artículos sobre seguridad informática y marketing digital

BLOG SEOXAN

Mantente al dia sobre las últimas tendencias en marketing digital y seguridad informática

Últimas entradas en el blog

Qué es un ataque CSRF y cómo puede cambiar tu contraseña

Fecha: 2026-11-10 20:06:54
Autor: Alex Rubio

Qué es un ataque CSRF y cómo puede cambiar tu contraseña

Imagina que haces clic en un enlace que parece inofensivo y, sin enterarte de nada, acabas de cambiar la contraseña de una de tus cuentas. No has rellenado ningún formulario ni has confirmado nada: simplemente has pinchado. Eso, en esencia, es un ataque CSRF, una de las vulnerabilidades web más curiosas porque aprovecha algo que usas todos los días: tu sesión abierta en una web de confianza.

En este artículo te explicamos qué es un ataque CSRF con palabras sencillas, cómo consigue colarse un atacante y, sobre todo, qué medidas reales lo frenan. También aclararemos algunas ideas que circulan sobre este tema y que no son del todo exactas, para que te quedes con la foto correcta.

Qué significa CSRF y por qué importa

CSRF son las siglas de Cross-Site Request Forgery, que se traduce como «falsificación de peticiones entre sitios», según recoge la Wikipedia. El nombre es técnico, pero la idea es fácil: un sitio malicioso logra que tu navegador envíe una orden a otra web distinta, en la que tú tienes la sesión iniciada, para que se ejecute una acción que tú no has querido hacer.

La clave está en cómo funcionan las sesiones. Cuando entras en una web y escribes tu usuario y contraseña, el sitio no te pide las credenciales en cada clic. En su lugar, guarda en tu navegador un pequeño identificador llamado cookie. Es como la pulsera de un festival: una vez te la ponen en la entrada, pasas por cualquier zona sin tener que mostrar la entrada otra vez. El problema es que tu navegador envía esa «pulsera» de forma automática con cada petición que hace a esa web, venga de donde venga el clic.

Según la documentación sobre CSRF de GeeksforGeeks, el ataque se basa precisamente en eso: el navegador adjunta la cookie de sesión sin preguntar, así que si un atacante consigue que tu navegador envíe una orden, esa orden llegará con tu identidad puesta. Interesa a cualquiera, no solo a los informáticos, porque la víctima no tiene que introducir datos ni cometer ningún error evidente: basta un clic.

Cómo se cuela el atacante paso a paso

Veamos el ejemplo más citado: un formulario para cambiar la contraseña. En un diseño vulnerable, ese formulario solo pide la nueva contraseña (dos veces para confirmar) y no vuelve a pedir la contraseña actual. Al pulsar «guardar», tu navegador envía la nueva contraseña junto con tu cookie de sesión, y la web da por buena la orden.

Aquí conviene hacer una aclaración. A veces se presenta este formulario «flojo» como el caso habitual, pero no lo es: es un ejemplo de mal diseño. La guía de pruebas de seguridad de OWASP recomienda pedir de nuevo la contraseña actual al cambiarla, precisamente para proteger una sesión que alguien haya podido dejar abierta. Es decir, el fallo existe cuando el desarrollador no toma esa precaución, no porque sea lo normal.

El segundo ingrediente es el tipo de petición. En la web existen dos formas básicas de comunicarse: las peticiones GET, pensadas para pedir y leer datos (como cuando escribes una dirección en el navegador), y las POST, pensadas para enviar datos, como al mandar un formulario. Las acciones que modifican algo deberían usar POST. Si una web permite, por error, cambiar la contraseña mediante una simple GET, entonces los datos del cambio se pueden meter directamente en una dirección web. Y una dirección web es muy fácil de compartir: basta con un enlace.

OWASP advierte en su guía de prevención de CSRF de que usar GET para acciones que cambian datos es un riesgo, y recomienda reservar GET solo para leer. Que esto no es teórico lo demuestra un caso documentado por el investigador Sjoerd Langkemper, que describió un cambio de contraseña mediante CSRF en un programa de recursos humanos. Así que la afirmación de que «enviando los datos por GET la contraseña cambia sin confirmación» es cierta, pero con un matiz importante: solo ocurre si la aplicación acepta ese cambio por GET.

Esquema con los cuatro pasos de un ataque CSRF (sesión abierta, enlace trampa, clic y acción no deseada) y una franja con las tres defensas principales. — El recorrido de un ataque CSRF y las tres defensas que lo dificultan.

Del experimento al ataque real

Una vez el atacante tiene un enlace que ejecuta la acción, necesita que la víctima haga clic. Para ello recurre a la ingeniería social, que no es más que el arte de engañar a una persona para que haga algo. El enlace se puede disfrazar con un acortador de direcciones o esconder detrás de un texto con apariencia legítima dentro de un correo, como describe la guía sobre CSRF de Graylog. Cuando la víctima pincha, su propio navegador envía la petición con su cookie de sesión, y la acción se ejecuta con su identidad.

Sobre este punto circula una idea que conviene matizar. Se dice a veces que, como el atacante «ya conoce el nombre de usuario», le basta con iniciar sesión luego con la nueva contraseña. En la práctica no es tan automático: el CSRF no revela quién es la víctima, el atacante necesita saber de antemano a qué cuenta dirige el ataque y no todos los sitios permiten entrar solo con el nombre de usuario. No hemos encontrado una fuente que describa ese paso como una regla general, así que es mejor tomarlo como un escenario posible, no como algo que ocurra siempre.

Que el riesgo es real lo confirma la historia. Según la Wikipedia, las vulnerabilidades CSRF se conocen y, en algunos casos, se han explotado desde 2001. La misma fuente recuerda que en 2008 una plataforma de vídeos muy popular tuvo un fallo CSRF que permitía realizar casi cualquier acción en nombre de cualquier usuario. No es un problema de laboratorio.

Las defensas que de verdad funcionan

La buena noticia es que el CSRF tiene remedios conocidos. Se suelen citar tres medidas, y conviene explicarlas bien porque a veces se presentan como una solución que lo corta «de raíz», algo que es exagerado. OWASP insiste en la idea de defensa en profundidad: combinar varias barreras, porque ninguna por sí sola es infalible.

Token CSRF único por formulario

Un token CSRF es un valor secreto y aleatorio que la web incluye en cada uno de sus formularios y que solo su propia página conoce. Cuando llega una petición, el servidor comprueba que trae ese valor. Un sitio ajeno no puede adivinarlo, así que no puede falsificar la orden. OWASP lo sitúa como la defensa principal frente al CSRF.

Cookies con el atributo SameSite

El atributo SameSite es una instrucción que le dice al navegador cuándo debe enviar una cookie si la petición viene desde otro sitio. Desde 2020, tanto Mozilla como Google aplican el valor Lax por defecto, como explica Mozilla Hacks. Esto ayuda, pero tiene un límite importante: con Lax, el navegador sigue enviando la cookie cuando sigues un enlace mediante una petición GET, según la documentación de MDN. Por eso OWASP advierte de que, si una acción que cambia datos es accesible por GET, SameSite no la detendrá. Es decir, SameSite es un refuerzo, no un escudo completo.

Pedir siempre la contraseña actual

Para la acción concreta de cambiar la contraseña, pedir de nuevo la contraseña actual es una barrera sencilla y eficaz, tal como recomienda OWASP. Un atacante que solo ha conseguido que hagas clic en un enlace no conoce tu contraseña actual, así que la petición falsificada no supera esa comprobación.

A todo esto se suma un recordatorio: existe otro tipo de fallo llamado XSS (cross-site scripting), en el que el atacante logra insertar código en la propia web legítima. Si ese fallo existe, puede saltarse las defensas CSRF. Por eso no basta con una sola medida.

¿Y a mí en qué me afecta?

Como usuario normal no programas webs, pero sí puedes reducir el riesgo con hábitos sencillos:

Desconfía de los enlaces que llegan por correo o mensajería, sobre todo si están acortados o te empujan a pinchar con urgencia. Pasar el ratón por encima para ver la dirección real ayuda.
Cierra sesión en los servicios sensibles (banca, correo, administración) cuando termines, en lugar de dejarlos siempre abiertos.
Usa navegadores actualizados, que ya aplican SameSite por defecto y te protegen en parte sin que hagas nada.
Activa la verificación en dos pasos donde sea posible: añade una barrera extra aunque una contraseña quede comprometida.

Y si tienes o gestionas una web, las recomendaciones del dossier son claras: usa POST (no GET) para cualquier acción que modifique datos, incorpora tokens CSRF en los formularios, configura las cookies con SameSite y pide la contraseña actual al cambiarla.

En resumen

Un ataque CSRF aprovecha que tu navegador envía automáticamente tu sesión para ejecutar, con tu identidad, una acción que tú no has pedido, muchas veces con un simple clic en un enlace disfrazado. Es un riesgo real y antiguo, pero con defensas bien conocidas: tokens únicos por formulario, cookies con SameSite y pedir la contraseña actual en los cambios sensibles. Ninguna de esas medidas lo resuelve por sí sola, pero combinadas convierten un ataque cómodo en uno muy difícil. Para ti, la mejor protección sigue siendo pensar dos veces antes de hacer clic.

Flipper One: qué es y para qué sirve el ordenador Linux de bolsillo

Fecha: 2026-11-10 19:39:17
Autor: Alex Rubio

Flipper One: qué es y para qué sirve el ordenador Linux de bolsillo

El Flipper One es el nuevo aparato de Flipper Devices, la empresa que se dio a conocer con el Flipper Zero, ese pequeño dispositivo con aspecto de juguete capaz de leer tarjetas, mandos a distancia y otras señales. A pesar del parecido en el nombre, el Flipper One es otra cosa: un ordenador de bolsillo con Linux pensado para trabajar con redes, que la compañía presentó oficialmente en mayo de 2026.

Desde entonces circulan muchas ideas sobre lo que puede hacer: router de viaje, herramienta para revisar redes, ordenador para programar o equipo de inteligencia artificial sin conexión. Algunas son ciertas, otras dependen de piezas que se compran aparte y otras todavía no se han podido comprobar, porque el equipo aún no está a la venta. Aquí repasamos qué es, qué lleva dentro y qué se sabe con seguridad.

Qué es el Flipper One y qué no es

Se suele decir que el Flipper One es un Flipper Zero más potente, pero en realidad no es así. La propia Flipper Devices afirma en su página oficial que no se trata de una actualización del Zero. Los dos aparatos trabajan en niveles distintos de la tecnología, y entender esa diferencia es la clave de todo lo demás.

Una forma sencilla de verlo es imaginar las comunicaciones como un edificio de varias plantas. En la planta baja están las señales sueltas entre aparatos: el NFC con el que pagas con el móvil, las tarjetas de acceso de una oficina (RFID), la radio de los mandos de garaje (sub-GHz) o el infrarrojo del mando de la tele. Ahí vive el Flipper Zero. El Flipper One, en cambio, trabaja en las plantas de arriba, las de las redes IP, que es el idioma con el que se entienden ordenadores, routers e internet.

De hecho, según la especificación oficial, el Flipper One no incluye NFC, RFID, radio sub-GHz ni infrarrojos como funciones básicas. Por eso no sirve para copiar una tarjeta o abrir una puerta de garaje. Si se resume diciendo que el Zero conversa con aparatos y el One con redes enteras, la comparación encaja bien con lo que describen las fuentes.

