, proponemos una arquitectura formal para la gobernanza, detección y rotación automatizada de secretos, fundamentada en modelado matemático y verificación de propiedades temporales. Formalizamos el ciclo de vida de un secreto como un sistema dinámico modelado por autómatas temporizados y expresamos garantías de confidencialidad y consistencia mediante lógica temporal lineal. Introducimos un mecanismo híbrido de detección que combina entropía de Shannon con la corrección de Miller–Madow, patrones estructurales y aprendizaje supervisado basado en gradient boosting. Definimos formalmente la ventana de exposición y modelamos el riesgo acumulado como la integral de la tasa instantánea de explotación. Proponemos además un protocolo de rotación adaptativa con garantías de atomicidad y auditabilidad, integrado en entornos Kubernetes y gestores de secretos compatibles con prácticas de criptografía poscuántica conforme a las directrices del NIST. Evaluamos empíricamente la solución en 12.457 repositorios públicos y en un clúster con 10.000 pods, obteniendo una precisión de 0,978, recall de 0,95 y una reducción media del 89% en la ventana de exposición. Demostramos la significancia estadística de los resultados y discutimos implicaciones para la gobernanza de la seguridad en entornos multi-cloud y para la mitigación de técnicas de MITRE ATT&CK asociadas a credenciales expuestas. Concluimos que la integración entre formalización matemática, detección automatizada y rotación adaptativa constituye un enfoque eficaz y verificable para la reducción del riesgo sistémico asociado a secretos en infraestructuras nativas de la nube.
Read paper →SecretsUna Arquitectura Formal para la Gobernanza, Detección y Rotación Automatizada de Secretos en Infraestructuras Nativas de Nube
TITLE: Una Arquitectura Formal para la Gobernanza, Detección y Rotación Automatizada de Secretos en Infraestructuras Nativas de Nube ABSTRACT: La gestión inadecuada de secretos computacionales sigue siendo una de las principales causas de compromisos en infraestructuras nativas de nube. Tokens de acceso, claves criptográficas, credenciales de bases de datos y artefactos de firma digital se exponen con frecuencia en repositorios públicos, pipelines de integración continua y registros de aplicaciones. En 2025, con la consolidación de arquitecturas basadas en Kubernetes, prácticas DevSecOps, plataformas CNAPP (Cloud-Native Application Protection Platform) y el uso generalizado de modelos de lenguaje de gran escala (LLMs) integrados en flujos de desarrollo, la superficie de ataque asociada a los secretos se ha expandido sustancialmente. En este trabajo, proponemos una arquitectura formal para la gobernanza, detección y rotación automatizada de secretos, fundamentada en modelado matemático y verificación de propiedades temporales. Formalizamos el ciclo de vida de un secreto como un sistema dinámico modelado por autómatas temporizados y expresamos garantías de confidencialidad y consistencia mediante lógica temporal lineal. Introducimos un mecanismo híbrido de detección que combina entropía de Shannon con corrección de Miller–Madow, patrones estructurales y aprendizaje supervisado basado en gradient boosting. Definimos formalmente la ventana de exposición y modelamos el riesgo acumulado como la integral de la tasa instantánea de explotación. Proponemos además un protocolo de rotación adaptativa con garantías de atomicidad y auditabilidad, integrado con entornos Kubernetes y gestores de secretos compatibles con prácticas de criptografía poscuántica conforme a las directrices del NIST. Evaluamos empíricamente la solución en 12.457 repositorios públicos y en un clúster con 10.000 pods, obteniendo una precisión de 0,978, recall de 0,95 y una reducción media del 89% en la ventana de exposición. Demostramos la significancia estadística de los resultados y discutimos implicaciones para la gobernanza de seguridad en entornos multi-cloud y para la mitigación de técnicas del MITRE ATT&CK asociadas a credenciales expuestas. Concluimos que la integración entre formalización matemática, detección automatizada y rotación adaptativa constituye un enfoque eficaz y verificable para la reducción del riesgo sistémico asociado a secretos en infraestructuras nativas de nube.
Read paper →SecretsOrquestación Criptográficamente Verificable de Secretos en Entornos Nativos de Nube: Modelo Formal, Arquitectura Distribuida y Evaluación Empírica a Gran Escala
TITLE: Orquestación Criptográficamente Verificable de Secretos en Entornos Nativos de Nube: Modelo Formal, Arquitectura Distribuida y Evaluación Empírica a Gran Escala ABSTRACT: La creciente adopción de arquitecturas nativas de nube, basadas en microservicios, contenedores y pipelines CI/CD, ha elevado la gestión de secretos al estatus de problema central de seguridad en sistemas distribuidos. Las filtraciones recurrentes de credenciales, tokens de API y claves criptográficas demuestran que los enfoques tradicionales, centrados únicamente en el almacenamiento seguro, son insuficientes para garantizar confidencialidad y revocación oportuna en entornos altamente efímeros. En este trabajo, proponemos un modelo formal del ciclo de vida de los secretos fundamentado en sistemas de transición etiquetados, definiendo métricas cuantitativas de exposición temporal y riesgo acumulado. Formalizamos propiedades de confidencialidad, integridad, efimeridad y revocabilidad bajo un modelo de amenaza compatible con el framework MITRE ATT&CK y con prácticas modernas de seguridad en la nube. Introducimos la arquitectura VSMO (Verifiable Secrets Management and Orchestration), que integra generación criptográficamente segura en HSM, atestación remota basada en TPM 2.0, identidad de workload mediante SPIFFE/SPIRE, comunicación mTLS con Envoy, detección continua de anomalías y revocación adaptativa guiada por aprendizaje automático. Evaluamos el sistema en un clúster Kubernetes v1.29 con 512 nodos y 38.000 pods activos, comparándolo con tres baselines ampliamente utilizados. Los resultados indican una reducción promedio de 72,4% en la exposición temporal y de 63,1% en la reutilización indebida de secretos, manteniendo una latencia adicional inferior a 5 ms por emisión. Demostramos además que, bajo hipótesis razonables de tasa de detección, la expectativa de exposición es inversamente proporcional a la capacidad de monitoreo continuo. El trabajo contribuye al integrar rigor formal, arquitectura verificable y validación empírica a gran escala, ofreciendo fundamentos teóricos y evidencia práctica para la orquestación criptográficamente verificable de secretos en entornos nativos de nube hasta el estado del arte de 2025.
