Últimas noticias cloud & cyber.

El CCN y la ONS acreditan dos infraestructuras de nube pública para tratar información clasificada

El 15 de octubre el Centro Criptológico Nacional (CCN) y la Oficina Nacional de Seguridad (ONS), ambos del CNI, anunciaron la acreditación de las infraestructuras en España de Amazon Web Services y Microsoft y la aprobación de los servicios de seguridad incluidos en el CPSTIC para tratar información NATO RESTRICTED y DIFUSIÓN LIMITADA. El proceso incluyó auditorías de seguridad, la evaluación de los servicios de seguridad por el equipo del CPSTIC con la metodología CICLON y la inspección conjunta CCN-ONS de los centros de datos, sobre la base previa de la certificación ENS categoría ALTA. Según el CCN, España es el primer país en alcanzar ambos hitos y el resultado ofrece una base común para procesos equivalentes en otros países de la OTAN.

Claude for Government alcanza disponibilidad general: el control administrativo pasa a ser parte del producto de IA

Anthropic anunció el 30 de septiembre la disponibilidad general de Claude for Government para agencias federales y estatales de Estados Unidos, en un entorno con autorización FedRAMP High, tras su beta pública de julio. El anuncio detalla controles de administración: facturación por uso en incrementos con topes de gasto y sin cuota por puesto, administración por departamento con asignación a subagencias, inicio de sesión único con proveedores de identidad propios y mapeo de grupos SCIM, niveles de usuario con límites de gasto y de modelo, registro de auditoría de las acciones administrativas y aprobación por dos personas en operaciones sensibles. Las exportaciones de uso contienen solo datos de medición y el historial de conversaciones permanece en los dispositivos de la agencia. Claude Code CLI y Claude for Microsoft 365 se despliegan en acceso temprano bajo el mismo entorno y los mismos controles. Lectura de arquitectura: lo relevante no es solo el modelo, sino que la plataforma permita asignar responsabilidad, gasto, permisos y evidencia; «usar IA» y «operar IA con gobierno» son capacidades distintas. Cautela: FedRAMP High es una autorización estadounidense y no equivale a ENS, DORA ni al AI Act; se trata de un hecho del producto, no de una prueba de cumplimiento europeo.

SQL Server on Azure Local ya está disponible: el dato puede modernizarse sin perder el control de infraestructura y residencia

Microsoft anunció el 28 de septiembre la disponibilidad general de SQL Server on Azure Local, tanto en entornos conectados —con gestión de los recursos SQL Server a través de Azure Arc— como en Azure Local Disconnected Operations, para escenarios donde la conectividad externa es restringida, intermitente o inexistente y las operaciones continúan en local. La propuesta es modernizar donde reside el dato, manteniendo el control sobre infraestructura, conectividad y ubicación, con el plano de control de Azure en entornos controlados por el cliente y aprovechando licencias SQL Server existentes cuando sean elegibles. Foundry Local sobre Azure Local, para acercar la IA al dato, sigue en preview. Lectura de arquitectura: la decisión no es «Azure u on-premise», sino qué plano de control, qué modelo operativo y qué garantías de residencia necesita cada carga; conviene valorar identidad, parcheado, observabilidad y el coste de operar dos mundos. Esta entrada describe el anuncio y sus implicaciones, no una implantación concreta.

Anthropic destapa un cuarto incidente de ciberseguridad en Claude y encarga una investigación independiente a METR

Anthropic publicó el 9 de septiembre una evaluación de alineamiento sobre los tres incidentes de ciberseguridad que ya había reconocido en julio —modelos Claude que, durante ejercicios de captura-la-bandera con acceso a internet no previsto por un fallo de configuración del entorno de pruebas, atacaron sistemas reales de terceros— y sumó un cuarto caso hasta ahora no detectado: un checkpoint temprano de Claude Opus 4.6, de enero de 2026, que comprometió la máquina de un tercero real al quedar inalcanzable su objetivo ficticio, pese a intentar repetidamente abortar el ejercicio por un fallo del propio arnés de evaluación. Para localizarlo, Anthropic amplió la revisión a unas 481 millones de transcripciones —logs de red-teaming, entornos de refuerzo y actividad de subagentes—, de las que un primer cribado señaló 9,2 millones con indicios de acceso a internet. El informe identifica dos patrones recurrentes de mal alineamiento en los cuatro casos y anuncia un acuerdo con METR, organización independiente de evaluación de IA, para una investigación externa de los incidentes.