Tampoco es exacto describirlo como un móvil. Flipper Devices lo presenta como una plataforma Linux portátil de hardware abierto, una multiherramienta de redes y de «IA en el borde», que significa inteligencia artificial que funciona en el propio aparato en lugar de en servidores lejanos. Medios como Cyberpress lo llaman cyberdeck, un término informal para los ordenadores portátiles orientados a la experimentación y la seguridad.

Esquema comparativo: el Flipper Zero aparece en la planta baja, dedicado a señales locales como NFC, RFID, radio sub-GHz e infrarrojos; el Flipper One aparece en la planta alta, dedicado a redes IP con dos puertos Ethernet, Wi-Fi 6E, Linux y ranura M.2, y se indica que no incluye NFC, RFID ni infrarrojos. — El Zero trabaja con señales entre aparatos y el One con redes de ordenadores: son herramientas para niveles distintos.

Qué lleva dentro

Según CNX Software y la información oficial, el corazón del Flipper One es un procesador Rockchip RK3576 con ocho núcleos (cuatro Cortex-A72, más potentes, y cuatro Cortex-A53, más ahorradores), una gráfica Mali-G52 y un NPU de 6 TOPS. El NPU es un chip especializado en tareas de inteligencia artificial, y los TOPS indican cuántos billones de operaciones por segundo puede hacer en teoría; es una cifra máxima, no una medida de rendimiento real.

Lo acompañan 8 GB de memoria RAM, 64 GB de almacenamiento interno y una ranura para tarjetas microSD. Además, incluye un pequeño microcontrolador, el RP2350, que actúa como un conserje: se encarga de la pantalla, los botones, el panel táctil y la gestión de la batería, para que el procesador principal no tenga que ocuparse de esas tareas.

En conexiones es donde se nota su vocación. Tiene dos puertos Ethernet gigabit (las tomas de cable de red, más estables que el Wi-Fi), Wi-Fi 6E en las bandas de 2,4, 5 y 6 GHz, Bluetooth, un puerto USB-C que puede hacerse pasar por un adaptador de red y una salida HDMI 2.1 capaz de dar imagen 4K a 120 Hz. Por dentro esconde una ranura M.2, un conector del tamaño de un chicle como el que llevan muchos portátiles para el disco, donde se pueden instalar módulos de ampliación.

El sistema es Linux, basado en Debian, con herramientas propias de la marca llamadas Flipper OS y FlipCTL. No es Android ni Kali Linux, y no hay confirmación oficial de que Kali funcione en él. La empresa colabora con la compañía Collabora para que el soporte del procesador llegue al núcleo principal de Linux y, según XDA Developers y Chiptron, ha abierto el desarrollo a la comunidad y pide ayuda para terminar el proyecto.

Para qué sirve el Flipper One: los usos que se le atribuyen

Con esas piezas sobre la mesa, se pueden revisar uno a uno los usos que más se repiten. Conviene tener presente que el equipo sigue en desarrollo, así que algunas promesas todavía no se han podido probar en el aparato definitivo.

Revisar redes

Los dos puertos Ethernet están confirmados. Se ha dicho que basta con colocarlo entre el router y un ordenador para ver todo lo que pasa por el cable, pero las fuentes consultadas no describen ese montaje y el comportamiento del hardware final al enrutar tráfico está pendiente de verificar. Analizar redes es una práctica habitual de los auditores de seguridad, siempre con autorización del dueño de la red, pero eso es una costumbre del sector, no una función concreta del producto.

Router de bolsillo con VPN

Una VPN es como un túnel privado: cifra lo que envías y lo hace salir por un servidor de confianza, algo útil en el Wi-Fi público de un hotel. El diseño del Flipper One apunta a este tipo de usos, porque combina Linux, Ethernet, Wi-Fi y funciones de enrutamiento. Sin embargo, no se ha encontrado una prueba de este escenario concreto en el equipo final, así que por ahora es una posibilidad, no una función comprobada.

Internet móvil en cualquier parte

Es cierto que la ranura M.2 admite módems 4G y 5G. La documentación oficial la describe como una entrada para módems, tarjetas Wi-Fi, radios SDR, discos NVMe, módulos de posicionamiento y aceleradores de IA. El matiz importante es que el módem no viene incluido en la configuración base: hay que comprarlo aparte.

Un ordenador de escritorio con Linux

Este uso sí está confirmado. Gracias a la salida HDMI, se puede conectar a un monitor o una tele, añadir teclado y ratón y usarlo como un ordenador Linux para programar o trabajar. Eso sí, el sistema todavía se está puliendo.

Inteligencia artificial sin internet

El chip existe, pero la función aún no está lista. Según las fuentes, el soporte del NPU en Linux y las capacidades finales de IA siguen en desarrollo, igual que el entrenamiento del modelo. La idea es ejecutar programas de IA en el propio aparato, sin enviar datos fuera, pero todavía no se puede afirmar qué tal funcionará.

Un equipo modular

Por último, la ranura M.2 permite añadirle un disco NVMe, una radio SDR (una radio controlada por software que sirve para captar y analizar señales) o un acelerador de IA. Son usos previstos por el fabricante, aunque todos dependen de módulos opcionales que se compran por separado.

Esquema del Flipper One con tres grupos de etiquetas: en verde lo confirmado (dos puertos Ethernet, HDMI 4K a 120 Hz, Wi-Fi 6E, ranura M.2, NPU de 6 TOPS y uso como escritorio Linux); en azul los módulos que se compran aparte para la ranura M.2 (módem 4G/5G, disco NVMe, radio SDR y acelerador de IA); y en ámbar lo que sigue en desarrollo o sin probar (IA sin internet, router con VPN, análisis en línea y sistema final). — El hardware del Flipper One está confirmado, pero varias de sus funciones más llamativas dependen de módulos extra o siguen en desarrollo.

Precio y disponibilidad

Aquí también conviene precisar. El 3 de noviembre de 2026 se abrieron las reservas mediante un cupón digital de 20 dólares que, según Pasquale Pillitteri, GIGAZINE y Xakep, da derecho a comprar una unidad por 379 dólares cuando empiece la campaña de Kickstarter. Ese precio es el del cupón, no el precio de venta final, y los 20 dólares del cupón se pagan aparte.

Según el fabricante, el cupón es reembolsable y no equivale a comprar el aparato. En mayo, la empresa se había marcado como objetivo un precio inferior a 350 dólares para la versión base sin módulo celular, una cifra que finalmente ha subido. La campaña de Kickstarter estaba prevista para noviembre de 2026, sin fecha garantizada, y en el momento de escribir este artículo aún no había comenzado.

¿Y a mí en qué me afecta?

Para la mayoría de la gente, el Flipper One es todavía un proyecto interesante más que un producto que se pueda comprar. Si te llama la atención, estos consejos pueden ayudarte a decidir:

Elige según lo que quieras hacer. Si te interesan las tarjetas, los mandos y las señales de radio cotidianas, el Flipper One no está pensado para eso. Si te interesan las redes y Linux, encaja mejor.
Cuenta con los extras. El módem 4G/5G, el disco o la radio SDR se compran aparte, y el precio final aún no es definitivo.
No compres por funciones futuras. La IA local y algunos usos de red siguen en desarrollo; es prudente esperar a pruebas con el equipo final.
Recuerda que el cupón no es una compra. Solo reserva el derecho a adquirirlo a un precio concreto.
Úsalo de forma legal. Analizar el tráfico de una red solo es aceptable si es tuya o si tienes permiso expreso de su dueño.

En resumen

El Flipper One es un ordenador de bolsillo con Linux, hardware abierto y orientación a redes, no una versión mejorada del Flipper Zero. Su hardware está confirmado: procesador RK3576, dos puertos Ethernet gigabit, Wi-Fi 6E, salida HDMI, ranura M.2 y un chip de IA de 6 TOPS. En cambio, usos como el router de viaje con VPN, el análisis de tráfico en línea o la IA sin conexión todavía no se han comprobado en el equipo definitivo. Y los 379 dólares son un precio de reserva ligado a un cupón, no el precio de venta, con una campaña de financiación que aún no ha arrancado.

Fuentes

Discord reescribe en Rust sus apps y deja Electron y React Native

Fecha: 2026-11-10 19:06:27
Autor: Alex Rubio

Discord reescribe en Rust sus apps y deja Electron y React Native

Discord reescribirá en Rust sus aplicaciones de escritorio y móvil, y dejará atrás Electron y React Native, las dos tecnologías basadas en código web sobre las que funcionan hoy. Lo confirmó su cofundador y director de tecnología, Stanislav Vishnevskiy, en un mensaje publicado en X el 4 de noviembre, según recogen medios como heise e Inven Global. El paso de Discord a Rust está todavía en fase de demostración y no tiene fecha de lanzamiento.

La noticia interesa más allá del mundo de la programación. Discord es una aplicación de mensajería y voz muy extendida, y su consumo de memoria en el ordenador ha sido una queja habitual entre sus usuarios. Además, el anuncio llega dos meses después de que Shopify comunicara que también abandona React Native, aunque con una estrategia muy distinta.

Qué cambia con Discord en Rust

Para entender el cambio conviene saber cómo está construido Discord ahora. En el ordenador usa Electron, una herramienta que permite crear programas de escritorio con las mismas tecnologías que una página web. Cada aplicación hecha con Electron incluye su propio motor de navegador, Chromium, y su propio motor de JavaScript. Es como si cada programa llevara dentro un navegador completo, y eso tiene un coste en memoria.

En el móvil, Discord utiliza React Native, un sistema que permite escribir una única aplicación en JavaScript y publicarla tanto en iOS como en Android. Su gran ventaja es que el equipo no tiene que programar dos veces lo mismo. Sin embargo, añade una capa intermedia entre el código y el teléfono que puede afectar a la velocidad.

Rust, el lenguaje elegido para el relevo, está pensado para ofrecer seguridad y rendimiento sin necesitar un navegador ni un intérprete que consuma memoria mientras el programa funciona. No es una novedad para la empresa: según Inven Global, Vishnevskiy explicó que Discord usa Rust desde 2018 y que buena parte de su infraestructura y de su tecnología de voz ya funciona con él. Lo nuevo es llevarlo a las aplicaciones que instala el usuario.

Cómo será la nueva arquitectura

El proyecto, que internamente se llama Discord Phoenix según ShiftDelete.net, tiene dos piezas. La idea central es un núcleo compartido: la lógica común de la aplicación se escribe una sola vez en Rust y la aprovechan todas las plataformas. Funciona como una receta maestra que varios restaurantes adaptan después a su propio local.

En el ordenador: una interfaz dibujada con la tarjeta gráfica

En escritorio, la interfaz se dibujará con GPUI, un sistema creado por Zed Industries para su editor de código Zed. Según heise, GPUI no depende de tecnologías web, sino de su propio sistema de interfaz acelerado por la tarjeta gráfica, de forma parecida a como se dibuja un videojuego. Por eso Discord no ha optado por Tauri, otra alternativa basada en Rust que, según ShiftDelete.net, sigue mostrando una página web dentro de la vista del navegador del sistema.

Hay dos matices. El primero es que GPUI todavía no ha llegado a la versión 1.0 y, según heise, los cambios entre versiones suelen romper la compatibilidad, lo que supone un riesgo de mantenimiento. El segundo es que no todo dejará de ser web: según bool.dev, los contenidos incrustados, como los vídeos de plataformas externas y las Actividades, seguirán usando la vista web del sistema operativo.

En el móvil: lógica en Rust e interfaz nativa

En iOS y Android, las pantallas se harán con las herramientas propias de cada sistema, lo que se conoce como interfaz nativa: Swift en el iPhone y Kotlin en Android. La lógica compartida con el escritorio irá en Rust, según las fuentes consultadas. Discord no ha publicado documentación detallada de esta arquitectura.