Read paper →SecretsTÍTULO: Orquestación criptográficamente verificable de secretos en entornos nativos de nube: modelo formal, arquitectura distribuida y evaluación empírica a gran escala
TÍTULO: Orquestación criptográficamente verificable de secretos en entornos nativos de nube: modelo formal, arquitectura distribuida y evaluación empírica a gran escala RESUMEN: La creciente adopción de arquitecturas nativas de nube, basadas en microservicios, contenedores y pipelines CI/CD, ha elevado la gestión de secretos al rango de problema central de la seguridad de sistemas distribuidos. Las filtraciones recurrentes de credenciales, tokens de API y claves criptográficas demuestran que los enfoques tradicionales, centrados únicamente en el almacenamiento seguro, son insuficientes para garantizar la confidencialidad y la revocación oportuna en entornos altamente efímeros. En este trabajo, proponemos un modelo formal del ciclo de vida de los secretos fundamentado en sistemas de transición etiquetados, definiendo métricas cuantitativas de exposición temporal y riesgo acumulado. Formalizamos propiedades de confidencialidad, integridad, efimeridad y revocabilidad bajo un modelo de amenaza compatible con el framework MITRE ATT&CK y con prácticas modernas de seguridad en la nube. Introducimos la arquitectura VSMO (Verifiable Secrets Management and Orchestration), que integra generación criptográficamente segura en HSM, atestación remota basada en TPM 2.0, identidad de workload mediante SPIFFE/SPIRE, comunicación mTLS con Envoy, detección continua de anomalías y revocación adaptativa orientada por aprendizaje automático. Evaluamos el sistema en un clúster Kubernetes v1.29 con 512 nodos y 38.000 pods activos, comparándolo con tres baselines ampliamente utilizados. Los resultados indican una reducción promedio del 72,4% en la exposición temporal y del 63,1% en la reutilización indebida de secretos, manteniendo una latencia adicional inferior a 5 ms por emisión. Demostramos además que, bajo hipótesis razonables de tasa de detección, la esperanza de exposición es inversamente proporcional a la capacidad de monitoreo continuo. El trabajo contribuye al integrar rigor formal, arquitectura verificable y validación empírica a gran escala, ofreciendo fundamentos teóricos y evidencias prácticas para la orquestación criptográficamente verificable de secretos en entornos nativos de nube hasta el estado del arte de 2025.
Read paper →SecretsSecretGraph: Una Arquitectura Formal, Escalable y Verificable para la Gestión, Detección y Rotación Adaptativa de Secretos en Ecosistemas Nativos de la Nube
TITLE: SecretGraph: Una Arquitectura Formal, Escalable y Verificable para la Gestión, Detección y Rotación Adaptativa de Secretos en Ecosistemas Nativos de la Nube ABSTRACT: La gestión de secretos digitales se ha consolidado como uno de los principales vectores de riesgo en infraestructuras nativas de la nube, caracterizadas por elasticidad, efimeridad de workloads, integración continua e intensa exposición mediante APIs. Las credenciales comprometidas siguen figurando entre las causas predominantes de violaciones de seguridad, según informes industriales recientes, mientras que la proliferación de pipelines DevSecOps y artefactos públicos amplía la superficie de ataque. En este trabajo, formalizamos el problema de la exposición de secretos como una tarea de minimización del tiempo de exposición ponderado en grafos dirigidos dinámicos, en los que los vértices representan identidades computacionales y las aristas representan dependencias mediadas por credenciales. Definimos métricas cuantitativas, incluyendo el Tiempo Medio de Exposición de Secretos (MSET), y demostramos que la política óptima de rotación bajo dependencias estructurales es NP-difícil mediante reducción de problemas clásicos de planificación con precedencia y pesos arbitrarios. Proponemos la arquitectura SecretGraph, que integra detección híbrida (análisis estático, monitoreo dinámico e inspección contextual), construcción incremental de grafos de dependencias, priorización basada en centralidad de intermediación y orquestación adaptativa de rotación a través de APIs de bóvedas criptográficas. Implementamos un prototipo en Go y Rust, integrado con Kubernetes, SPIFFE/SPIRE y HashiCorp Vault, evaluándolo en un entorno con hasta 10.000 secretos activos y 1,2 millones de commits analizados. Observamos una reducción del 78,4% en el MSET en comparación con políticas fijas de rotación, manteniendo un overhead medio inferior al 7% de CPU. Discutimos implicaciones para técnicas de MITRE ATT&CK, integración con criptografía post-cuántica recomendada por el NIST y gobernanza de seguridad orientada a métricas. Concluimos que la modelización estructural explícita de las dependencias de secretos permite una reducción medible de la ventana de explotación, con garantías formales y viabilidad operativa a gran escala.
Read paper →SecretsUna Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automática de Secretos en Infraestructuras Nativas en la Nube
TITLE: Una Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automática de Secretos en Infraestructuras Nativas en la Nube ABSTRACT: La gestión de secretos constituye uno de los pilares de la seguridad en infraestructuras nativas en la nube, en las cuales los microservicios efímeros, los pipelines DevSecOps y la orquestación dinámica amplían sustancialmente la superficie de ataque. Las credenciales comprometidas permanecen entre los vectores más explotados en incidentes reales, especialmente mediante el uso de cuentas válidas y la extracción de secretos en repositorios de código. En este trabajo, proponemos una arquitectura formal y escalable para la gestión, detección y rotación automática de secretos, fundamentada en modelado matemático riguroso y alineada con las directrices contemporáneas de Zero Trust, seguridad de cadenas de suministro de software y protección de entornos cloud-native hasta 2025. Formalizamos el ciclo de vida de los secretos como un sistema de transición de estados temporizado, definiendo propiedades cuantitativas de confidencialidad, atomicidad y consistencia eventual. Presentamos un algoritmo híbrido de detección que combina filtrado basado en entropía de Shannon con clasificación supervisada contextual, ofreciendo límites formales para probabilidades de falso positivo y falso negativo. Introducimos además un protocolo de rotación automática con garantías bajo un modelo de fallas parciales del tipo crash-stop, inspirado en ordenación temporal distribuida. La implementación, realizada en Go y Rust e integrada con Kubernetes, HashiCorp Vault y mecanismos de observabilidad mediante eBPF, fue evaluada en un entorno a gran escala con 1.200 microservicios y 85.000 secretos activos. Los resultados indican una precisión media de 96,1%, recall de 94,3% y una reducción del 78,4% en el tiempo medio hasta la detección. Discutimos limitaciones, implicaciones para entornos con IA generativa y riesgos emergentes asociados a modelos de lenguaje y automatización de código. Concluimos que la combinación de formalización matemática, detección contextual y rotación atómica constituye un enfoque robusto y verificable para la mitigación sistemática de fugas de secretos en ecosistemas nativos en la nube.