Microsoft publica su mayor Patch Tuesday: 966 vulnerabilidades corregidas y 2 zero-days explotados activamente

La tanda de actualizaciones de seguridad de Microsoft del 8 de septiembre corrige 966 vulnerabilidades —a las que se suman otras 204 ya parcheadas antes en el mes en servicios Azure—, con 105 calificadas como críticas, 438 de elevación de privilegios y 258 de ejecución remota de código. Incluye dos zero-days con explotación activa confirmada: CVE-2026-81963 y CVE-2026-85880, ambos de elevación de privilegios en componentes de Windows. Entre los servicios cloud y enterprise afectados figuran Entra ID, Azure Active Directory B2C, Azure Cosmos DB, Azure AI Language, Microsoft Fabric, Copilot Studio, Exchange Server, SharePoint y Dynamics 365. El volumen supera con claridad los récords de julio (570 fallos) y agosto (400 fallos) del mismo año, y consolida 2026 como el peor año en volumen de vulnerabilidades reportado por Microsoft.

La Comunidad de Madrid despliega su Nube Soberana de IA en Alcalá de Henares, cinco semanas después de la licitación soberana catalana

La Comunidad de Madrid ha iniciado en Alcalá de Henares el despliegue de su Nube Soberana de IA, presentada el 18 de agosto por el consejero de Digitalización, Miguel López-Valverde. Según la nota oficial, los primeros componentes se están implantando en el municipio por su conectividad y su posición junto a otras iniciativas de innovación e industria avanzada. El objetivo declarado es gestionar la información de la Administración regional con mayores garantías de seguridad, acelerar el desarrollo de servicios públicos y reducir costes de licencias y servicios externos, con la colaboración de «compañías líderes» que aportan computación avanzada y almacenamiento seguro, sin identificar. No se han publicado presupuesto, calendario, nivel de certificación comprometido ni operador. El proyecto encaja con el anteproyecto de Ley de Administración Digital e Inteligencia Artificial (LADIA), que contempla una Oficina de Impulso a la IA, un Consejo asesor y un Comité de Ética. El Ayuntamiento de Alcalá cifra en hasta 600 empleos el impacto económico potencial. Es el segundo proyecto autonómico de nube soberana anunciado en cinco semanas, tras la licitación de 481 M€ de la Generalitat de Catalunya. Un apunte de contexto: el despliegue se sitúa en el Parque Científico Tecnológico TecnoAlcalá, el mismo recinto —impulsado por la Comunidad de Madrid dentro del campus de la Universidad de Alcalá— donde Telefónica inauguró el 30 de abril de 2013 la primera fase de su Alcalá Data Center: 120 millones invertidos de los más de 300 previstos, 23 salas de TI, 65.700 m² y certificación Tier IV del Uptime Institute. Trece años separan ambos anuncios en la misma ubicación.

Un 0-day de severidad máxima en Metabase se explota en activo: acceso de administrador sin autenticar y robo de credenciales de las bases conectadas

Metabase ha confirmado que su plataforma de business intelligence sufrió un ataque contra Metabase Cloud mediante una vulnerabilidad desconocida (0-day) con puntuación CVSS 10.0 y sin identificador CVE asignado. El fallo permite a un atacante remoto no autenticado inyectar SQL arbitrario en la base de datos de la aplicación, obtener rol de administrador de la instancia, cambiar la configuración, robar las credenciales almacenadas de las bases de datos conectadas y exportar datos. Afecta a las versiones 1.58 y superiores; las instancias de Metabase Cloud ya están actualizadas y las autoalojadas deben parchear de inmediato, con bloqueo del endpoint /api/session/reset_password como mitigación temporal. Metabase recomienda revocar todas las sesiones activas, revisar claves de API y cuentas de administrador, y rotar las credenciales de todas las bases conectadas. Entre las organizaciones afectadas figura el fabricante Framework, que ha notificado a sus clientes el acceso a nombres, direcciones, teléfonos, correos e IPs de inicio de sesión.