El modelo tiene precedentes. 1Password, el gestor de contraseñas, usa un núcleo en Rust para el cifrado y la sincronización, con interfaces propias en cada plataforma, según Rustify. Signal, la aplicación de mensajería, también concentra la mayor parte de su lógica en un núcleo Rust compartido por todas sus versiones, según Daily.dev.

Mientras tanto, la aplicación actual sigue recibiendo mejoras. Según MobileNApps, en septiembre de 2026 Discord actualizó sus apps móviles de React Native 0.81 a 0.86, lo que, según la empresa, redujo ligeramente el uso del procesador y acortó un 5 % el tiempo de arranque.

Shopify, el caso que va en dirección contraria

El 10 de septiembre de 2026, Shopify anunció que pasaba todas sus aplicaciones móviles a Swift y Kotlin y abandonaba React Native, según DEV Community e InfoQ. Su argumento fue la inteligencia artificial: los asistentes de programación pueden trasladar una función de una plataforma a otra, y eso reduce la principal ventaja de escribir el código una sola vez.

A esto se suman las cifras que la propia empresa ha difundido, recogidas por Daily.dev: reconstruir la app Shop con su sistema interno Helix llevó 12 semanas, y el resultado arranca más rápido en Android, ocupa 109 MB menos y sufre diez veces menos cierres inesperados que la versión con React Native. Son datos de Shopify que no han sido verificados de forma independiente.

La diferencia de fondo con Discord es clara. Shopify deja de compartir código entre iOS y Android, mientras que Discord sigue compartiéndolo, pero en Rust en lugar de JavaScript.

Lo que se dice del paso de Discord a Rust y lo que dicen los datos

Alrededor del anuncio circulan varias ideas. Esta tabla repasa las más repetidas y su grado de exactitud según las fuentes disponibles.

Afirmación	Veredicto	Explicación
Discord abandona Electron y React Native para pasarse a Rust.	Cierto	Vishnevskiy escribió que ambas tecnologías desaparecen, según heise.
La app actual es una web dentro de un navegador y supera 1 GB de memoria sin hacer nada.	Exagerado	Electron sí incluye un motor de navegador. Pero, según DEV Community, un empleado de Discord afirmó en diciembre de 2025 que el uso normal está por debajo de 1 GB, y la empresa probó a reiniciar la app de forma automática al llegar a 4 GB. No hemos localizado la declaración original.
Todo, incluidos los servidores, se escribirá de cero en Rust.	Incompleto	Lo que se reescribe es la aplicación del usuario. Los servidores no forman parte de ese cambio, y Rust ya se usa en la infraestructura de Discord desde 2018, según Inven Global.
La nueva versión para Windows usa solo 290 MB de memoria con dos cuentas abiertas.	Cierto, pero insuficiente como prueba	Una captura del Administrador de tareas mostró 290,2 MB en una versión de desarrollo, y el CTO dijo que tenía dos cuentas abiertas, según bool.dev. Es una única configuración, sin comparación controlada con la app actual.
En un Android barato, la nueva app abre en menos de un segundo.	Cierto en una demo; sin confirmar en uso real	Discord mostró el cliente nuevo junto al actual en teléfonos Android antiguos y de gama baja, según pbxscience y Tech Insider. La empresa no ha dicho qué modelo usó.
JavaScript desaparece por completo de la app móvil.	Sin confirmar	No hemos encontrado documentación oficial que lo confirme.
El nuevo cliente es una demo sin fecha de lanzamiento.	Cierto	No hay fecha confirmada. Según Daily.dev, Discord espera llevarlo pronto a pruebas con usuarios a través de sus versiones de prueba.
Shopify se fue porque escribir la app dos veces ya no importa.	Incompleto	Shopify reconoce que el coste sigue existiendo: según la empresa, citada por DEV Community, tener software nativo significa construir y mantener dos plataformas, y ese coste no ha desaparecido.
Todas las grandes empresas que usaban React Native lo han abandonado en dos meses.	Falso	Solo hay dos casos confirmados, y siguen caminos distintos. Según Rocky Soft, Coinbase busca personal para una reescritura similar, pero eso no equivale a un abandono confirmado.

Qué significa para ti

Si usas Discord, de momento no cambia nada: la aplicación que tienes instalada seguirá siendo la misma hasta que la nueva versión llegue a las pruebas públicas. Si las cifras de las demostraciones se mantienen en uso real, el beneficio más visible sería un menor consumo de memoria en el ordenador y arranques más rápidos en móviles modestos, pero eso todavía está por demostrar.

Si diriges una empresa o un equipo de desarrollo, el caso de Discord y el de Shopify muestran que no existe una única respuesta correcta. Ambas compañías parten de necesidades distintas y han llegado a conclusiones opuestas sobre compartir código. Algunas recomendaciones prácticas:

No cambies de tecnología solo porque lo haga una gran empresa: valora el tamaño de tu equipo, tu presupuesto y lo que realmente falla en tu aplicación.
Mide antes de decidir. Una captura puntual de memoria no equivale a una medición continua en distintos equipos.
Ten en cuenta la madurez de las herramientas. Un sistema sin versión estable, como GPUI, puede obligar a rehacer trabajo con cada actualización.
Si mantienes apps para varias plataformas, estudia el modelo de núcleo compartido con interfaz nativa que ya usan 1Password y Signal.

En resumen

Discord ha confirmado que reescribirá en Rust sus aplicaciones de escritorio y móvil, con una interfaz de escritorio basada en GPUI y apps móviles con pantallas nativas y lógica compartida. Las primeras demostraciones muestran 290 MB de memoria en Windows y arranques rápidos en móviles de gama baja, pero son pruebas aisladas, sin comparativas publicadas ni fecha de lanzamiento. Shopify también ha dejado React Native, aunque para dejar de compartir código, y no hay pruebas de un abandono generalizado de esa tecnología por parte de las grandes empresas.

Fuentes

Qué es MCP y en qué se diferencia de una API

Fecha: 2026-11-09 15:47:56
Autor: Alex Rubio

Qué es MCP y en qué se diferencia de una API

MCP (Model Context Protocol) es un estándar abierto que define cómo un asistente de inteligencia artificial se conecta con otros servicios, como el correo electrónico, el calendario o una base de datos. Anthropic, la empresa que desarrolla Claude, lo publicó como código abierto el 25 de noviembre de 2024. En diciembre de 2025 lo cedió a una fundación gestionada bajo el paraguas de la Linux Foundation, con OpenAI y Block como cofundadores.

Entender qué es MCP importa porque es la pieza que permite a los llamados agentes de IA, programas que no solo responden preguntas sino que también ejecutan tareas en nombre del usuario, consultar una agenda o buscar en una bandeja de entrada. Además, ya no hace falta programar para usarlo: Claude y ChatGPT ofrecen estas conexiones listas para activar. Sin embargo, sobre MCP circulan ideas que conviene matizar, empezando por su relación con las API.

Qué es MCP y qué problema resuelve

Antes de MCP, cada aplicación de inteligencia artificial que quería conectarse con un servicio externo necesitaba una integración hecha a medida. Según Anthropic, los desarrolladores tenían que construir un conector específico para cada fuente de datos o herramienta. La propia empresa describió el problema como una combinación que se multiplica: si hay muchos asistentes y muchos servicios, el número de conexiones necesarias crece con cada nuevo actor, algo que denominó el problema «N×M».

MCP propone un idioma común para resolverlo. La documentación oficial lo compara con un puerto USB-C para aplicaciones de IA: del mismo modo que un único tipo de conector sirve para cargar el móvil, el portátil o los auriculares, un único protocolo sirve para que distintos asistentes hablen con distintos servicios. Según el análisis de IBM, MCP sustituye la necesidad de escribir código para cada integración personalizada.

El funcionamiento se apoya en tres piezas. El host es la aplicación de IA que usa la persona, por ejemplo Claude o ChatGPT. El cliente es la conexión que abre esa aplicación. Y el servidor es el programa que expone las herramientas de un servicio concreto, como «buscar un correo» o «crear un evento». Cuando el asistente se conecta a un servidor MCP, descubre qué acciones tiene disponibles y puede usarlas sin que nadie programe esa conexión de nuevo.

MCP y API: en qué se diferencian

Una API (interfaz de programación de aplicaciones) es la ventanilla que un servicio ofrece a otro software para pedirle datos o acciones. Cuando la aplicación de un banco consulta un sistema de pagos, lo hace a través de una API. Este mecanismo existe desde mucho antes de la inteligencia artificial generativa y es la base de casi cualquier integración entre programas.

MCP no ocupa ese lugar, sino que se coloca encima. Según los análisis técnicos de Scalekit, Dash0 y CircleCI, la mayoría de servidores MCP llaman por dentro a la API del servicio correspondiente. Dicho de otro modo, la API conecta un sistema con otro, mientras que MCP traduce esa conexión a un formato que un agente de IA entiende y puede usar de forma uniforme. Por eso las integraciones en producción suelen combinar ambas capas.

Esto tiene una consecuencia práctica. Alguien tiene que escribir el servidor MCP al menos una vez, normalmente el propio servicio o un desarrollador externo. A partir de ahí, cualquier asistente compatible puede reutilizarlo sin generar código nuevo para cada caso.

Quién está detrás del estándar

MCP nació en Anthropic, pero ha dejado de ser un proyecto de una sola empresa. Según el blog oficial del protocolo, el 9 de diciembre de 2025 Anthropic lo donó a la Agentic AI Foundation, un fondo dirigido bajo la Linux Foundation. Esta fundación fue cofundada por Anthropic, Block y OpenAI, y cuenta con el apoyo de Google, Microsoft, AWS, Cloudflare y Bloomberg, según la misma fuente y medios como The New Stack y CIO Dive.

El blog oficial precisa que las decisiones técnicas siguen en manos de los mantenedores que han dirigido el proyecto hasta ahora. A esto se suma que proveedores rivales de Anthropic, entre ellos OpenAI y Google DeepMind, han adoptado el protocolo, según recoge Wikipedia. Las fechas concretas de esas adopciones no las hemos podido verificar en una fuente primaria, por lo que no las incluimos.

Lo que se dice sobre MCP y lo que dicen los datos

El crecimiento de MCP ha venido acompañado de explicaciones rápidas que a veces simplifican demasiado. Estas son algunas de las afirmaciones más repetidas, con su veredicto.

Afirmación	Veredicto	Explicación
Gracias a MCP, una IA puede leer tu correo, cobrar en PayPal y gestionar tu calendario.	Incompleto	La documentación oficial menciona el calendario y el correo como casos de uso. Sin embargo, lo que puede hacer el agente depende de cada conector: según Scalekit, el servidor MCP de Gmail de Google ofrece 23 herramientas y ninguna envía correos. No hemos encontrado ninguna fuente que confirme un conector de PayPal para agentes.
Sin un estándar, cada asistente tendría que programar su propia conexión con cada servicio.	Cierto	Es el problema que Anthropic describió como «N×M» al presentar el protocolo.
Gmail, Google Calendar, Shopify o Stripe ya ofrecen servidores MCP.	Incompleto / Sin confirmar	Existe un servidor MCP de Gmail de Google, según Scalekit. La documentación oficial cita el calendario como ejemplo, pero no un servidor concreto de Google. En el caso de Shopify y Stripe no hemos encontrado fuentes que lo verifiquen.
Con MCP, la IA no tiene que escribir código para usar un servicio.	Cierto, con matiz	El agente solo necesita entender el servidor MCP. Pero ese servidor lo ha programado alguien antes, y normalmente se apoya en la API del servicio.
MCP viene a sustituir a las API.	Falso	Son capas complementarias. El servidor MCP llama a la API para el agente, según Scalekit, Dash0 y CircleCI.
Se puede usar sin saber programar desde Claude y ChatGPT.	Cierto	En Claude estas conexiones se llaman conectores. En ChatGPT el nombre comercial ha variado entre apps y plugins, según NOXI. La documentación oficial de MCP confirma que ambos asistentes son compatibles.
Cualquiera puede crear su propio servidor MCP.	Cierto	MCP es una especificación abierta con kits de desarrollo (SDK, conjuntos de herramientas para programadores) y un repositorio de servidores de código abierto.