Read paper →SecretsTÍTULO: Una Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automática de Secretos en Infraestructuras Nativas en la Nube
TÍTULO: Una Arquitectura Formal y Escalable para la Gestión, Detección y Rotación Automática de Secretos en Infraestructuras Nativas en la Nube RESUMEN: La gestión de secretos constituye uno de los pilares de la seguridad en infraestructuras nativas en la nube, en las cuales microservicios efímeros, pipelines DevSecOps y orquestación dinámica amplían sustancialmente la superficie de ataque. Las credenciales comprometidas permanecen entre los vectores más explotados en incidentes reales, especialmente mediante el uso de cuentas válidas y la extracción de secretos en repositorios de código. En este trabajo, proponemos una arquitectura formal y escalable para la gestión, detección y rotación automática de secretos, fundamentada en modelado matemático riguroso y alineada con las directrices contemporáneas de Zero Trust, seguridad de cadenas de suministro de software y protección de entornos cloud-native hasta 2025. Formalizamos el ciclo de vida de los secretos como un sistema de transición de estados temporizado, definiendo propiedades cuantitativas de confidencialidad, atomicidad y consistencia eventual. Presentamos un algoritmo híbrido de detección que combina filtrado basado en entropía de Shannon con clasificación supervisada contextual, ofreciendo límites formales para las probabilidades de falso positivo y falso negativo. Introducimos además un protocolo de rotación automática con garantías bajo un modelo de fallos parciales de tipo crash-stop, inspirado en la ordenación temporal distribuida. La implementación, realizada en Go y Rust e integrada con Kubernetes, HashiCorp Vault y mecanismos de observabilidad mediante eBPF, fue evaluada en un entorno de gran escala con 1.200 microservicios y 85.000 secretos activos. Los resultados indican una precisión media de 96,1%, recall de 94,3% y una reducción de 78,4% en el tiempo medio hasta la detección. Discutimos limitaciones, implicaciones para entornos con IA generativa y riesgos emergentes asociados a modelos de lenguaje y automatización de código. Concluimos que la combinación de formalización matemática, detección contextual y rotación atómica constituye un enfoque robusto y verificable para la mitigación sistemática de filtraciones de secretos en ecosistemas nativos en la nube.
Read paper →PhishingDetección Adaptativa y Multimodal de Phishing Basada en Aprendizaje Profundo y Modelado Formal de Amenazas con Garantías Cuantificables de Robustez
TITLE: Detección Adaptativa y Multimodal de Phishing Basada en Aprendizaje Profundo y Modelado Formal de Amenazas con Garantías Cuantificables de Robustez ABSTRACT: El phishing permanece como uno de los principales vectores de compromiso en el escenario global de ciberseguridad en 2025, combinando ingeniería social, infraestructura efímera y técnicas avanzadas de evasión basadas en inteligencia artificial. En este trabajo, proponemos una arquitectura multimodal para la detección adaptativa de phishing fundamentada en el modelado formal del riesgo adversarial con restricción explícita del costo operativo del atacante. Formalizamos el problema como un juego estratégico entre un adversario limitado por presupuesto $\epsilon$ y un clasificador $f$, definiendo el riesgo adversarial $R(f,\mathcal{A}_\epsilon)$ y estableciendo condiciones cuantitativas para la robustez $\epsilon$-adversarial. Demostramos que la fusión convexa de modalidades — léxica, estructural (DOM), semántica basada en Transformers y visual perceptual — preserva márgenes de separación bajo hipótesis de independencia parcial de perturbaciones, elevando el costo económico de evasión. La arquitectura se entrena mediante optimización min–max con un adversario interno parametrizado por transformaciones realistas, incluyendo homógrafos IDN, mutaciones sintácticas y ofuscación dinámica. Evaluamos el sistema en un conjunto de 1,2 millones de URLs provenientes de bases públicas consolidadas, con intervalos de confianza obtenidos mediante bootstrap estratificado. Los resultados indican un AUC de 0,997 y un F1 de 0,986, manteniendo una latencia media inferior a 35 ms tras la cuantización INT8. Bajo ataques dirigidos, la tasa de detección se mantuvo por encima del 94%, superando a los modelos unimodales. Discutimos las implicaciones económicas de la robustez multimodal, la integración con controles modernos como TLS fingerprinting y telemetría mediante eBPF, y la alineación con directrices de gobernanza de IA e identidad digital. Concluimos que la combinación de fundamentos formales e ingeniería práctica permite obtener garantías medibles de robustez sin comprometer los requisitos operativos corporativos.
Read paper →PhishingTÍTULO: Detección Adaptativa y Multimodal de Phishing Basada en Aprendizaje Profundo y Modelado Formal de Amenazas con Garantías Cuantificables de Robustez
TÍTULO: Detección Adaptativa y Multimodal de Phishing Basada en Aprendizaje Profundo y Modelado Formal de Amenazas con Garantías Cuantificables de Robustez RESUMEN: El phishing sigue siendo uno de los principales vectores de compromiso en el panorama global de ciberseguridad en 2025, combinando ingeniería social, infraestructura efímera y técnicas avanzadas de evasión basadas en inteligencia artificial. En este trabajo, proponemos una arquitectura multimodal para la detección adaptativa de phishing fundamentada en modelado formal de riesgo adversarial con restricción explícita de costo operacional del atacante. Formalizamos el problema como un juego estratégico entre un adversario limitado por presupuesto $\epsilon$ y un clasificador $f$, definiendo el riesgo adversarial $R(f,\mathcal{A}_\epsilon)$ y estableciendo condiciones cuantitativas para la robustez $\epsilon$-adversarial. Demostramos que la fusión convexa de modalidades — léxica, estructural (DOM), semántica basada en Transformers y visual perceptual — preserva márgenes de separación bajo hipótesis de independencia parcial de perturbaciones, elevando el costo económico de evasión. La arquitectura se entrena mediante optimización min–max con un adversario interno parametrizado por transformaciones realistas, incluyendo homógrafos IDN, mutaciones sintácticas y ofuscación dinámica. Evaluamos el sistema en un conjunto de 1,2 millones de URLs provenientes de bases públicas consolidadas, con intervalos de confianza obtenidos por bootstrap estratificado. Los resultados indican AUC de 0,997 y F1 de 0,986, manteniendo una latencia media inferior a 35 ms tras cuantización INT8. Bajo ataques dirigidos, la tasa de detección se mantuvo por encima del 94%, superando a modelos unimodales. Discutimos las implicaciones económicas de la robustez multimodal, la integración con controles modernos como TLS fingerprinting y telemetría mediante eBPF, y el alineamiento con directrices de gobernanza de IA e identidad digital. Concluimos que la combinación de fundamentos formales e ingeniería práctica permite obtener garantías mensurables de robustez sin comprometer los requisitos operativos corporativos.