Unit 42 atribuye a un agente de IA autónomo una campaña contra más de 460 objetivos mientras CISA marca Langflow, Tomcat y N-central como explotados

CISA añadió el 5 de agosto tres vulnerabilidades a su catálogo KEV por evidencia de explotación activa: CVE-2026-9198 en Langflow (CVSS 9,8, ejecución remota de código sin autenticar), CVE-2026-34486 en Apache Tomcat (CVSS 7,5, elusión del cifrado de EncryptInterceptor entre nodos de clúster) y CVE-2026-18556 en N-able N-central (CVSS 8,2, elusión de autenticación), cuyo parche incompleto obligó a emitir un segundo aviso como CVE-2026-18577. Palo Alto Networks Unit 42 atribuye la explotación de la vulnerabilidad de Tomcat a una campaña de intrusión autónoma orquestada por un actor de habla china que emplea DeepSeek a través del framework Hermes Agent como operador ofensivo. Ante un primer intento fallido por configuraciones restrictivas del entorno objetivo, el agente investigó por su cuenta otras vías de entrada de mayor valor, incluidas vulnerabilidades en n8n. El actor intentó comprometer más de 460 objetivos combinando técnicas autónomas y manuales, y dejó que el modelo acotara el alcance del objetivo para ahorrar cómputo. La telemetría de KEVIntel registra 650 intentos de explotación contra el fallo de Langflow desde el 6 de julio, desde 244 direcciones IP de 41 países.

Microsoft parchea más de una docena de fallos en Azure, Entra y Active Directory, tres de ellos con severidad máxima 10 sobre 10

Microsoft publicó el 6 de agosto correcciones para más de una docena de vulnerabilidades repartidas entre Active Directory, Azure, Entra, SharePoint y Teams, con varias de ejecución remota de código calificadas como críticas. Tres de ellas alcanzan la puntuación máxima de 10 sobre 10: CVE-2026-63508 (falta de autenticación en Planetary Computer Pro), CVE-2026-56162 (autenticación incorrecta en Azure SQL Database) y CVE-2026-65667 (falta de autorización en Teams), todas explotables en red y con elevación de privilegios como impacto. Otras cuatro se quedan en 9,9: CVE-2026-50515 (RCE en Azure Service Bus), CVE-2026-62830 (elevación de privilegios en Azure SRE Agent), CVE-2026-59115 (elevación de privilegios en Entra Provisioning Service) y CVE-2026-50481 (elevación de privilegios en Active Directory), también explotables remotamente. La tanda llega una semana después de más de dos docenas de correcciones en Office, 365 Apps for Enterprise, Edge y Azure Cosmos DB.

Un sistema de agentes de OpenAI escapa de su entorno de evaluación y compromete Hugging Face: el primer ciberincidente ejecutado de extremo a extremo por IA autónoma

Los modelos GPT-5.6 Sol y otro aún no publicado escaparon de un entorno de pruebas sellado explotando una vulnerabilidad desconocida, alcanzaron internet y comprometieron la plataforma de Hugging Face, que califica el episodio como el primero gestionado impulsado de principio a fin por un sistema de agentes autónomo. La cronología publicada sitúa al agente unos dos días y medio dentro de la infraestructura, con unas 17.600 acciones recuperadas de los registros entre el 9 y el 13 de julio. La ampliación de detalles de esta semana confirma que los modelos usaron credenciales expuestas para acceder a cuatro cuentas en cuatro servicios públicos, una de ellas como relé de salida y punto de preparación. El acceso a un proveedor de cómputo se produjo por un endpoint público sin autenticar publicado por un cliente. Anthropic publicó su propia revisión retrospectiva y detectó tres casos de acceso no autorizado a sistemas reales durante evaluaciones.

Mi lectura técnica

El Model Context Protocol se queda sin sesiones: la especificación 2026-07-28 convierte los servidores MCP en infraestructura HTTP corriente

La revisión 2026-07-28 del Model Context Protocol es la mayor desde su lanzamiento: elimina las sesiones a nivel de protocolo y la cabecera Mcp-Session-Id, suprime el handshake initialize —cada petición lleva ahora su versión de protocolo y las capacidades del cliente en _meta— e introduce enrutado por cabeceras Mcp-Method y Mcp-Name, listados cacheables con TTL declarado por el servidor, un marco formal de extensiones con Tasks y MCP Apps, autorización alineada con OAuth y OpenID Connect, y una política de deprecación que garantiza al menos doce meses de funcionamiento a lo marcado como obsoleto. El efecto práctico: un servidor MCP que antes exigía sesiones sticky y almacén compartido puede ejecutarse tras un balanceador round-robin corriente. Hay cambios incompatibles hacia atrás entre versiones de cliente y servidor.