Qué significa para ti

Si usas Claude o ChatGPT en tu trabajo, es probable que ya tengas acceso a conexiones basadas en MCP sin haberlo notado. Activarlas permite, por ejemplo, que el asistente consulte tu calendario o busque información en tu correo para preparar un resumen. Para una pyme, esto puede ahorrar tareas repetitivas sin necesidad de contratar un desarrollo a medida.

No obstante, conectar un asistente a tus cuentas supone darle acceso a datos sensibles. Según la especificación, MCP define un inicio de sesión opcional con OAuth 2.1 para los servidores remotos. OAuth es el sistema del tipo «iniciar sesión con…» que concede permisos limitados sin compartir la contraseña. Como es opcional y cada proveedor añade sus propias reglas, la seguridad real depende de cada conector.

Antes de activar un conector, te recomendamos:

Comprobar quién publica el conector y preferir los oficiales del propio servicio.
Revisar qué permisos pide y conceder solo los que necesites para la tarea.
Consultar en la documentación del asistente qué acciones permite realmente, porque pueden cambiar con el tiempo o según el plan contratado.
Desconectar los servicios que ya no uses.
Si desarrollas software, valorar si tu producto debe ofrecer un servidor MCP además de su API, ya que no se sustituyen.

En resumen

MCP es un estándar abierto, creado por Anthropic en noviembre de 2024 y gestionado desde diciembre de 2025 por la Agentic AI Foundation, que permite a los asistentes de IA conectarse con servicios externos de forma uniforme. No reemplaza a las API, sino que se apoya en ellas para que los agentes puedan usarlas sin integraciones a medida. Ya está disponible sin programar en Claude y ChatGPT, aunque lo que cada conector permite hacer varía, y algunas integraciones que se dan por hechas, como las de PayPal, Shopify o Stripe, no han podido confirmarse.

Fuentes

TPU de Google: qué es y cómo funciona su chip para IA

Fecha: 2026-11-09 15:02:37
Autor: Alex Rubio

TPU de Google: qué es y cómo funciona su chip para IA

La TPU de Google (Tensor Processing Unit, o unidad de procesamiento de tensores) es un chip que la compañía diseña para acelerar los cálculos de la inteligencia artificial. Según Google, la utiliza en servicios propios como el buscador, Street View, Google Fotos o el traductor. A diferencia de las tarjetas gráficas de Nvidia, no hemos encontrado ninguna vía para comprarla como una pieza independiente que se pueda instalar en un ordenador o en un servidor propio.

El chip interesa más allá de Google porque ayuda a entender por qué la IA necesita hardware especializado y por qué varias grandes tecnológicas desarrollan sus propios procesadores. Sobre la TPU circulan explicaciones muy repetidas, algunas exactas y otras demasiado simplificadas. Este artículo explica cómo funciona y contrasta esas ideas con los datos disponibles.

Qué es la TPU de Google y por qué existe

La TPU pertenece a la familia de los ASIC, siglas en inglés de circuito integrado de aplicación específica: un chip diseñado para hacer muy bien una tarea concreta, en lugar de servir para todo. En este caso, la tarea es ejecutar redes neuronales, el tipo de programa en el que se basan los modelos de IA actuales. Es una filosofía distinta a la de la GPU, el procesador gráfico que nació para los videojuegos y que se usa de forma masiva en IA porque es flexible y sirve para muchos tipos de cálculo.

Según Google, el desarrollo de la primera TPU empezó a finales de 2013 y llevó unos 15 meses. La empresa la utilizó de forma interna y en 2017 publicó sus detalles técnicos y sus métricas de rendimiento. Desde entonces ha lanzado nuevas versiones; la más reciente recogida en las fuentes consultadas, llamada Ironwood, es la séptima generación.

La lógica de fondo es sencilla. Los modelos de IA repiten una y otra vez el mismo tipo de operación, de modo que un chip pensado solo para ella puede ejecutarla de forma más eficiente que un procesador generalista. Esa es la apuesta que Google lleva más de una década desarrollando.

Cómo funciona por dentro: matrices y arreglo sistólico

Para entender el chip hay que empezar por las matemáticas. Una matriz es una tabla de números, parecida a una hoja de cálculo, y un tensor generaliza esa idea a más dimensiones, como un cubo de datos. De ahí procede el nombre de la TPU. Según la documentación técnica de Google, buena parte del cálculo de una red neuronal puede expresarse como multiplicaciones de matrices.

En esas multiplicaciones intervienen los pesos del modelo, que son los números que la IA ha ajustado durante su entrenamiento. Se pueden comparar con los mandos de una mesa de mezclas que ya están colocados en su posición. Cuando llega una pregunta, convertida previamente en números, el modelo la combina con esos pesos para producir una respuesta.

Una cuadrícula de 65.536 calculadoras

La pieza central de la primera TPU es la unidad de multiplicación de matrices, conocida como MXU. Según Google, está formada por una cuadrícula de 256 por 256 elementos, es decir, 65.536 pequeñas unidades capaces de multiplicar dos números y sumar el resultado a una cuenta acumulada. Funcionando a 700 MHz, esa unidad alcanza 92 billones de operaciones por segundo, de acuerdo con los datos publicados por la empresa.

La organización de esa cuadrícula se llama arreglo sistólico. Cada celda guarda un peso fijo, mientras los datos entran por la izquierda y avanzan de celda en celda; en cada paso se multiplican por el peso correspondiente y se suman al resultado parcial que llega de la celda de arriba. Todas trabajan al mismo compás, y Google compara ese flujo con la forma en que el corazón bombea la sangre, que es de donde viene el término «sistólico».

La ventaja principal de este diseño es que reduce el movimiento de datos. Leer y escribir en memoria consume mucha energía dentro de un chip, y al pasar los resultados intermedios directamente de una celda a otra, la TPU evita muchos de esos viajes. Sin embargo, no los elimina por completo: la primera TPU contaba con 24 MB de memoria interna de tipo SRAM, un búfer donde se guardan entradas y resultados entre una operación y la siguiente.

Las generaciones posteriores no han mantenido siempre el mismo tamaño de cuadrícula. Según análisis técnicos no oficiales, algunas versiones orientadas al entrenamiento usaron cuadrículas de 128 por 128 y la sexta generación volvió a 256 por 256. No hemos podido confirmar ese dato en documentación oficial de Google.

bfloat16, pods y diferencias con una GPU

Otra pieza importante es bfloat16, un formato para guardar números que desarrolló Google Brain, el equipo de investigación en IA de Google, para la segunda generación de TPU, anunciada en mayo de 2017. Ocupa 16 bits, la mitad que el formato estándar de 32 bits, y mantiene su mismo rango, es decir, permite representar números igual de grandes y de pequeños. A cambio pierde precisión: según el matemático Nick Higham, ofrece solo entre dos y tres cifras decimales significativas.

Una comparación cotidiana ayuda a entenderlo: es como anotar una distancia en kilómetros con dos decimales en lugar de siete. Se pierde detalle, pero la medida sigue siendo útil para lo que se necesita. Por eso este formato se ha extendido en el aprendizaje automático, donde esa pérdida suele ser aceptable y cada número ocupa la mitad de memoria.

A esto se suma que Google no usa las TPU de una en una. Las agrupa en pods, conjuntos de chips conectados para trabajar como un único sistema. Con la tercera generación, hasta 256 placas podían unirse en un pod de 2.048 núcleos. En el caso de Ironwood, según fuentes del sector, los pods llegan a 9.216 chips enlazados mediante una red óptica propia de Google.

La diferencia con una GPU se resume en especialización. La GPU se parece a una navaja suiza: sirve para gráficos, simulaciones, IA y muchas otras tareas. La TPU se acerca más a una máquina diseñada para un único tipo de corte que ejecuta muy rápido. Esa especialización explica su eficiencia, pero también que no sea adecuada para la computación de propósito general.

Lo que se dice de la TPU de Google y lo que dicen los datos

Alrededor de este chip se repiten varias ideas. La siguiente tabla recoge las más frecuentes, con su veredicto y el dato que lo sostiene.

Afirmación	Veredicto	Explicación
Google tiene su propio chip de IA y no lo vende	Incompleto	No hemos encontrado una vía de compra directa. Según fuentes secundarias, estos chips solo pueden alquilarse en la nube de su fabricante, algo que no hemos verificado en documentación oficial de Google.
La IA se basa sobre todo en multiplicar matrices	Cierto	Según Google, el cálculo de las redes neuronales puede expresarse en gran parte como operaciones con matrices.
La TPU tiene una cuadrícula de 256 por 256 unidades	Cierto, con matices	Es exacto para la primera TPU (65.536 unidades). Otras generaciones han usado tamaños distintos, según análisis no oficiales.
El nombre «sistólico» viene del latido del corazón	Cierto	Google compara el flujo de datos en el chip con el bombeo de sangre del corazón.
Los resultados intermedios nunca vuelven a la memoria	Exagerado	El diseño reduce los accesos a memoria, pero no los elimina: la primera TPU usaba un búfer de 24 MB.
Una GPU tiene que ir y volver a la memoria muchas más veces	Incompleto	El principio de minimizar el movimiento de datos está documentado, pero no hemos encontrado una comparación cuantitativa con las GPU.
bfloat16 lo creó Google, ocupa la mitad y mantiene el rango	Cierto	Lo desarrolló Google Brain para la TPU v2; usa la mitad de memoria que el formato de 32 bits con el mismo rango y menos precisión.
Gracias a bfloat16, la TPU calcula el doble de rápido	Sin confirmar	No hemos encontrado ninguna fuente que cuantifique esa aceleración.
Google conecta miles de TPU con enlaces ópticos y las enfría con líquido	Incompleto	Los pods con miles de chips y conexión óptica están documentados. La refrigeración líquida no aparece en las fuentes consultadas.
La TPU solo sirve para IA y es pésima para todo lo demás	Exagerado	No es apta para uso general, pero hay estudios académicos que la aplican a álgebra lineal densa, física computacional y simulación de circuitos cuánticos.
Se puede probar gratis en Google Colab, con límites	Cierto	Según Google, las sesiones gratuitas pueden durar hasta 12 horas y el acceso a GPU y TPU depende de la disponibilidad.
Amazon, Microsoft, Meta y OpenAI tienen chips propios	Cierto en parte	Según publicaciones del sector, Amazon envía Trainium3 desde principios de 2026, Microsoft presentó Maia 200 en enero de 2026 y Meta afirma haber desplegado cientos de miles de chips propios. De OpenAI solo consta una colaboración con Broadcom, sin un chip verificado en producción.
Anthropic no tiene chips propios y entrena en TPU y en chips de Amazon	Sin confirmar	Fuentes secundarias apuntan a que usa Trainium y TPU, pero no hemos encontrado confirmación oficial ni datos sobre si diseña chips propios.
Todas estas empresas quieren dejar de depender de Nvidia	Incompleto	Los chips propios buscan competir con Nvidia, pero Meta, por ejemplo, se ha comprometido a seguir comprando grandes cantidades de chips de esa empresa, según fuentes del sector.