Read paper →PhishingPhishGuard++: Detección Multimodal y Adaptativa de Phishing con Garantías Formales bajo un Modelo de Amenaza Realista
TITLE: PhishGuard++: Detección Multimodal y Adaptativa de Phishing con Garantías Formales bajo un Modelo de Amenaza Realista ABSTRACT: El phishing permanece como uno de los vectores de acceso inicial más prevalentes y económicamente impactantes en el panorama global de amenazas en 2025, evolucionando para incorporar kits adversario-en-el-medio (AiTM), páginas generadas dinámicamente y contenido sintético producido por modelos generativos de gran escala. En este trabajo, proponemos PhishGuard++, una arquitectura multimodal y robusta para la detección de phishing que integra señales léxicas, estructurales, visuales y comportamentales bajo una formulación formal de aprendizaje robusto min–max. Modelamos explícitamente el problema como una minimización de riesgo bajo perturbaciones adversariales multimodales, considerando un adversario probabilístico polinómicamente limitado con capacidad de registrar dominios arbitrarios, obtener certificados TLS válidos, emplear ofuscación homoglífica Unicode y utilizar generación automatizada de contenido mediante modelos de lenguaje. La arquitectura combina una CNN a nivel de carácter, embeddings estructurales derivados del grafo DOM, un backbone visual ResNet-50 y un módulo de fusión basado en Transformer con atención cruzada, entrenado con regularización adversarial inspirada en FGSM. Demostramos formalmente condiciones suficientes de robustez bajo hipótesis de continuidad de Lipschitz y compacidad del conjunto de perturbaciones, además de analizar la complejidad computacional para garantizar una latencia inferior a 20 ms en un entorno de producción contenedorizado. Evaluamos el sistema en bases públicas (PhishTank, UCI) y en un corpus propietario balanceado, alcanzando una exactitud media de 98,73% (±0,21) y AUC de 0,992, con mejoras estadísticamente significativas en relación con Random Forest y XGBoost ($p < 0,01$). También realizamos experimentos bajo ofuscación homoglífica y contenido sintético generado por LLMs, evidenciando una mayor robustez relativa. Discutimos implicaciones para la integración con arquitecturas modernas de seguridad (CNAPP, eBPF) y la alineación con las directrices de identidad digital del NIST, además de limitaciones y direcciones futuras que involucran aprendizaje federado con privacidad diferencial y criptografía poscuántica para la protección de modelos.
Read paper →PhishingArquitectura Híbrida Adaptativa para la Detección y Mitigación de Phishing Multicanal con Modelado Formal de Amenazas, Robustez Adversarial y Aprendizaje Auto-Supervisado
Arquitectura Híbrida Adaptativa para la Detección y Mitigación de Phishing Multicanal con Modelado Formal de Amenazas, Robustez Adversarial y Aprendizaje Auto-Supervisado ABSTRACT: El phishing sigue siendo, en 2025, el principal vector de acceso inicial en las cadenas modernas de ataque, integrando campañas multicanal que combinan correo electrónico, SMS (smishing), voz (vishing), mensajería instantánea y plataformas basadas en IA generativa. Informes recientes de Verizon y APWG indican un crecimiento sostenido en el volumen y la sofisticación de estas campañas, incluido el uso de dominios recién registrados, homógrafos Unicode e infraestructura efímera. En este trabajo, proponemos una arquitectura híbrida adaptativa para la detección y mitigación de phishing multicanal, fundamentada en modelado formal de amenazas, aprendizaje auto-supervisado y análisis estructural de URLs combinado con representaciones semánticas basadas en transformadores. Formalizamos el problema como una clasificación binaria bajo un desbalance severo e introducimos una definición explícita de robustez adversarial para perturbaciones semánticamente preservadas, con una métrica operacional de rendimiento en escenarios adversariales. La arquitectura integra tres módulos: (i) Analizador Estructural de URL con detección de homógrafos y señales temporales; (ii) Encoder Semántico Contextual basado en BERTimbau; y (iii) Detector Auto-Supervisado de Anomalías entrenado mediante reconstrucción. Evaluamos el sistema en un conjunto de 3,2 millones de mensajes provenientes de OpenPhish, PhishTank y Enron, utilizando validación cruzada estratificada de 5 folds. Obtuvimos un F1-score de 98,6% y una AUC de 0,997, con una degradación limitada al 3,1% bajo ataques de homógrafos, superando a los baselines clásicos y a las redes convolucionales. Demostramos una reducción del 37% en falsos positivos, aspecto crítico para operaciones de SOC alineadas con las directrices del NIST. Discutimos implicaciones para CNAPP, integración con pipelines en Kubernetes y limitaciones relacionadas con WHOIS y sesgo lingüístico. Concluimos que la integración formal entre análisis estructural, modelado semántico y detección auto-supervisada constituye un enfoque robusto y operacionalmente viable para el ecosistema de amenazas de 2025.