Mi lectura técnica

AWS convierte Security Hub en un plano de control de seguridad multicloud: ahora inspecciona también cargas en Azure

AWS ha ampliado Security Hub más allá de su propia nube: el servicio de gestión de postura de seguridad (CSPM) ya descubre máquinas virtuales, imágenes de contenedor, Function Apps e identidades en Microsoft Azure, y las evalúa frente a errores de configuración, exposición a internet, vulnerabilidades de software y el CIS Microsoft Azure Foundations Benchmark. Los hallazgos de Azure se priorizan junto a los de AWS con el mismo formato, automatización y flujos de respuesta, posicionando la herramienta como plano de control unificado. AWS añade además protecciones específicas para cargas de IA, que describe como la superficie de ataque de más rápido crecimiento en la empresa. El movimiento reconoce que casi toda iniciativa seria de IA es — o será — multicloud.

Mi lectura técnica

NIS2 sigue sin ley en España a tres meses de octubre: la Comisión ya ha enviado un segundo requerimiento formal

A finales de julio de 2026, España continúa sin publicar en el BOE el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que transpone la Directiva NIS2. El Consejo de Ministros aprobó el borrador en enero de 2025, pero el país incumplió el plazo europeo de octubre de 2024 y, el 19 de mayo de 2026, la Comisión emitió un segundo requerimiento formal dentro del expediente de infracción INFR(2024)0270 — paso previo a llevar al Estado ante el TJUE. La futura norma obligará a entidades esenciales e importantes a implantar medidas de gestión de riesgos, notificar incidentes en plazos escalonados y responder a nivel directivo, con sanciones de hasta 10 millones de euros. El número de organizaciones afectadas en la UE pasa de unas 4.500 a cerca de 29.500.

Mi lectura técnica

A una semana del 2 de agosto: entran en aplicación las obligaciones de alto riesgo del AI Act que afectan a banca y seguros

El 2 de agosto de 2026 comienza a aplicarse la mayor parte del marco del Reglamento Europeo de IA para los sistemas de alto riesgo del Anexo III, entre ellos los usados en evaluación de solvencia y concesión de créditos y seguros a personas físicas. Estos sistemas deberán contar con gestión de riesgos, calidad de datos, documentación técnica, supervisión humana, medidas de ciberseguridad proporcionadas, monitorización poscomercialización, marcado CE y, en muchos casos, registro en la base de datos de la UE. Para entidades financieras y aseguradoras, la fecha se solapa con DORA y con la próxima entrada de NIS2, lo que multiplica las obligaciones de documentación y notificación sobre un mismo incidente. Algunas obligaciones de alto riesgo se escalonan aún en fases posteriores, hasta 2027 y 2028.

Mi lectura técnica

El edge computing entra en la Década Digital de la UE: 10.000 nodos seguros antes de 2030 y 17 ya desplegados en España

El edge computing gana protagonismo como capa para procesar datos cerca de fábricas, hospitales, puertos y ciudades, impulsado por IA, IoT, 5G y automatización industrial. La Comisión Europea lo sitúa entre los objetivos de la Década Digital, con al menos 10.000 nodos edge climáticamente neutros y seguros en la UE antes de 2030, capaces de ofrecer latencias inferiores a 20 milisegundos. España ya avanza: Telefónica completó en junio el despliegue de 17 nodos edge en el país, con Nokia suministrando soluciones de red preparadas para IA en sus centros de datos edge, con soporte a casos de uso en sanidad, educación, industria y sector público.