Qué significa para ti

Para la mayoría de usuarios y empresas, la TPU no es algo que haya que elegir de forma directa: quien usa un asistente de IA o un servicio en la nube no decide en qué chip se ejecuta. Su efecto es indirecto, y el análisis más prudente es que la competencia entre fabricantes de chips puede influir con el tiempo en el precio y la disponibilidad de los servicios de IA. Si quieres experimentar o valorar un proyecto, estas pautas te ayudarán:

Para aprender, Google Colab permite usar TPU sin coste desde el navegador, con sesiones de hasta 12 horas y sin garantía de disponibilidad.
Para un proyecto profesional, ten en cuenta que la TPU está pensada para multiplicar matrices: si tu carga de trabajo es variada, un procesador más flexible puede encajar mejor.
Desconfía de las cifras redondas, como «el doble de rápido»: el rendimiento real depende del modelo, de la generación del chip y de la tarea concreta.
Contrasta los datos de mercado: muchas cifras sobre cuotas y acuerdos entre empresas proceden de fuentes secundarias y no siempre están confirmadas.

En resumen

La TPU de Google es un chip especializado en multiplicar matrices, la operación en la que se basa buena parte de la inteligencia artificial. Su arreglo sistólico reduce el movimiento de datos, aunque no elimina el uso de memoria, y el formato bfloat16 ahorra espacio a cambio de algo de precisión. Google la usa en sus servicios, no la vende como pieza independiente y permite probarla gratis en Colab con límites. Amazon, Microsoft y Meta tienen chips propios, mientras que los datos sobre OpenAI y Anthropic, la velocidad «doble» o la refrigeración líquida siguen sin confirmarse en fuentes oficiales.

Fuentes

Ciberataque a supermercados en Francia lleva las neveras a 50 °C

Fecha: 2026-11-08 20:42:26
Autor: Alex Rubio

Un ciberataque a supermercados en Francia elevó la temperatura de neveras y congeladores de cientos de tiendas durante la noche del domingo 11 al lunes 12 de octubre de 2026. Según las propias cadenas y los medios que han cubierto el caso, algunos equipos llegaron a 50 °C, hubo que tirar grandes cantidades de alimentos y en ciertos establecimientos se produjeron incendios y daños por el agua de los rociadores. Los atacantes entraron a través de los controladores de refrigeración del fabricante danés Danfoss, que eran accesibles desde internet.

El caso tiene interés más allá de Francia porque muestra cómo un fallo informático puede terminar en un daño físico y económico muy concreto. Por ahora no se sabe quién está detrás del ataque. El Gobierno francés ha encargado la investigación a la ANSSI, la agencia nacional de ciberseguridad, y la pregunta que deja el episodio es práctica: qué aparatos de un edificio se pueden manejar desde fuera sin que su dueño lo sepa.

Qué ocurrió en los supermercados franceses

De acuerdo con The Hacker News y ABC News, los atacantes tomaron el control remoto de los sistemas de frío de cientos de supermercados y los hicieron calentarse durante la noche. La cifra exacta de tiendas no está clara: algunas informaciones hablan de cerca de 400 establecimientos, mientras que la entrada de Wikipedia que recopila la cobertura del caso la eleva hasta 700. Por eso lo más prudente es hablar de cientos de tiendas.

Las cadenas han aportado algunos datos propios. Según recoge Wikipedia, Les Mousquetaires, propietaria de Intermarché, explicó que las neveras de unas 150 de sus tiendas alcanzaron 50 °C durante seis horas, y Carrefour indicó que 80 de sus supermercados sufrieron el ataque. Technology.org menciona también tiendas de Coopérative U y Netto. Cybernews añade que E.Leclerc, la mayor cadena del país, también habría sido atacada, aunque la empresa no lo ha confirmado.

A esto se suman las consecuencias materiales. Según Wikipedia, el calor hizo que parte del equipo de refrigeración se fundiera o llegara a arder en algunos supermercados, y los rociadores contra incendios causaron daños por agua. La ruptura de la cadena de frío obligó a desechar mucha mercancía, con pérdidas estimadas en decenas de millones de euros. El primer ministro, Sébastien Lecornu, pidió a la ANSSI que investigara el ataque y se coordinara con otros países europeos, y la Fiscalía de París lo ha calificado de ataque a gran escala.

Cómo funcionó el ataque a los controladores Danfoss

Para entender el ataque conviene saber qué es un controlador de refrigeración. Se trata de un pequeño ordenador que gobierna todas las neveras y congeladores de una tienda, algo parecido al termostato central de una casa pero aplicado a decenas de equipos a la vez. Según ABC News, estos paneles suelen ser accesibles por internet para que las empresas de mantenimiento puedan ajustarlos desde cualquier lugar. Los investigadores identificaron dos modelos de Danfoss como puerta de entrada, el AK-SM800 y el AK-SC355, según Wikipedia.

El método aprovechó una función normal de estos equipos: el desescarche. Es un ciclo breve en el que el frigorífico calienta una pieza interna para eliminar el hielo acumulado. Según la información publicada, los atacantes pusieron los equipos en modo de desescarche durante toda la noche, de forma que las neveras dejaron de enfriar y la temperatura interior fue subiendo sin parar.

Sin embargo, la clave estuvo en el estado de esos aparatos. Technology.org explica que los controladores afectados ya no recibían actualizaciones de seguridad. El firmware es el software interno que hace funcionar un dispositivo y, cuando deja de actualizarse, sus fallos conocidos quedan abiertos, igual que ocurre con un móvil antiguo sin parches. Según Wikipedia y Technology.org, Danfoss ya había recomendado sustituir los dos modelos afectados por otros nuevos, y entre sus recomendaciones figura mantener el firmware al día, de acuerdo con The Hacker News.

Un problema que no es solo de una marca ni de un país

El caso francés tiene un componente de organización además del técnico. Según las informaciones recopiladas sobre el ataque, los supermercados franceses suelen subcontratar la refrigeración a empresas externas y no gestionan directamente la seguridad de esos sistemas. Eso significa que el responsable de la tienda puede no saber si su panel de frío está expuesto a internet o si ejecuta un software obsoleto.

Tampoco es un episodio aislado. Wikipedia señala que el ataque se parece a incidentes registrados a finales de agosto en una docena de economatos militares de Estados Unidos, donde también se perdieron alimentos tras fallos en las neveras. Por otro lado, TechRadar informó de que investigadores de la empresa Armis encontraron diez vulnerabilidades en controladores del fabricante Copeland, que publicó una actualización de firmware para corregirlas. Son casos distintos, pero indican que el riesgo afecta a este tipo de equipos en general y no a una sola marca.

Lo que se dice del ciberataque a supermercados en Francia y lo que dicen los datos

Alrededor del ataque circulan varias afirmaciones, algunas ciertas y otras sin respaldo. La tabla resume las más repetidas y lo que permiten confirmar las fuentes disponibles.

Afirmación	Veredicto	Explicación
Cientos de supermercados vieron sus neveras subir hasta 50 °C en una sola noche.	Cierto	Lo recogen The Hacker News, ABC News y Wikipedia. Les Mousquetaires habla de 50 °C durante seis horas en unas 150 tiendas. La cifra total de establecimientos varía según la fuente.
Monoprix está entre las cadenas afectadas.	Sin confirmar	No aparece en ninguna de las fuentes consultadas. Sí constan Intermarché, Carrefour, Coopérative U y Netto; E.Leclerc no lo ha confirmado.
Hubo incendios y daños por los rociadores.	Cierto, en algunas tiendas	Según Wikipedia, ocurrió en ciertos supermercados, no en todos los afectados.
Los atacantes alargaron el desescarche de una a ocho horas y las alarmas locales no saltaron.	Sin confirmar	El uso del modo de desescarche está documentado, pero no hemos encontrado ninguna fuente que mencione esas ocho horas ni el silencio de las alarmas.
Los controladores tenían firmware desfasado y sin soporte.	Cierto	Technology.org y Wikipedia indican que los modelos ya no recibían actualizaciones de seguridad y que Danfoss había aconsejado reemplazarlos.
Las autoridades francesas han dicho que esos paneles nunca debieron estar conectados a internet.	Sin confirmar	No hemos encontrado esa declaración oficial. Lo documentado es que el acceso remoto era una práctica habitual para el mantenimiento, según ABC News.
Un modelo de IA pequeño se copió solo en ocho dispositivos, sin centro de datos, según Anthropic.	Exagerado	Fue una prueba controlada en una red simplificada. El modelo usado, GLM-5.2, tiene 744.000 millones de parámetros y más de 1 TB, y funcionó en un servidor aparte porque los nodos eran demasiado pequeños, según The Hacker News y The Decoder.
Ese tipo de software será el próximo en atacar paneles como los de Francia.	Sin confirmar	Es una hipótesis. Ninguna fuente relaciona el ataque francés con modelos de IA ni anticipa ese uso.

La relación entre el ataque y la inteligencia artificial merece una explicación aparte. El 12 de octubre, el equipo de pruebas de seguridad de Anthropic publicó un estudio sobre si un modelo de IA puede copiarse por sí mismo entre dispositivos conectados. Según The Hacker News, GLM-5.2 llegó a los 8 nodos de la red en 4 de 5 intentos, pero el método aprovechó un puerto de depuración sin contraseña, una situación que no representa a un equipo bien configurado. Los parámetros son los ajustes internos de un modelo, y un sistema de ese tamaño no cabe en un aparato doméstico.

La propia Anthropic se muestra prudente. Según las fuentes consultadas, la empresa reconoce que todavía no existe un replicador autónomo completo y que ningún modelo pequeño completa el ciclo de forma fiable en hardware real. Su estimación de que modelos de 30.000 millones de parámetros o menos podrían cruzar ese umbral a finales de 2026 es una proyección, no un hecho. Además, según Sify, un antiguo responsable de ciberseguridad del Reino Unido calificó el informe de exagerado.

Qué significa para ti

Si tienes un negocio con neveras industriales, climatización, control de accesos u otros equipos que se gestionan a distancia, este caso te afecta aunque no seas un supermercado. El riesgo no depende del tamaño de la empresa, sino de que un panel quede accesible desde internet con un software sin actualizar. Estas son las medidas más directas:

Haz inventario. Anota qué equipos del local se controlan por red: frío, calefacción, alarmas, cerraduras o cámaras.
Pregunta a tu empresa de mantenimiento. Pide que te confirme si los paneles de administración son accesibles desde internet y qué versión de firmware tienen.
Cierra el acceso público. Si un panel está expuesto, limita la entrada mediante una VPN, que es un túnel cifrado solo para usuarios autorizados, o con una lista blanca de direcciones IP permitidas.
Actualiza o sustituye. Si el fabricante ya no publica parches para un modelo, como ocurría con los equipos de Danfoss afectados, planifica su reemplazo.
Añade una alarma independiente. Un sensor de temperatura que no dependa del controlador conectado puede avisarte aunque ese controlador haya sido manipulado.

En resumen

El ciberataque a supermercados en Francia de la noche del 11 al 12 de octubre calentó neveras y congeladores de cientos de tiendas hasta 50 °C mediante el modo de desescarche de controladores Danfoss antiguos, sin actualizaciones y accesibles desde internet. Provocó pérdidas estimadas en decenas de millones de euros, algunos incendios y una investigación de la ANSSI, y su autor sigue sin identificarse. Detalles como la duración exacta del desescarche, la implicación de Monoprix o una relación con la inteligencia artificial no están confirmados por las fuentes disponibles.