Read paper →PhishingPHISHGUARD++: Un Marco Formal, Robusto y Escalable para la Detección Multimodal de Phishing con Aprendizaje Profundo, Modelado Adversarial y Gobernanza de IA
TITLE: PHISHGUARD++: Un Marco Formal, Robusto y Escalable para la Detección Multimodal de Phishing con Aprendizaje Profundo, Modelado Adversarial y Gobernanza de IA ABSTRACT: El phishing permanece como uno de los vectores de intrusión más prevalentes y económicamente impactantes en el ecosistema digital contemporáneo, siendo amplificado por la automatización basada en inteligencia artificial generativa y por campañas altamente personalizadas. En este trabajo, proponemos PHISHGUARD++, un marco formal y escalable para la detección multimodal de phishing que integra modelado estadístico riguroso, aprendizaje profundo y entrenamiento adversarial bajo una formulación min-max. Modelamos el problema como una clasificación supervisada en un espacio de entrada multimodal $X = X_t \times X_g \times X_v$, contemplando características textuales, estructurales (grafos heterogéneos de dominios, IPs, certificados y relaciones ASN) y visuales. Reformulamos el objetivo clásico de minimización del riesgo esperado para el contexto de riesgo robusto adversarial, capturando explícitamente perturbaciones $\epsilon$-limitadas y escenarios de deriva de concepto. La arquitectura propuesta combina Transformers preentrenados, redes neuronales en grafos heterogéneos y redes convolucionales residuales profundas, con fusión tardía regularizada. Empleamos entrenamiento adversarial basado en Projected Gradient Descent (PGD) y evaluamos la robustez bajo ataques restringidos en norma $L_p$. La implementación, basada en PyTorch 2.x, Apache Kafka y Apache Flink, demuestra viabilidad operativa con una latencia media de 12,4 ms por muestra y un rendimiento superior a 80.000 eventos por segundo en un clúster con GPUs NVIDIA A100. En un conjunto de datos con 1,54 millones de instancias balanceadas, el modelo alcanza $F1 = 0{,}986 \pm 0{,}004$ y una tasa de falsos positivos de 0,92%, con degradación controlada bajo ataque adversarial. Discutimos implicaciones de gobernanza de IA, conformidad con directrices NIST y alineación con marcos de gestión de riesgo de IA. Concluimos que la integración entre multimodalidad, optimización robusta y prácticas modernas de ingeniería de seguridad ofrece ganancias sustanciales en resiliencia contra campañas de phishing adaptativas y potenciadas por modelos de lenguaje de gran tamaño.
Read paper →ResearchUna Arquitectura Formalmente Verificable para la Detección y Mitigación Adaptativa de Amenazas Basadas en Living-off-the-Land en Entornos Corporativos Híbridos
TITLE: Una Arquitectura Formalmente Verificable para la Detección y Mitigación Adaptativa de Amenazas Basadas en Living-off-the-Land en Entornos Corporativos Híbridos ABSTRACT: La creciente adopción de arquitecturas híbridas y multinube, junto con la consolidación de modelos Zero Trust y la integración de cargas de trabajo tradicionales con sistemas basados en inteligencia artificial, amplió sustancialmente la superficie de ataque organizacional para 2025. En este contexto, las técnicas de Living-off-the-Land (LotL) se han vuelto predominantes, explotando binarios legítimos e interfaces administrativas nativas para evadir mecanismos tradicionales de detección. Proponemos una arquitectura formalmente fundamentada para la detección y mitigación adaptativa de amenazas LotL, combinando grafos temporales de proveniencia, divergencia de Kullback–Leibler con umbral adaptativo y modelado de juegos probabilísticos entre detector y adversario limitado polinomialmente. Formalizamos el problema como un experimento de evasión $\mathsf{LotL\text{-}Evasion}(n)$, definiendo la seguridad en términos de probabilidad despreciable de evasión bajo desviación estadística mínima medible. Demostramos una cota superior exponencial para la probabilidad de evasión en función de la divergencia de variación total y del tamaño de la ventana de observación, utilizando las desigualdades de Hoeffding y Pinsker. La arquitectura propuesta integra recolección de telemetría mediante eBPF, ETW y auditd, procesamiento en flujo con Apache Flink, normalización según Elastic Common Schema e integración con plataformas CNAPP y SOAR, preservando la alineación con NIST SP 800-207 y prácticas contemporáneas de gobernanza de IA. Evaluaciones experimentales con bootstrap y prueba de Wilcoxon indican una reducción estadísticamente significativa de falsos positivos relativos y una mejora en el tiempo medio de detección en escenarios multietapa. También discutimos implicaciones relacionadas con concept drift, integridad de la telemetría y ataques asistidos por modelos de lenguaje, así como extensiones que involucran cadenas de Markov ocultas, aprendizaje federado con privacidad diferencial y verificación probabilística con PRISM. Concluimos que la integración de modelado causal y teoría de la información permite establecer garantías formales y evidencia empírica robusta para la mitigación adaptativa de amenazas LotL en entornos corporativos contemporáneos.
Read paper →ResearchARCUS: Arquitectura Resiliente y Contextualmente Unificada para la Detección y Contención Adaptativa de Amenazas en Entornos Multinube
TITLE: ARCUS: Arquitectura Resiliente y Contextualmente Unificada para la Detección y Contención Adaptativa de Amenazas en Entornos Multinube ABSTRACT: La consolidación de arquitecturas multinube, microservicios orquestados por Kubernetes, pipelines DevSecOps e infraestructuras definidas por código ha redefinido el espacio de amenazas contemporáneo. En 2025, las organizaciones operan simultáneamente en proveedores como AWS, Azure y Google Cloud, integrando servicios gestionados, APIs públicas, funciones serverless y cargas de trabajo con aceleración por GPU para modelos de inteligencia artificial, incluidos los LLMs. Esta heterogeneidad amplía la superficie de ataque, favoreciendo compromisos basados en credenciales válidas, ataques a la cadena de suministro de software y la explotación de vulnerabilidades en componentes ampliamente distribuidos. Proponemos la arquitectura ARCUS (Arquitectura Resiliente y Contextualmente Unificada de Seguridad), que integra modelado formal, aprendizaje profundo en grafos temporales probabilísticos y orquestación de respuestas con garantías verificables. Modelamos el entorno multinube como un grafo temporal probabilístico, en el que los eventos se representan mediante tuplas enriquecidas con atributos contextuales y probabilísticos. La detección se formula como un problema de inferencia bayesiana sobre subgrafos temporales, implementado mediante Graph Attention Networks con incorporación de señales contextuales y embeddings dinámicos. La contención se trata como un problema de programación entera mixta (MILP), sujeto a restricciones formales derivadas de políticas de seguridad e invariantes operacionales, asegurando corrección parcial y límites de latencia. Evaluamos empíricamente la propuesta en conjuntos de datos públicos ampliamente reconocidos y en escenarios sintéticos multinube, comparándola con enfoques tradicionales basados en firmas y modelos secuenciales. Los resultados demuestran ganancias estadísticamente significativas en AUC-ROC, F1-score y reducción de latencia de detección, manteniendo tasas de falsos positivos controladas. También discutimos implicaciones para entornos con cargas de IA generativa, integración con CNAPP y uso de eBPF para telemetría de bajo nivel. Concluimos que la combinación de modelado formal, aprendizaje en grafos y optimización verificable constituye un enfoque prometedor para la seguridad adaptativa en ecosistemas multinube contemporáneos.