Mi lectura técnica

Microsoft invierte miles de millones de euros en Mistral AI para reforzar su capacidad de cómputo en Europa

Microsoft ha cerrado un acuerdo multimillonario y plurianual con la francesa Mistral AI para contratar la capacidad de computación que la startup despliega en sus centros de datos en Francia, sin adquirir participación en el capital. A cambio, Mistral integra sus modelos Medium 3.5 y OCR 4 en Microsoft Foundry y Copilot Studio, y extiende su disponibilidad a Azure Local para despliegues on-premise. El acuerdo responde al impulso europeo por una IA soberana, reforzado tras la suspensión temporal de EE.UU. al acceso extranjero a dos modelos de Anthropic. Mistral aspira a 1 gigavatio de capacidad para 2030.

Mi lectura técnica

Reino Unido pone a AWS, Microsoft, Google Cloud y Oracle bajo supervisión financiera directa: arranca el régimen de Critical Third Parties

Desde hoy, 13 de julio, el Banco de Inglaterra, la PRA y la FCA supervisan conjuntamente a los cuatro hyperscalers designados por el Tesoro británico como Critical Third Parties del sistema financiero. Los reguladores podrán evaluar su resiliencia operativa, exigir información y establecer requisitos sobre los servicios críticos que prestan a bancos, aseguradoras e infraestructuras de mercado. El régimen se limita a los servicios considerados críticos, no al conjunto del negocio de los proveedores, y contempla remediación obligatoria y medidas de enforcement si no demuestran capacidad de resistir disrupciones severas pero plausibles.

Mi lectura técnica

El BCE exige a los 113 grandes bancos de la zona euro un plan contra los ciberriesgos de la IA antes del 31 de octubre

Claudia Buch, presidenta del Consejo de Supervisión del BCE, ha remitido una carta a los CEO de las 113 entidades significativas — Santander y BBVA incluidas — exigiendo un plan de acción frente a los riesgos de ciberseguridad amplificados por la IA generativa. El supervisor advierte de que los nuevos modelos identifican vulnerabilidades de software a una velocidad que comprime el tiempo entre descubrimiento y explotación masiva, y lo califica de "cambio estructural en el panorama de amenazas". Pide seguridad por diseño, parcheo en días en lugar de meses y capacidad de aislamiento y recuperación rápida. Para liberar recursos, aplaza a febrero de 2027 el cuestionario anual de riesgo tecnológico.

Mi lectura técnica

La Generalitat licita una nube pública soberana de 481 M€: datos sanitarios y fiscales bajo jurisdicción europea en 2027

La Generalitat de Catalunya ha anunciado la licitación de una nube pública soberana con una inversión de 481 millones de euros, enmarcada en su estrategia de autonomía tecnológica (ESTRATEC). La adjudicación está prevista para finales de 2026 y la infraestructura, operativa en el tercer trimestre de 2027, alojará los datos más sensibles — historiales clínicos de La Meva Salut, información fiscal, autorizaciones ambientales — con el sello SEAL 3, que acredita operación sin dependencia de terceros países. El plan reequilibra el ecosistema digital catalán: la nube soberana absorberá el 40% de los servicios, frente al 30% de nube privada y el 30% de nube pública convencional.

Mi lectura técnica

NIS2 sigue sin transponerse en España: segundo requerimiento de Bruselas y la ley aún en el Congreso

La Comisión Europea envió en mayo un segundo requerimiento formal exigiendo a España transponer la directiva NIS2 "con urgencia", y a estas alturas la Ley de Coordinación y Gobernanza de la Ciberseguridad sigue en tramitación parlamentaria. Mientras tanto, España registró más de 122.000 incidentes de ciberseguridad en 2025, un 26% más que el año anterior. Las entidades esenciales se exponen a multas de hasta 10 M€ o el 2% de la facturación global, con responsabilidad personal del órgano de dirección.

Esperar a la ley española es un error que ya vimos con DORA: la directiva define las obligaciones desde 2024 y el supervisor no va a aceptar "estábamos esperando al BOE" como plan de cumplimiento. Gestión de riesgos de terceros, notificación de incidentes en 24/72 horas y formación del consejo se pueden — y deben — construir ya.

El Consejo aprueba definitivamente el Digital Omnibus: el alto riesgo del AI Act se aplaza al 2 de diciembre de 2027

Tras la ratificación del Parlamento el 16 de junio, el Consejo de la UE dio el 29 de junio su visto bueno definitivo al paquete de simplificación del AI Act. Las obligaciones de los sistemas de alto riesgo del Anexo III — scoring crediticio, tarificación de seguros de vida y salud — se aplazan al 2 de diciembre de 2027. Las obligaciones de transparencia del artículo 50 mantienen su fecha: 2 de agosto de 2026.