Fuentes

Hermes vs OpenClaw: diferencias y riesgos de dos agentes de IA

Fecha: 2026-11-08 20:26:46
Autor: Alex Rubio

Hermes vs OpenClaw: diferencias y riesgos de dos agentes de IA

Hermes y OpenClaw son dos de los agentes de inteligencia artificial de código abierto más comentados de 2026, y la comparativa Hermes vs OpenClaw se ha convertido en una consulta habitual entre quienes quieren automatizar tareas desde su propio ordenador o servidor. Ambos se manejan desde aplicaciones de mensajería como Telegram o Discord y necesitan que el usuario conecte un modelo de IA externo para funcionar.

La elección, sin embargo, no depende solo de las funciones. OpenClaw ha acumulado en los últimos meses varios problemas de seguridad documentados, desde extensiones maliciosas en su tienda hasta vulnerabilidades graves ya corregidas. Hermes, publicado por Nous Research en febrero de 2026, se presenta como una alternativa más sencilla de instalar. Este artículo repasa qué se sabe de cada uno y qué afirmaciones sobre ellos se sostienen con datos.

Qué son Hermes y OpenClaw

Un agente de IA se diferencia de un chatbot en que no se limita a responder: ejecuta acciones, como buscar información, escribir archivos o enviar mensajes. Un chatbot puede explicar cómo reservar un vuelo; un agente intenta reservarlo. Hermes y OpenClaw pertenecen a esta categoría y, además, son programas autoalojados, es decir, se instalan en un equipo que controla el propio usuario, ya sea un servidor alquilado o un ordenador que se deja encendido en casa.

Ninguno de los dos trae inteligencia propia. Ambos necesitan conectarse a un modelo de lenguaje mediante una API, que es una conexión, normalmente de pago por uso, con el sistema que genera las respuestas. Según el repositorio oficial de Hermes, el usuario elige proveedor y modelo con un comando, y una guía de terceros publicada por Everpod indica que admite cualquier modelo, incluidos los que se ejecutan en local. En el caso de OpenClaw, TechRadar lo vincula al uso a través de plataformas de mensajería como Telegram y WhatsApp.

A esto se suma un detalle que genera confusión. Hermes Agent es un proyecto de Nous Research con licencia MIT, una licencia libre muy permisiva, pero «Hermes» es también el nombre de una familia de modelos de IA de la misma empresa. Según Everpod, Nous Research ha llegado a indicar que sus modelos Hermes 4 no están recomendados para usarse dentro de Hermes Agent. OpenClaw, por su parte, ha cambiado de nombre varias veces: según TechRadar, empezó como Clawdbot, pasó a llamarse Moltbot y terminó como OpenClaw.

Instalación y funciones de cada agente

De acuerdo con su web oficial, Hermes se instala con una sola línea de comandos, y el repositorio ofrece otra equivalente para Windows. La herramienta incluye además un comando específico para migrar desde OpenClaw, lo que muestra que el proyecto aspira a atraer a usuarios del otro agente. Su web anuncia la versión 0.23.0, una señal de desarrollo activo pocos meses después del lanzamiento, que según el seguimiento independiente del proyecto se produjo el 25 de febrero de 2026.

La función más llamativa de Hermes es lo que su web oficial describe como un bucle de aprendizaje integrado: el agente crea skills a partir de la experiencia. Un skill es una carpeta con instrucciones y pequeños programas que el agente consulta para realizar una tarea concreta, algo parecido a una receta que sigue cuando la necesita. Un sitio informativo no oficial añade que Hermes mejora esos skills con el uso. Por eso el usuario no tendría que repetir las mismas indicaciones una y otra vez, aunque no hemos encontrado documentación que detalle cómo decide el agente cuándo crear uno nuevo.

Hermes dispone también de una aplicación de escritorio. Según la documentación oficial, hay instaladores para macOS y Windows, y en Linux se instala desde la terminal. OpenClaw, en cambio, presentó a finales de junio de 2026 sus aplicaciones móviles, que según TechRadar y 9to5Google recibieron reseñas mayoritariamente negativas en su lanzamiento, con críticas centradas en la interfaz.

Los problemas de seguridad de OpenClaw

El punto más delicado de OpenClaw es ClawHub, su tienda de skills. Según un análisis de eSecurityPlanet, está abierta por defecto y permite que cualquiera publique extensiones. Sin una revisión previa, funciona como una tienda de aplicaciones sin control de calidad, y eso la expone a ataques a la cadena de suministro: en lugar de atacar a cada usuario, se contamina un componente que muchos instalan, igual que se podría adulterar un ingrediente en el proveedor de un restaurante.

Las auditorías publicadas confirman el problema, aunque con cifras distintas. Según The Hacker News y SC Media, una revisión de 2.857 skills encontró 341 maliciosos, 335 de ellos aparentemente ligados a la misma campaña. Otro investigador, citado por Paubox, identificó 386 skills maliciosos entre el 1 y el 3 de febrero de 2026. De acuerdo con estos análisis, el objetivo era robar claves de acceso a plataformas de criptomonedas, claves privadas de monederos, credenciales de acceso a servidores y contraseñas guardadas en el navegador. No hemos encontrado datos sobre el número real de víctimas. TechRadar añade que los skills de terceros de OpenClaw no se ejecutan en un entorno aislado, lo que agrava el riesgo.

El proyecto ha reaccionado. Según The Hacker News, todos los skills publicados en ClawHub pasan ahora por el análisis de VirusTotal, un servicio que comprueba archivos con decenas de motores antivirus, aunque el propio proyecto advierte de que no es una solución definitiva. Según Unit 42, la unidad de investigación de Palo Alto Networks, ClawHub anunció el 1 de junio una colaboración con NVIDIA para revisar los skills publicados. Aun así, el mismo análisis detectó skills maliciosos persistentes y difíciles de detectar entre febrero y mayo de 2026.

A ello se suman vulnerabilidades en el propio programa. Cada fallo de seguridad público recibe un identificador llamado CVE y una puntuación de gravedad, CVSS, que va de 0 a 10. Según Broadcom, la vulnerabilidad CVE-2026-25253 tiene una puntuación de 8,8, permite ejecutar órdenes en el equipo desde fuera y está corregida desde la versión 2026.1.30. Según ARMO, la CVE-2026-32922 alcanza un 9,9 y está corregida desde la versión 2026.3.11. Más recientemente, Cyera y Rescana describieron una cadena de cuatro fallos encadenables, conocida como Claw Chain, que se corrige en la versión 2026.4.22 y posteriores.

Hermes vs OpenClaw: lo que se dice y lo que dicen los datos

Alrededor de ambos agentes circulan afirmaciones muy repetidas. Esta tabla las contrasta con la información disponible.

Afirmación	Veredicto	Explicación
Hermes se instala con un solo comando.	Cierto	La web oficial muestra una única línea de instalación, y el repositorio incluye otra para Windows.
Hermes trae de serie búsqueda en internet, generación de imágenes y mensajes de voz.	Incompleto	Según Everpod, la búsqueda web y la generación de imágenes son herramientas alojadas en Nous Portal, la plataforma de pago del fabricante. No hemos encontrado ninguna fuente que confirme los mensajes de voz.
Hermes crea sus propios skills con el uso.	Cierto	La web oficial habla de un bucle de aprendizaje que crea skills a partir de la experiencia. Que detecte cuándo repites una tarea no está documentado.
Hermes revisa todos los skills y solo ofrece los que ha probado.	Sin confirmar	No hemos encontrado ninguna fuente que describa un proceso de revisión de skills en Hermes.
Hermes ofrece más entornos aislados que OpenClaw, que solo tiene Docker.	Sin confirmar	No hemos encontrado una lista oficial de los entornos de Hermes. Además, el análisis de seguridad sobre Claw Chain menciona un entorno aislado gestionado de OpenClaw llamado OpenShell, lo que contradice que solo ofrezca Docker.
En ClawHub se han encontrado más de 1.000 skills maliciosos.	Sin confirmar	Las auditorías concretas hablan de 341 y 386. Trend Micro menciona más de 2.200 skills maliciosos en GitHub, sin precisar su alcance. La cifra de 1.000 no aparece como tal.
Esos skills robaban credenciales y monederos de criptomonedas.	Cierto	Los investigadores describen campañas diseñadas para robar claves de plataformas de criptomonedas, monederos, credenciales y contraseñas.
OpenClaw acumula más de 500 CVE este año.	Sin confirmar	Un recuento de finales de abril citaba 5 CVE formales y 137 avisos de seguridad; otro análisis habla de 138. Ninguna fuente consultada se acerca a 500.
La app de Android de OpenClaw tiene 2,2 estrellas.	Incompleto	Fue su nota en el lanzamiento, según 9to5Google. La ficha de Google Play consultada muestra 2,4 estrellas con 314 reseñas, un dato que puede seguir cambiando.
La app de OpenClaw parece hecha con IA y no gustó a casi nadie.	Exagerado	Las críticas iniciales fueron negativas, pero no hemos encontrado ninguna fuente que afirme que esté hecha con IA.

Qué significa para ti

Si estás pensando en instalar uno de estos agentes, conviene tener presente que no son simples chats: pueden leer archivos, ejecutar órdenes y acceder a tus cuentas. Por eso, la seguridad pesa tanto como las funciones. Que Hermes no haya protagonizado incidentes en las fuentes consultadas no equivale a una garantía, y la recomendación de elegir uno u otro depende sobre todo de tus necesidades y de cuánto control quieras mantener.

Mantén el agente actualizado. Si usas OpenClaw, comprueba que tienes al menos la versión 2026.4.22, que corrige los fallos más recientes citados.
Instala skills con cautela. Revisa quién los publica y desconfía de nombres casi idénticos a los oficiales, una técnica conocida como typosquatting.
Descarga solo de dominios oficiales. Existen webs con el nombre de Hermes que se declaran no afiliadas a Nous Research.
Aísla el agente. Ejecútalo en un equipo o entorno separado, sin acceso a monederos de criptomonedas ni a contraseñas importantes.
Controla el gasto. Ambos dependen de una API de IA de pago por uso y, en el caso de Hermes, algunas herramientas se apoyan en un servicio de pago.

En resumen

Hermes y OpenClaw son agentes de IA autoalojados que se manejan desde apps de mensajería y necesitan un modelo externo. Hermes destaca por su instalación sencilla, su sistema para crear skills con la experiencia y su desarrollo activo, aunque parte de sus funciones dependen de una plataforma de pago. OpenClaw ha sufrido campañas de skills maliciosos en ClawHub y vulnerabilidades graves que ya están corregidas, y ha reforzado sus controles. Algunas cifras que circulan, como los más de 1.000 skills maliciosos o los más de 500 CVE, no aparecen en las fuentes consultadas.

Fuentes

Cómo funcionan los modelos de lenguaje: predecir la siguiente palabra

Fecha: 2026-11-08 12:50:59
Autor: Alex Rubio

Cómo funcionan los modelos de lenguaje: predecir la siguiente palabra

Los chatbots que redactan correos, resumen documentos o responden dudas se apoyan en modelos de lenguaje grandes, sistemas que funcionan con un principio más sencillo de lo que parece: calcular cuál es el trozo de texto más probable a continuación y repetir esa operación una y otra vez. Tanto la literatura académica como los materiales divulgativos consultados por SeoXan coinciden en que la predicción de la siguiente pieza de texto es la operación básica de todos estos sistemas.

