Textos basados en evidencia sobre defensa frente a inyección de prompts, benchmarks de seguridad de agentes e ingeniería de seguridad local. Cifras antes que relatos; metodología en cada afirmación.
Galvanize 3, la tercera generación de nuestro detector de prompt injection, ya analiza cada llamada a la zn API. El AUROC más alto de diez detectores en benchmarks públicos, menos falsas alarmas en documentos largos y gratis para probar.
zn-gate 1.13.0 añade zn-gate connect para una comprobación opcional en la nube con una clave solo de análisis, zn-gate report para un resumen local semanal, comprobaciones de los hooks para skills escritas y una corrección de la versión por defecto de la GitHub Action. Cómo actualizar.
Claude Code, Codex CLI, Cursor y OpenCode guardan el historial de conversaciones en tu equipo, y una clave que pasa por una herramienta puede acabar en él. Dónde lo guarda cada uno, qué documentan los fabricantes y una lista para limpiar.
Qué dice el State of Secrets Sprawl 2026 de GitGuardian sobre los commits con Claude Code y los archivos de configuración de MCP, qué muestran y qué no muestran las cifras, y qué hacer en 10 minutos.
Qué son los ataques de destilación, por qué los atacantes quieren las claves de API de proveedores de IA, cómo detectar que una clave se está usando mal y una lista de comprobación para usuarios y para quienes crean herramientas.
En zn-gate 1.5.0 a 1.11.0, un comando de shell podía llegar a un archivo .env protegido por vías que el hook no comprobaba. Las clases de rutas, el diseño de la corrección de la 1.12.0 (GHSA-rccq-h3xc-j9qj) y qué recordar si escribes una protección para agentes de programación.
zn-gate 1.12.0 añade zn-gate reach, un informe de solo lectura de lo que tus agentes de programación pueden alcanzar, compila las versiones con SLSA Build Level 3, firma las etiquetas con gitsign y corrige GHSA-rccq-h3xc-j9qj en los hooks de los agentes. Cómo actualizar.
Un repositorio puede incluir archivos de configuración que ejecutan comandos, arrancan servidores MCP o desvían tu clave de API cuando un agente de programación lo abre. Ejecuta npx -y zn-gate audit en el clon antes. Qué revisa y cómo leerlo.
Ejecuta npx -y zn-gate init para que Claude Code, Codex CLI, Cursor y OpenCode no lean tus .env ni secretos. Qué cambia, cómo comprobarlo y cómo deshacerlo.
Galvanize 2 es nuestro nuevo detector de inyección de prompts, afinado a partir del modelo pequeño abierto de Horizon Labs. En nuestro conjunto de prueba reservado detecta el 83,4 % de los ataques con una tasa de falsos positivos del 0,81 %, y deja de marcar documentos legítimos largos. Aquí están las cifras, los puntos débiles y cómo medimos.
La 1.4.0 enviaba la salida de las herramientas a nuestra API sin ocultar los secretos cuando había una clave de API configurada. La 1.4.1 elimina esa ruta, hace la nube opcional y con los secretos ocultos, y borramos el texto que nuestra API había almacenado. Aquí está exactamente lo que pasó y qué hacer.
Publicamos Galvanize-60M en Hugging Face: un clasificador pequeño de inyección de prompts que funciona en CPU, pensado para el bucle de herramientas de los agentes de IA. Lee la nota de actualización de octubre de 2026 antes de fiarte de las cifras de esta entrada.
Hemos fusionado /analyze y /v30/analyze en un único endpoint que enruta cada petición por un nivel determinista de <50 µs, una puerta neuronal int8 de ~15 ms y un nivel Deep Analyze con mmBERT. La ingeniería, los nuevos límites de los planes y los números que medimos.
El viaje de ingeniería detrás de un modelo interno anterior en septiembre de 2026: por qué 64 tokens tocaron techo, cómo construimos 1.176 twins negativos, entrenamiento MLP en GPU H100 en 7.5 minutos y reducción de falsos positivos del 4.49% al 0.64% en nuestro propio conjunto de prueba.
Los atacantes parten palabras clave con comentarios, caracteres de ancho cero y letras parecidas. Esta entrada explica los pasos de normalización que zn-gate ejecuta antes de comparar, la velocidad del motor de reglas y lo que no cubre.
Un piloto de 12 prompts en seis modelos frontera, en directo y tras nuestro gateway. Qué rehusó cada modelo, qué cazó el gateway y todos los números para reproducirlo.
Nuestro detector de inyección puntuaba entre 0,498 y 0,509 en todo lo que le dábamos. La causa raíz fue un objetivo de entrenamiento que nunca vio una etiqueta, y la solución fue sencillísima: entrenamiento supervisado de extremo a extremo. La historia completa de la depuración, la receta, las cifras y lo que la nueva puerta todavía no puede hacer.
Nuestra puerta fusionada superó a un modelo de Meta en nuestro benchmark, y luego encontramos texto benigno real puntuando por encima de los ataques dentro de nuestro propio clasificador. Una autopsia del fallo de un checkpoint anterior y la reconstrucción completa del corpus: plantillas por familia, parafraseos deterministas, particiones conscientes de grupos y los huecos que dejamos abiertos a propósito.