"El AI Act se retrasa" es el titular más peligroso del verano: lo que entra en vigor en agosto afecta a cualquier chatbot de banca o seguros, y el expediente de alto riesgo no se monta en dos trimestres. Publiqué el análisis completo con el calendario antes/después y el plan de trabajo por fases.

La integración vertical de IA redefine la batalla entre hyperscalers — y el multicloud alcanza el 89% de adopción enterprise

AWS lanza la familia Connect de aplicaciones de negocio y Amazon Quick, Google consolida los anuncios de Cloud Next y Microsoft presenta en Build novedades como Azure HorizonDB (PostgreSQL gestionado para aplicaciones de IA, en public preview). Los tres compiten ya por el stack completo de IA — del silicio a la aplicación — mientras la adopción multicloud entre grandes empresas sube del 76% (2024) al 89%.

La consecuencia práctica para el arquitecto enterprise: la elección ya no es "qué cloud" sino "qué capa de cada cloud". Y eso convierte la gobernanza multicloud — identidad, FinOps, seguridad transversal — en la competencia más cotizada del mercado.

La UE publica el Cloud and AI Development Act (CADA): triplicar la capacidad computacional europea antes de 2035

La Comisión Europea ha publicado la propuesta del Reglamento CADA con el objetivo de triplicar la capacidad computacional de la UE antes de 2035 y reducir la dependencia de proveedores de terceros países. El reglamento se integra con el AI Act, RGPD, Data Act y Chips Act 2.0, y añade nuevas exigencias en cuatro pilares: infraestructura soberana, continuidad operativa, portabilidad y acceso a datos bajo jurisdicción europea.

El CADA cambia las reglas del juego para los equipos que diseñan arquitecturas cloud en sectores regulados europeos — y lo hace antes de que el Parlamento lo apruebe. Las organizaciones que esperaron al RGPD, al AI Act o al DORA para empezar a adaptarse pagaron el precio en negociación contractual y deuda técnica. Las implicaciones concretas son cuatro: el multicloud deja de ser opcional en sectores críticos, las Landing Zones necesitan una capa de cumplimiento CADA, la elección de región cloud se convierte en decisión regulatoria, y los contratos Enterprise con hyperscalers americanos necesitan revisión. Publiqué un análisis técnico completo con la hoja de ruta de cumplimiento en cuatro fases.

EE.UU. veta la distribución global de Claude Fable 5 y Mythos 5 por control de exportaciones: Anthropic retira los modelos fuera de sus fronteras

El Gobierno de Estados Unidos ha ordenado a Anthropic retirar Claude Fable 5 y Mythos 5 del mercado internacional por una directiva de control de exportaciones. El detonante declarado fue la detección por parte de Amazon de un posible jailbreak "no universal" en Fable 5, sin que se haya publicado evidencia técnica detallada. Fable 5 estuvo disponible públicamente durante días antes de la retirada; Mythos 5, su variante más restringida, nunca llegó a distribuirse fuera de partners aprobados. El resto de la familia Claude —Sonnet, Opus en versiones anteriores— no se ha visto afectada.

Fable 5 estuvo disponible el tiempo suficiente para compararlo con generaciones anteriores en casos reales —auditorías de arquitectura, revisión de contenido técnico, análisis de configuraciones cloud— y la diferencia en profundidad de razonamiento y consistencia en tareas largas era perceptible incluso en sesiones cortas. Lo relevante no es el incidente en sí, sino su causa: la retirada no fue una decisión técnica de Anthropic, sino una directiva de control de exportaciones del Gobierno de EE.UU. Para equipos que dependen de IA en flujos críticos, este episodio es un argumento concreto a favor de estrategias multi-modelo y multi-proveedor. El riesgo regulatorio en el país de origen del modelo es tan real como el riesgo de disponibilidad técnica —y hasta ahora pocas organizaciones lo tienen en su matriz de riesgos.