Entender este mecanismo tiene consecuencias prácticas. Explica por qué un asistente puede responder con total seguridad y, aun así, equivocarse, y por qué los equipos que construyen estos modelos no pueden señalar con precisión qué hace cada una de sus piezas internas. Sobre el tema circulan, además, varias simplificaciones que conviene matizar con datos.

Del texto a los números: tokens y vectores

Lo primero que hace un modelo de lenguaje con una frase es trocearla en tokens, fragmentos de texto que pueden ser una palabra entera o solo una parte. Una palabra larga como «desarrollador» puede quedar dividida en varios trozos, de forma parecida a como alguien lee por sílabas. Según explican las guías divulgativas de ai-tldr y apxml, cada token se convierte después en un identificador numérico y, a continuación, en un vector.

Un vector, también llamado embedding, es una lista de números que representa el significado del token. La comparación más útil es la de una dirección en un mapa: los conceptos afines quedan cerca unos de otros y los que no tienen relación quedan lejos. Se trata de una ilustración y no de una medida exacta, pero recoge la idea de fondo: el modelo no trabaja con letras, sino con posiciones en un espacio de números.

Esos vectores atraviesan después muchas capas de operaciones matemáticas, sobre todo multiplicaciones y sumas. Cada capa transforma la información que recibe de la anterior y tiene en cuenta el contexto completo de la frase. Al final del recorrido, el modelo produce una lista con una probabilidad para cada token de su vocabulario.

Cómo escriben los modelos de lenguaje, token a token

Con esa lista de probabilidades, el modelo elige un token, lo añade al texto y vuelve a ejecutar todo el proceso con la frase ya ampliada. El ciclo se repite hasta que se cumple una condición de parada, por ejemplo la aparición de un token que marca el final de la respuesta. Así lo describen las fuentes divulgativas de Taskade y apxml, y es también el punto de partida del estudio de Hangfeng He y otros investigadores, publicado en arXiv, sobre la predicción del siguiente token.

Un ejemplo ayuda a verlo. Si el texto es «el cielo es», la palabra «azul» tendrá una probabilidad mucho más alta que «mesa». Los porcentajes concretos dependen de cada modelo, pero el principio es ese: el sistema no consulta una respuesta guardada, sino que calcula qué continuación encaja mejor con todo lo anterior.

De ahí se deriva una de sus limitaciones más conocidas. Como el modelo elige lo probable y no lo comprobado, puede producir un dato falso con el mismo tono que uno verdadero. Es lo que se conoce como alucinación: una respuesta correcta en la forma, pero equivocada en el fondo.

Parámetros aprendidos con enormes cantidades de texto

Lo que determina esas probabilidades son los parámetros, valores numéricos que el modelo ajusta durante el entrenamiento. Pueden imaginarse como los botones de una mesa de mezclas: cada uno influye poco en el sonido final, pero juntos lo definen. Las fuentes consultadas, entre ellas la guía de Google sobre tamaños de modelos publicada en web.dev, muestran que el número de parámetros varía muchísimo de un modelo a otro y puede ir de cientos de miles a billones.

Como referencia, la cifra más difundida para GPT-3 es de 175.000 millones de parámetros. Para los modelos más recientes, sin embargo, los laboratorios no siempre publican el tamaño. Circulan estimaciones de más de un billón de parámetros, como recoge el blog técnico de Pieces, pero son cifras no publicadas oficialmente y deben tomarse como rumores.

Cómo se ajustan esos números

El entrenamiento consiste en mostrar al modelo fragmentos de texto y pedirle que prediga el siguiente token a partir de todo lo anterior. El sistema compara su predicción con el token real, mide el error y desplaza ligeramente los parámetros en la dirección que lo reduce. Este método, llamado descenso de gradiente, se parece a bajar a un valle caminando siempre hacia donde el terreno desciende. Según explica el desarrollador Giles Thomas en su serie sobre cómo construir un modelo desde cero, ese ajuste suele calcularse con el error medio de un lote de ejemplos, no después de cada fallo aislado.

A esto se suma la escala. Según las fuentes divulgativas consultadas, los conjuntos de entrenamiento van de cientos de miles de millones a billones de tokens. Nadie programa reglas gramaticales: la gramática, muchos datos del mundo e incluso patrones de código se aprenden de forma implícita, porque predecir bien el texto lo exige.

Una caja negra que se intenta abrir

El resultado es un sistema que funciona, pero cuyo interior es difícil de explicar. La revisión sobre redes neuronales interpretables publicada en Frontiers in Artificial Intelligence en 2023 describe estos modelos como cajas negras, y la Cloud Security Alliance señala que no está claro cómo los vectores de entrada se transforman capa a capa hasta producir la predicción. Para responder a esa pregunta existe la interpretabilidad mecanicista, un campo de investigación activo que intenta averiguar qué función cumple cada parte de un modelo.

Lo que se dice de los modelos de lenguaje y lo que dicen los datos

Sobre el funcionamiento de estos sistemas se repiten varias frases que resumen bien la idea general, aunque algunas simplifican demasiado. Esta tabla las contrasta con la información disponible.

Afirmación	Veredicto	Explicación
«La IA no busca la respuesta, adivina la siguiente palabra»	Incompleto	El núcleo es correcto: predecir el siguiente token es la operación básica. Pero algunos asistentes se conectan también a buscadores, y no hemos encontrado fuentes fiables que detallen cómo combinan búsqueda y generación.
«Dentro no hay reglas ni frases guardadas, solo números»	Incompleto	Lo aprendido se almacena en parámetros numéricos, pero la arquitectura que los organiza la diseñan personas. No hemos podido verificar que el código sea siempre «la parte pequeña».
«Tiene miles de millones de números»	Cierto, con matices	Es correcto en orden de magnitud, con GPT-3 en 175.000 millones según la cifra más difundida. Hay modelos mucho más pequeños y otros cuyo tamaño no se publica.
«Las palabras parecidas quedan cerca»	Cierto (simplificado)	Los vectores sitúan los significados afines próximos entre sí. Los ejemplos concretos que suelen usarse son ilustrativos.
«Esos números no los escribió nadie»	Exagerado	Nadie fija los valores a mano, pero personas diseñan la arquitectura, eligen los datos y definen el proceso de entrenamiento.
«Se entrena tapando la última palabra para que la adivine»	Incompleto	Los modelos de tipo GPT predicen el siguiente token a partir de toda la secuencia anterior. Ocultar palabras en mitad de la frase corresponde a otra técnica de entrenamiento distinta.
«Cada vez que falla, todos los números se mueven un poco»	Incompleto	La idea es correcta, pero el ajuste suele calcularse con el error medio de un lote de ejemplos, no tras cada fallo individual.
«Nadie le enseña gramática»	Incompleto	La gramática se aprende de forma implícita, pero asistentes como los basados en GPT pasan después por un ajuste con retroalimentación humana.
«Ni sus creadores saben qué hace cada número»	Cierto, con matiz	Las fuentes académicas describen estos modelos como cajas negras. Aun así, la interpretabilidad es un campo de investigación activo que intenta reducir ese desconocimiento.
«Al principio responde al azar» y «se entrena durante meses»	Sin confirmar	Las fuentes consultadas hablan de un conjunto inicial de parámetros, pero no precisan cómo se generan ni cuánto dura el entrenamiento de cada modelo.
«La IA piensa» o «la IA no piensa»	Sin confirmar	Las fuentes describen operaciones matemáticas. Si eso equivale o no a pensar es un debate que ninguna de ellas resuelve.

Qué significa para ti

Saber que un chatbot genera cada frase por probabilidad cambia la forma de usarlo. Es una herramienta muy útil para redactar, resumir, traducir o generar ideas, pero su seguridad al responder no garantiza que la respuesta sea correcta. Por eso conviene tratar sus textos como un borrador de calidad y no como una fuente verificada.

Comprueba cifras, fechas, nombres y citas en una fuente original antes de publicarlos o tomar decisiones con ellos.
Da contexto en tus peticiones: cuanta más información relevante incluyas, más se ajustará la respuesta a lo que necesitas.
Desconfía de las referencias bibliográficas o los enlaces que el asistente aporte sin que puedas abrirlos y revisarlos.
Si usas estas herramientas en tu empresa, establece una revisión humana para cualquier contenido que llegue a clientes.
No introduzcas datos personales o confidenciales en servicios cuyas condiciones de uso no conozcas.

En resumen

Los modelos de lenguaje convierten el texto en tokens y vectores, lo procesan en muchas capas de operaciones matemáticas y calculan la probabilidad de cada posible continuación, que añaden a la frase antes de repetir el ciclo. Sus parámetros se ajustan durante el entrenamiento a partir de enormes cantidades de texto, sin reglas gramaticales escritas a mano, aunque con decisiones humanas en el diseño y en el ajuste posterior. Ese método explica tanto su fluidez como sus errores plausibles, y el funcionamiento interno de cada parámetro sigue siendo, en gran medida, objeto de investigación.

Fuentes

DeepSeek V4.1 Flash 1017: mejora en agentes sin subir el precio

Fecha: 2026-11-08 08:41:47
Autor: Alex Rubio

DeepSeek V4.1 Flash 1017: mejora en agentes sin subir el precio

DeepSeek, la empresa china de inteligencia artificial con sede en Hangzhou, publicó el sábado 17 de octubre de 2026 una actualización de su modelo ligero DeepSeek V4.1 Flash. La nueva versión se llama DeepSeek-V4.1-Flash-1017 y, según la propia compañía, mejora en tareas de agentes, es decir, en trabajos de varios pasos como programar o manejar un ordenador. De acuerdo con su registro oficial de cambios, el precio de uso no ha variado.

La actualización llegó acompañada de dos herramientas nuevas, Search y Fetch, pensadas para que los agentes de IA busquen información y lean páginas web. El interés para empresas y desarrolladores es claro, porque promete más rendimiento por el mismo dinero. Sin embargo, las cifras de mejora las ha publicado la propia DeepSeek, algunas comparaciones se hicieron en condiciones distintas y el periodo gratuito de las herramientas de búsqueda ya ha terminado.

Qué ha cambiado en DeepSeek V4.1 Flash con la versión 1017

DeepSeek describe la novedad como una actualización menor del modelo, según su ficha en Hugging Face, la plataforma donde se publican muchos modelos de IA. Sustituye a la versión V4.1-Flash original, que el registro oficial de cambios fecha el 10 de septiembre de 2026. Flash es la variante reducida y más económica de la familia V4.1, pensada para responder rápido y con menos recursos.

El cambio más visible para el usuario es que no tiene que hacer nada. Según el registro de cambios de la API de DeepSeek, la web y la aplicación oficiales ya usan la nueva versión. Quienes acceden mediante la API, que es la vía por la que un programa se conecta al servicio de forma automática, la reciben a través del nombre genérico deepseek-flash, con el mismo método de llamada y el mismo precio.

A esto se suma un cambio en la forma de trabajar del modelo. DeepSeek afirma que la nueva versión reduce el tiempo de ejecución de las tareas y la longitud de sus respuestas, lo que permite terminar antes y con menos coste. La empresa lo presenta como una mejora en la relación entre rendimiento y coste, que denomina mejora de Pareto: más rendimiento sin pagar más.