Read paper →ResearchTÍTULO: ARCUS: Arquitectura Resiliente y Contextualmente Unificada para la Detección y Contención Adaptativa de Amenazas en Entornos Multinube
TÍTULO: ARCUS: Arquitectura Resiliente y Contextualmente Unificada para la Detección y Contención Adaptativa de Amenazas en Entornos Multinube RESUMEN: La consolidación de arquitecturas multinube, microservicios orquestados por Kubernetes, pipelines DevSecOps e infraestructuras definidas por código ha redefinido el espacio de amenazas contemporáneo. En 2025, las organizaciones operan simultáneamente en proveedores como AWS, Azure y Google Cloud, integrando servicios gestionados, APIs públicas, funciones serverless y cargas de trabajo aceleradas por GPU para modelos de inteligencia artificial, incluidos LLMs. Esta heterogeneidad amplía la superficie de ataque, favoreciendo compromisos basados en credenciales válidas, ataques a la cadena de suministro de software y la explotación de vulnerabilidades en componentes ampliamente distribuidos. Proponemos la arquitectura ARCUS (Arquitectura Resiliente y Contextualmente Unificada de Seguridad), que integra modelado formal, aprendizaje profundo en grafos temporales probabilísticos y orquestación de respuestas con garantías verificables. Modelamos el entorno multinube como un grafo temporal probabilístico, en el cual los eventos se representan mediante tuplas enriquecidas con atributos contextuales y probabilísticos. La detección se formula como un problema de inferencia bayesiana sobre subgrafos temporales, implementado mediante Graph Attention Networks con incorporación de señales contextuales y embeddings dinámicos. La contención se trata como un problema de programación lineal entera mixta (MILP), sujeto a restricciones formales derivadas de políticas de seguridad e invariantes operacionales, asegurando corrección parcial y límites de latencia. Evaluamos empíricamente la propuesta en bases públicas ampliamente reconocidas y en escenarios sintéticos multinube, comparándola con enfoques tradicionales basados en firmas y modelos secuenciales. Los resultados demuestran mejoras estadísticamente significativas en AUC-ROC, F1-score y reducción de la latencia de detección, manteniendo tasas de falsos positivos controladas. Asimismo, discutimos las implicaciones para entornos con cargas de IA generativa, la integración con CNAPP y el uso de eBPF para telemetría de bajo nivel. Concluimos que la combinación de modelado formal, aprendizaje en grafos y optimización verificable constituye un enfoque prometedor para la seguridad adaptativa en ecosistemas multinube contemporáneos.
Read paper →ResearchDETECCIÓN PROBABILÍSTICA Y CORRELACIÓN TEMPORAL DE MOVIMIENTO LATERAL BASADA EN GRAFOS DINÁMICOS EN ENTORNOS CORPORATIVOS HÍBRIDOS
TITLE: DETECCIÓN PROBABILÍSTICA Y CORRELACIÓN TEMPORAL DE MOVIMIENTO LATERAL BASADA EN GRAFOS DINÁMICOS EN ENTORNOS CORPORATIVOS HÍBRIDOS ABSTRACT: La consolidación de entornos corporativos híbridos —integrando Active Directory on-premises, Microsoft Entra ID, múltiples nubes públicas, cargas de trabajo contenedorizadas y aplicaciones SaaS— ha ampliado significativamente la superficie de ataque y la complejidad estructural de las dependencias de identidad y red. En este contexto, el movimiento lateral sigue siendo una etapa crítica en las cadenas de ataque contemporáneas, especialmente en escenarios de ransomware, espionaje y compromiso de cuentas válidas. Proponemos un modelo formal de detección probabilística basado en grafos dinámicos temporales con inferencia bayesiana incremental, diseñado para capturar patrones multi-hop de autenticación y acceso remoto en flujos heterogéneos de telemetría. Formalizamos el grafo temporal como la familia indexada $\{G_t\}_{t \in T}$ y modelamos la probabilidad de legitimidad de los caminos como el producto de probabilidades condicionales parametrizadas mediante actualización exponencial adaptativa. Demostramos propiedades de completitud bajo poda monotónica con umbral $\tau$, analizamos la complejidad asintótica del algoritmo de enumeración limitada en profundidad y discutimos el impacto del problema de la tasa base en la calibración de falsos positivos. Integramos el modelo en arquitecturas modernas de procesamiento en flujo (Kafka y Flink) y persistencia orientada a grafos, con interoperabilidad mediante Sigma y mapeo MITRE ATT&CK. Evaluamos experimentalmente el enfoque con validación temporal estricta, comparándolo con reglas estáticas y métodos no supervisados como Isolation Forest, observando una reducción consistente de falsos positivos bajo restricciones operativas realistas. Discutimos limitaciones relacionadas con la hipótesis de independencia condicional, la integridad de la telemetría y la adaptatividad adversarial, así como implicaciones para la seguridad en entornos con CNAPP, eBPF y detección de abuso de identidades federadas. Concluimos que el modelado probabilístico estructural ofrece un compromiso favorable entre interpretabilidad, rigor formal y viabilidad operativa, constituyendo una base sólida para futuras extensiones que involucren Graph Neural Networks temporales y evaluación adversarial formal.