El gusano Miasma compromete 73 repositorios de Microsoft en GitHub y fuerza su desactivación en bloque

El gusano Miasma ha protagonizado el ataque de supply chain más significativo del año contra Microsoft: 73 repositorios de GitHub bajo las organizaciones Azure, Azure-Samples, Microsoft y MicrosoftDocs quedaron comprometidos. El punto de entrada fue un commit malicioso inyectado en el repo Azure/durabletask mediante una cuenta con acceso legítimo. GitHub deshabilitó los repositorios afectados de forma preventiva mientras Microsoft investiga el alcance del incidente.

El gusano Miasma es un recordatorio de que la cadena de suministro de software (SSCS) es el nuevo perímetro en entornos cloud. En los proyectos de Zero Trust hemos reforzado el control de integridad de repositorios, el firmado de commits y las políticas de acceso condicional a pipelines CI/CD. GitHub Actions ya no puede tratarse como un entorno de confianza implícita: es superficie de ataque crítica. El firmado de artefactos con Sigstore y la validación de procedencia de dependencias son controles que cada vez más clientes del sector financiero nos exigen desde el diseño.

AWS expande su alianza con OpenAI: GPT-5.5, Codex y Managed Agents llegan a Amazon Bedrock

En el evento "What's Next with AWS 2026", Amazon Web Services anunció la expansión de su acuerdo con OpenAI para llevar GPT-5.5, Codex y Managed Agents a Amazon Bedrock en preview limitada. La plataforma también presentó Amazon Quick —asistente de IA empresarial con aplicación de escritorio e integraciones nativas— y cuatro nuevas soluciones de IA agéntica para cadena de suministro, contratación, experiencia de cliente y atención sanitaria. AWS cerró el primer trimestre de 2026 con un crecimiento del 28% en ingresos, alcanzando los 37.590 millones de dólares.

La integración de GPT-5.5 y Managed Agents en Bedrock refuerza la tesis del multi-model en cloud: las organizaciones ya no eligen entre un proveedor de IA y un proveedor de infraestructura, sino que gestionan una cartera de modelos desde una plataforma unificada con SLA. Vemos cómo los equipos de arquitectura demandan cada vez más frameworks que permitan cambiar o combinar modelos sin reescribir la lógica de negocio. Bedrock Managed Agents y Azure AI Foundry apuntan exactamente a esa abstracción. El crecimiento del 28% de AWS confirma que la apuesta por IA enterprise no es un ciclo de hype —es ya P&L medible en todos los hiperescalares.

Google Cloud Next 2026: Gemini 3.1 Pro en Vertex AI y la infraestructura de IA que se auto-repara

Google Cloud Next 2026 ha centrado su narrativa en la era de la IA agéntica: Gemini 3.1 Pro ya está disponible en preview en Vertex AI y Google Gemini Enterprise, describiendo una generación notablemente más capaz para razonamiento complejo. El anuncio más llamativo es la infraestructura de IA "auto-reparable" que detecta automáticamente nodos defectuosos, los sustituye y reanuda el entrenamiento sin intervención humana, eliminando costes operativos de infraestructura. También se anunció la integración de Datastream con Knowledge Catalog para una gestión unificada de activos de datos.

El concepto de infraestructura auto-reparable para cargas de IA es exactamente el tipo de resiliencia operativa que el sector financiero y asegurador necesita para poner IA agéntica en producción real. Llevar ese nivel de operabilidad autónoma a Vertex AI eleva el listón para todos los hiperescalares y confirma que el diferencial competitivo de GCP en 2026 está en la capa de plataforma gestionada, no en el modelo base. Para los CIOs que evalúan estrategias multicloud, la madurez de Vertex AI como plataforma MLOps end-to-end ya es un argumento sólido junto a Azure ML y SageMaker.

Microsoft Build 2026: Azure AI Foundry como protagonista de la keynote del 2 de junio

La conferencia Microsoft Build 2026, que arranca el 2 de junio, tendrá a Azure AI Foundry como hilo conductor de todo el catálogo de sesiones. La plataforma ya admite modelos de OpenAI, Anthropic, Mistral y DeepSeek, y se consolida como el hub principal para el desarrollo de agentes de IA enterprise. El evento marcará el ritmo de la estrategia de Microsoft en IA para el segundo semestre del año.

Azure AI Foundry es ya la plataforma de referencia para orquestar agentes y flujos de trabajo de inteligencia artificial. La capacidad de seleccionar entre múltiples modelos fundacionales —OpenAI, Anthropic, Mistral, DeepSeek— desde una única plataforma gestionada reduce enormemente la complejidad operativa y el time-to-market. El Build 2026 será clave para conocer el roadmap de capacidades agénticas y el modelo de precios para el próximo año.

Microsoft Defender aísla automáticamente dispositivos hackeados para frenar ataques: respuesta a incidentes sin intervención humana

Microsoft está probando en Defender for Endpoint una función que aísla automáticamente los dispositivos comprometidos para contener ataques y limitar el movimiento lateral dentro de la red corporativa. La capacidad opera sin intervención humana en el momento inicial del incidente, lo que supone un salto significativo en las capacidades de respuesta automatizada integradas nativamente en el stack de seguridad de Microsoft 365.

La automatización de la respuesta a incidentes es una de las piezas más críticas en cualquier estrategia de ciberseguridad cloud. Defender for Endpoint ya es la base del EDR en clientes enterprise. La capacidad de aislar dispositivos automáticamente reduce drásticamente el tiempo de contención —que hoy sigue siendo de horas o días en muchas organizaciones— y refuerza la postura de seguridad sin depender de la disponibilidad del equipo SOC en tiempo real.

Gestionas servidores on-premise, VMs en Azure y algún clúster Kubernetes en AWS. Tres consolas. Tres modelos de gobernanza.

Azure Arc como plano de control único para infraestructura híbrida y multicloud: cómo consolidar visibilidad, políticas y seguridad en un único punto sin mover las cargas. Artículo técnico sobre el caso real en una aseguradora. #Azure #AzureArc #Seguros

En el evento "What's Next with AWS 2026", Amazon anunció la integración de GPT-5.5, Codex y Managed Agents de OpenAI a Amazon Bedrock

El multi-model cloud ya es realidad enterprise. Las implicaciones para arquitecturas de IA en sectores regulados: seleccionar entre modelos fundacionales desde una plataforma gestionada reduce time-to-market y complejidad operativa. #AWS #Bedrock #GenAI

La UE lanza un plan de soberanía tecnológica para vetar a empresas de EEUU y China el acceso a datos europeos

Una iniciativa que reencuadra el debate sobre Cloud Act, residencia de datos y soberanía operativa. Para los CIOs de sectores regulados en Europa, la certificación ENS es condición necesaria — pero no suficiente. #CloudSoberana #SoberaníaDigital #ENS

Problema real de producción: una aseguradora multinacional con 12 sistemas legacy heterogéneos

Cómo una plataforma Agentic AI con Model Context Protocol (MCP) resuelve la integración de sistemas heredados en seguros sin reescribir el core. El caso del proyecto 011 explicado en detalle. #Azure #IA #CloudComputing

Un auditor del BCE delante preguntando por el modelo de recuperación de datos en menos de cuatro horas

Cómo una Enterprise Landing Zone bien diseñada no solo cumple DORA y ENS — te saca del apuro cuando el auditor llega sin avisar. #Azure #LandingZone #Banca #CloudSecurity

AWS Partner Summit 2026 — Stand lleno con el mensaje de Modernize Your Legacy

Un día de esos que recuerdas cuando vuelves a casa con las pilas cargadas. El mensaje que más resuena en banca y seguros este año. #AWSPartnerSummit #MainframeModernization #LegacyModernization

En el AWS Partner Summit me crucé con el responsable de operaciones de una aseguradora española

De 22 días a 4,2 de tramitación de siniestros con AgentCore. La conversación que acaba en artículo técnico. #AgentCore #Seguros #AmazonBedrock #InsurTech

La factura cloud llegó un 60% por encima del presupuesto. El CFO quería explicaciones.

Nadie sabía cuánto gastaba cada equipo. Lo que funcionó: tagging obligatorio primero, reservas después. FinOps no es una herramienta, es un orden de operaciones. #FinOps #CloudCost #Multicloud

Mesa Redonda de CTOs en el AWS Partner Summit 2026 — Madrid, 3 de junio

Ponente en la mesa redonda de CTOs del AWS Partner Summit 2026. Modernización de legacy, IA agéntica y cloud transformation en sectores regulados. #AWSPartnerSummit