Read paper →ResearchARCUS: Arquitectura Resiliente con Correlación Unificada y Semántica para la Detección Adaptativa de Amenazas Avanzadas en Entornos Híbridos
TITLE: ARCUS: Arquitectura Resiliente con Correlación Unificada y Semántica para la Detección Adaptativa de Amenazas Avanzadas en Entornos Híbridos ABSTRACT: La expansión acelerada de arquitecturas híbridas y multi‑cloud, combinada con la adopción de prácticas DevSecOps, cargas de trabajo efímeras e integración de componentes basados en inteligencia artificial, ha ampliado significativamente la superficie de ataque organizacional hasta 2025. Informes recientes indican que las violaciones continúan explotando vulnerabilidades conocidas, ingeniería social y cadenas de suministro, mientras que nuevas amenazas emergen en torno a modelos de lenguaje de gran escala (LLMs), APIs expuestas e identidades federadas. En este contexto, los mecanismos tradicionales de SIEM, basados predominantemente en correlación sintáctica y reglas estáticas, muestran limitaciones estructurales para capturar dependencias temporales y semánticas distribuidas. Proponemos ARCUS, una arquitectura formalmente fundamentada que integra ontología semántica alineada con MITRE ATT&CK y NIST SP 800-61, grafos temporales dinámicos e inferencia híbrida que combina Graph Neural Networks (GNNs) y detección estadística incremental. Formalizamos los eventos como tuplas estructuradas y modelamos la evolución del sistema mediante un grafo temporal $G_t$, preservando propiedades de actualización incremental con complejidad amortizada constante bajo hipótesis realistas de indexación. Definimos el problema de detección como una decisión bayesiana bajo el umbral $\tau$, con una función de pérdida compuesta que equilibra clasificación supervisada y puntuación de anomalía. Evaluamos ARCUS en datos reales anonimizados, DARPA Transparent Computing y Atomic Red Team, alcanzando una precisión media de 96,9%, recall de 97,8% y una reducción del 43% en la tasa de falsos positivos en comparación con un baseline SIEM industrial, además de una disminución del 79% en el tiempo medio de detección. Discutimos propiedades probabilísticas deseables, escalabilidad operativa (3,2 mil millones de eventos/día) e integración con CNAPP y SOAR. Concluimos que la correlación semántica orientada a grafos, combinada con inferencia incremental, ofrece una base rigurosa y operacionalmente viable para la detección adaptativa de amenazas avanzadas en entornos híbridos contemporáneos.
Read paper →ResearchArquitectura Adaptativa para la Detección Proactiva de Amenazas Persistentes Avanzadas Basada en Correlación Temporal Multicapa e Inferencia Estadística Robusta
TITLE: Arquitectura Adaptativa para la Detección Proactiva de Amenazas Persistentes Avanzadas Basada en Correlación Temporal Multicapa e Inferencia Estadística Robusta ABSTRACT: La creciente complejidad de las infraestructuras digitales en 2025 —caracterizadas por arquitecturas híbridas, entornos multinube, microservicios, computación orientada a eventos, workloads en contenedores, e integración de modelos de aprendizaje automático y LLMs— ha ampliado sustancialmente la superficie de ataque corporativa. Las Amenazas Persistentes Avanzadas (APTs) explotan cadenas multietapa que atraviesan capas de red, host, aplicación e identidad, combinando frecuentemente la explotación de vulnerabilidades conocidas, el abuso de credenciales válidas y la manipulación parcial de registros. Los sistemas tradicionales de detección, basados en firmas o en clasificadores supervisados aislados, muestran limitaciones para capturar dependencias temporales complejas y para mantener robustez frente a la contaminación adversarial. En este trabajo proponemos una arquitectura adaptativa fundamentada en correlación temporal multicapa modelada mediante grafos dinámicos ponderados por M-estimadores robustos, combinada con inferencia bayesiana dinámica estructurada por conocimiento previo del framework MITRE ATT&CK. Formalizamos el problema bajo un modelo de contaminación $\epsilon$-adversarial y demostramos condiciones de consistencia estadística de los estimadores empleados. Implementamos la arquitectura en un entorno distribuido con ingestión a gran escala, integración con telemetría basada en eBPF y orquestación en contenedores, alcanzando un procesamiento sostenido de 95.000 eventos por segundo con una latencia media inferior a 500 ms. Evaluamos el método en datasets públicos (CIC-IDS2017, UNSW-NB15), en el dataset CIC-IDS2018 y en un conjunto corporativo con 4,2 mil millones de eventos. Los resultados indican un aumento significativo del TPR (96,4%) y una reducción del FPR (2,1%) en comparación con Random Forest, LSTM e Isolation Forest, con robustez superior bajo contaminación $\epsilon=0{,}15$. Además, demostramos una reducción del tiempo medio de detección (MTTD) y una mayor interpretabilidad operacional. Concluimos que la integración formal entre estadística robusta, modelado gráfico temporal y conocimiento estructurado de tácticas adversarias constituye un enfoque prometedor para la detección proactiva de APTs en entornos corporativos contemporáneos.
Read paper →CryptoCriptografía Operacional en Ciberseguridad Moderna: Análisis de Ataques, Implementaciones Seguras y Transición Post‑Cuántica en Infraestructuras Digitales (2025)
La criptografía constituye el núcleo de la seguridad digital contemporánea, protegiendo comunicaciones, autenticación, integridad de datos y sistemas distribuidos. Sin embargo, el ecosistema criptográfico real rara vez falla por debilidad matemática pura; las vulnerabilidades surgen principalmente de implementaciones defectuosas, configuraciones inseguras, gestión inadecuada de claves y modelos de amenaza incompletos. Este trabajo presenta un análisis operativo de la criptografía aplicada dentro de entornos de ciberseguridad modernos, combinando perspectivas de ofensiva (red teaming) y defensa (blue teaming). Primero se revisan fundamentos criptográficos relevantes para sistemas reales: criptografía simétrica, criptografía de clave pública, protocolos TLS, infraestructura PKI y mecanismos de firma digital. Posteriormente se examinan vectores de ataque frecuentes observados entre 2015 y 2025, incluyendo ataques de downgrade en TLS, explotación de configuraciones débiles, ataques de canal lateral, recuperación de claves mediante GPU, explotación de bibliotecas vulnerables y ataques contra implementaciones de criptografía en hardware y contenedores. El estudio formaliza un modelo de amenaza orientado a infraestructuras corporativas y entornos cloud nativos, considerando adversarios con capacidad de interceptación de tráfico, acceso parcial a endpoints comprometidos y capacidad computacional significativa para ataques de fuerza bruta o criptoanálisis práctico. A partir de este modelo se propone una metodología defensiva operacional basada en cinco pilares: auditoría criptográfica automatizada, rotación segura de claves, telemetría criptográfica mediante eBPF, validación continua de certificados y preparación para algoritmos post‑cuánticos estandarizados por NIST. La investigación incluye una implementación práctica basada en herramientas ampliamente utilizadas en operaciones de seguridad como OpenSSL, Hashcat, testssl.sh, Wireshark y frameworks de automatización DevSecOps. Se presentan resultados experimentales que comparan configuraciones criptográficas comunes en entornos empresariales, evaluando resistencia ante ataques de downgrade, fuerza bruta y análisis de tráfico. Asimismo, se incluye un estudio de caso sobre la explotación de configuraciones TLS débiles en infraestructura corporativa realista y su mitigación mediante políticas criptográficas modernas. Finalmente, se discute el impacto de la transición hacia criptografía post‑cuántica (PQC), incluyendo algoritmos como CRYSTALS‑Kyber y CRYSTALS‑Dilithium, así como los desafíos de migración en infraestructuras existentes. El trabajo concluye con recomendaciones prácticas para arquitecturas seguras en 2025, enfatizando que la resiliencia criptográfica depende tanto de diseño matemático robusto como de disciplina operacional en su implementación.
Read paper →CryptoCryptoResilient: Una arquitectura criptográfica adaptativa y formalmente verificable para la mitigación de ataques avanzados en infraestructuras distribuidas
CryptoResilient: Una arquitectura criptográfica adaptativa y formalmente verificable para la mitigación de ataques avanzados en infraestructuras distribuidas ABSTRACT: La creciente complejidad de las infraestructuras distribuidas contemporáneas, caracterizadas por microservicios, entornos multi-cloud, computación confidencial e integración con sistemas basados en inteligencia artificial, impone nuevos desafíos a la ingeniería criptográfica. Aunque primitivas modernas como TLS 1.3 y modos AEAD ofrecen garantías formales robustas, incidentes recientes demuestran que la seguridad sistémica depende críticamente de la gestión dinámica de claves, de una correcta implementación y de la adaptación continua a modelos de amenaza evolutivos. En este trabajo, proponemos la arquitectura CryptoResilient, un enfoque criptográfico adaptativo y formalmente verificable que integra monitoreo continuo de riesgo, orquestación dinámica de políticas criptográficas y verificación formal incremental basada en SMT. Formalizamos el problema de la adaptatividad criptográfica como un juego probabilístico contra un adversario adaptativo con observación parcial, definiendo una métrica cuantitativa de exposición temporal de claves. Demostramos, bajo hipótesis explícitas, que la rotación adaptativa condicionada a indicadores de riesgo reduce linealmente la exposición esperada en comparación con estrategias periódicas fijas. Implementamos un prototipo en Kubernetes 1.29, utilizando OpenSSL 3.2, HashiCorp Vault, HSM compatible con PKCS11 v3.1 e integración con mecanismos de observabilidad mediante Prometheus y eBPF. Adicionalmente, incorporamos mecanismos de crypto-agility compatibles con algoritmos poscuánticos estandarizados por el NIST en 2024, como CRYSTALS-Kyber y CRYSTALS-Dilithium. Evaluamos empíricamente el sistema en un clúster de 64 nodos bajo una carga de 40.000 solicitudes por segundo, observando una reducción estadísticamente significativa de la ventana media de exposición a claves comprometidas, con una sobrecarga inferior al 7% en throughput. Los resultados indican que la integración entre adaptatividad criptográfica y verificación formal continua es viable en entornos de producción, ofreciendo ganancias mensurables de resiliencia frente a ataques de replay, compromiso parcial de nodos y técnicas catalogadas en MITRE ATT&CK. Concluimos discutiendo implicaciones para la gobernanza criptográfica, el cumplimiento regulatorio y la transición hacia escenarios poscuánticos.
Read paper →CryptoTÍTULO: Criptoanálisis Comportamental y Monitoreo Adaptativo de Claves en Infraestructuras Híbridas: Una Arquitectura Criptográfica Resiliente a Amenazas Persistentes Avanzadas
TÍTULO: Criptoanálisis Comportamental y Monitoreo Adaptativo de Claves en Infraestructuras Híbridas: Una Arquitectura Criptográfica Resiliente a Amenazas Persistentes Avanzadas RESUMEN: La creciente complejidad de las infraestructuras híbridas, que combinan entornos on-premises, nubes públicas y privadas, edge computing y cargas de trabajo basadas en inteligencia artificial, impone nuevos desafíos a la seguridad criptográfica en 2025. La expansión de arquitecturas Zero Trust, la adopción de criptografía poscuántica y el uso masivo de modelos de lenguaje de gran tamaño (LLMs) ampliaron la superficie de ataque, especialmente en lo que respecta a la gestión y al ciclo de vida de claves criptográficas. En este trabajo, proponemos una arquitectura formal de criptoanálisis comportamental combinada con monitoreo adaptativo de claves, diseñada para detectar y mitigar amenazas persistentes avanzadas (APTs) en infraestructuras híbridas. Fundamentamos nuestra propuesta en modelos formales de seguridad basados en juegos, análisis probabilístico de desviaciones comportamentales y verificación de propiedades de seguridad mediante invariantes criptográficos. Introducimos un modelo matemático de detección basado en divergencia estadística y aprendizaje automático robusto al envenenamiento de datos, integrando telemetría proveniente de eBPF, CNAPPs (Cloud-Native Application Protection Platforms) y sistemas de gestión de claves compatibles con FIPS 140-3. Evaluamos la arquitectura bajo escenarios realistas que involucran exfiltración de claves, ataques de lateralización en clústeres Kubernetes y explotación de pipelines de MLOps. Los resultados indican una reducción significativa del tiempo medio de detección (MTTD) y un fortalecimiento de las garantías de confidencialidad e integridad bajo el modelo de adversario adaptativo. Demostramos, además, la compatibilidad de la propuesta con algoritmos poscuánticos estandarizados por el NIST, como CRYSTALS-Kyber y CRYSTALS-Dilithium, preservando propiedades formales de seguridad. Concluimos que la integración entre criptoanálisis comportamental y monitoreo adaptativo constituye un paradigma prometedor para la defensa criptográfica resiliente en ecosistemas digitales contemporáneos.
Read paper →