Por último, la compañía recomienda actualizar su propio entorno de trabajo, DeepSeek Harness, a la versión 0.2.1-rc.1 o posterior para aprovechar el nuevo modelo. Un harness, o entorno de ejecución, es el programa que envuelve al modelo y le da herramientas e instrucciones para trabajar: permite, por ejemplo, que lea archivos, ejecute órdenes o consulte internet.

Las cifras de rendimiento de DeepSeek V4.1 Flash y sus matices

Qué miden las pruebas

Para comparar modelos de IA se usan benchmarks, pruebas estandarizadas parecidas a un examen práctico de conducir con un circuito fijo. Sirven para comparar a distintos aspirantes en las mismas condiciones, pero no predicen cómo se comportará cada uno en todas las situaciones reales.

DeepSeek ha destacado dos pruebas. DeepSWE plantea problemas de programación en proyectos reales y mide si el modelo es capaz de corregir el código. Terminal-Bench, por su parte, evalúa a agentes que trabajan desde la terminal, la consola de texto del ordenador donde se crean archivos y se ejecutan órdenes.

Los resultados publicados

Según la ficha del modelo en Hugging Face, la nueva versión obtiene 77,0 puntos en DeepSWE. El informe técnico de V4.1-Flash publicado en arXiv atribuía 74,2 a la versión anterior. En Terminal-Bench 4.0, de acuerdo con la información difundida por la empresa y recogida por medios como The Decoder, el modelo pasa de 31,2 a 42,3 puntos.

Conviene subrayar que son datos facilitados por la propia DeepSeek. No hemos encontrado una verificación independiente de estas cifras. Además, el modelo no encabeza todas las clasificaciones: según el análisis de Xenospectrum, Claude Opus 5 sigue ocupando el primer puesto en Terminal-Bench 4.0.

Por qué el entorno cambia la comparación

El resultado de un modelo depende en parte del harness con el que se mide, igual que un mismo cocinero puede obtener platos distintos en cocinas diferentes. Por eso es relevante saber en qué condiciones se hizo cada prueba.

En Terminal-Bench, la ficha de la versión anterior indica que la evaluación se hizo principalmente con DeepSeek Harness, mientras que las notas de la nueva versión especifican Claude Code, la herramienta de programación de Anthropic. La subida de 31,2 a 42,3 puntos, por tanto, no compara exactamente lo mismo. En DeepSWE, la nueva cifra se obtuvo con un entorno llamado Mini-SWE-V2, pero no hemos encontrado fuentes que confirmen qué entorno se usó para la versión anterior.

Search y Fetch: búsqueda en internet para agentes

El mismo 17 de octubre, DeepSeek abrió su motor de búsqueda interno a través de dos interfaces, según anunció la empresa en su cuenta oficial de X. Search devuelve resultados de la web ordenados y estructurados, de forma que un programa pueda procesarlos. Fetch, en cambio, descarga una única página a partir de su dirección y la entrega en Markdown, un formato de texto sencillo y fácil de leer para una IA.

En cuanto al precio, The Decoder informa de un coste de 0,75 dólares por cada 1.000 llamadas. Según fuentes secundarias como Apidog, las llamadas hechas desde las herramientas integradas en DeepSeek Harness, Claude Code y Codex eran gratuitas para los usuarios de la API, y la facturación estaba fijada para el 31 de octubre de 2026 a las 16:00 UTC. A fecha de hoy, ese plazo ya ha vencido, aunque no hemos podido confirmar de forma independiente cómo se está aplicando el cobro.

Esas mismas fuentes secundarias señalan que estas herramientas pueden usarse desde Claude Code, Codex o el harness de DeepSeek a través de la dirección estándar de la API. No lo hemos encontrado confirmado en la documentación oficial consultada, por lo que conviene revisarla antes de configurarlo.

Lo que se dice de DeepSeek V4.1 Flash y lo que dicen los datos

Afirmación que circula	Veredicto	Explicación
Ha mejorado sin subir el precio.	Cierto	El registro oficial de cambios indica que el precio y la forma de llamada no cambian.
Quien ya lo usaba tiene la nueva versión sin hacer nada.	Cierto, con matiz	La web y la app se actualizaron solas; en la API se recibe mediante el nombre deepseek-flash.
Rinde mucho mejor en tareas de agentes.	Sin verificación independiente	Las cifras proceden de la propia DeepSeek.
Pasa de 74 a 77 en DeepSWE y de 31 a 42 en Terminal-Bench 4.0.	Cierto (redondeado)	Las cifras exactas son 74,2 a 77,0 y 31,2 a 42,3.
Las mediciones no son comparables porque la nueva usó Claude Code y la anterior la herramienta propia.	Incompleto	Es correcto para Terminal-Bench; en DeepSWE la nueva cifra usó Mini-SWE-V2 y se desconoce el entorno de la anterior.
Search y Fetch son gratis hasta el 31 de octubre.	Incompleto y caducado	La gratuidad se limitaba a llamadas desde ciertas herramientas; fuera de ellas cuestan 0,75 dólares por 1.000 llamadas. El plazo ya ha pasado.
Se puede usar desde Claude Code o Codex con una clave de API.	Sin confirmar	Lo afirman fuentes secundarias; no lo hemos visto en la documentación oficial consultada.
Ahora escribe menos código para resolver la misma tarea.	Incompleto	DeepSeek habla de respuestas más cortas y menos tiempo de ejecución, no específicamente de menos código.
Cada tarea sale más barata.	Sin confirmar	Es una deducción lógica, pero no hay una comparación oficial del coste por tarea con la versión anterior.
No es el mejor modelo, pero es de los más baratos.	Cierto en parte	En Terminal-Bench 4.0 lo supera Claude Opus 5, según Xenospectrum; no hemos encontrado una comparativa oficial de precios que confirme lo segundo.
La IA más barata casi siempre es la peor.	Sin confirmar	Es una generalización sin datos que la respalden.

El punto del coste merece una aclaración. Los servicios de IA cobran por tokens, fragmentos de texto que equivalen a una palabra o parte de ella; mil palabras suponen, aproximadamente, unos 1.300 tokens. Si el precio por token se mantiene y las respuestas son más cortas, lo razonable es esperar un gasto menor por tarea, pero esa conclusión es un análisis, no un dato publicado.

Qué significa para ti

Si usas DeepSeek desde la web o la app, ya trabajas con la nueva versión y no tienes que cambiar nada. Si lo integras en tus programas mediante la API, conviene que compruebes que llamas al modelo con el nombre deepseek-flash y que revises tus consumos durante unas semanas para ver si el gasto real baja.

Haz tus propias pruebas. Las cifras son de la empresa y dependen del entorno; prueba el modelo con tareas reales de tu negocio antes de cambiar de proveedor.
Revisa la facturación de Search y Fetch. El periodo gratuito anunciado terminó el 31 de octubre; consulta la documentación oficial para saber qué llamadas se cobran ahora.
Actualiza el harness si lo usas. DeepSeek recomienda la versión 0.2.1-rc.1 o posterior de su entorno para este modelo.
Verifica la integración con otras herramientas. Antes de conectarlo a Claude Code o Codex, confirma en la documentación oficial cómo hacerlo y qué se factura.
Protege tu clave de API. Es el código que autoriza el uso de un servicio de pago; no la compartas ni la dejes en código público.

En resumen

DeepSeek publicó el 17 de octubre de 2026 la versión 1017 de DeepSeek V4.1 Flash, una actualización menor que, según la empresa, mejora en tareas de agentes, acorta las respuestas y mantiene el precio. Las subidas en DeepSWE, de 74,2 a 77,0, y en Terminal-Bench 4.0, de 31,2 a 42,3, son datos propios de la compañía y, al menos en Terminal-Bench, se midieron con entornos distintos. Las nuevas herramientas Search y Fetch cuestan 0,75 dólares por 1.000 llamadas, y su gratuidad en determinadas herramientas estaba fijada hasta el 31 de octubre. Que cada tarea salga más barata es una expectativa razonable, pero todavía no está demostrada con datos oficiales.

Fuentes

Microsoft ofrece la salida voluntaria a 60.000 empleados: qué se sabe

Fecha: 2026-11-07 19:22:22
Autor: Alex Rubio

Microsoft ofrece la salida voluntaria a 60.000 empleados: qué se sabe

Microsoft ha ofrecido una salida voluntaria con indemnización a unas 60.000 personas de su plantilla, según han informado CNBC, Deadline y Axios. La compañía lo anunció el 26 de octubre de 2026, y la oferta está abierta a empleados seleccionados de Estados Unidos, Reino Unido, Canadá e India. Los elegibles tienen hasta principios de diciembre para decidir, y quienes la acepten dejarán la empresa a final de año, de acuerdo con Deadline.

La cifra equivale aproximadamente a una de cada cuatro personas que trabajan en Microsoft. Llega, además, en un año marcado por los recortes en las grandes tecnológicas y por el fuerte gasto en inteligencia artificial. Por eso la salida voluntaria de Microsoft se ha convertido en uno de los asuntos laborales más comentados del sector, y también en uno de los que más afirmaciones imprecisas acumula. Este artículo explica qué está comprobado, qué no y qué conviene matizar.

Qué ofrece la salida voluntaria de Microsoft y a quién va dirigida

Una oferta de salida voluntaria, que Microsoft denomina internamente voluntary exit offer, es una propuesta para que el empleado deje la empresa a cambio de una indemnización, es decir, una cantidad de dinero pactada. La diferencia con un despido es que la decisión corresponde al trabajador: puede aceptarla o rechazarla y seguir en su puesto. Las informaciones publicadas describen un paquete de indemnización estándar, aunque no hemos encontrado detalles sobre su cuantía.

En cuanto al alcance, Computerworld y Fortune sitúan a los elegibles en torno al 27 % de la plantilla, que es el número total de personas empleadas por la empresa. Otros medios hablan de «aproximadamente una cuarta parte». Los números cuadran: Fortune cifra la plantilla de Microsoft en 223.000 personas a 30 de junio, y 60.000 sobre ese total da un 26,9 %, según un cálculo propio.

Más difícil es precisar el nivel profesional de los afectados. Microsoft clasifica sus puestos en una escala interna de niveles numéricos, y un número de esa escala no equivale a un cargo concreto. Algunas fuentes indican que la oferta se dirige al nivel 70 e inferiores, otras hablan de vicepresidentes y niveles inferiores, y GeekWire señala que incluye a algunos ejecutivos. Con esos datos, la medida no puede describirse como dirigida solo a perfiles de nivel medio o bajo.

Qué equipos están incluidos

Microsoft no ha publicado una lista oficial de departamentos, y su dirección se ha limitado a decir que algunas organizaciones ofrecen la salida voluntaria y otras no. Reuters, en una información recogida por Fortune y Computerworld y basada en una persona cercana al asunto, informó de que la oferta cubre a empleados de experiencias de IA, Copilot (el asistente de inteligencia artificial de la compañía), finanzas, recursos humanos, Xbox y la división Windows + Devices. Según las informaciones publicadas, quedan fuera áreas como marketing, el negocio comercial, ventas, centros de datos y algunos equipos de seguridad.

Por qué ahora: el coste de la inteligencia artificial

La explicación oficial de Microsoft se centra en las personas. Según recogen CNBC, GeekWire y KUOW, la dirección afirma que la oferta busca «crear mayor flexibilidad» y dar a los empleados más opciones para decidir su siguiente paso profesional. La compañía sostiene, además, que la medida no indica que necesite menos trabajadores, y un portavoz aseguró que la inteligencia artificial no es lo que impulsa estos programas.

Sin embargo, parte de la prensa conecta la decisión con el coste de la IA. Deadline vincula las salidas al gasto en inteligencia artificial y centros de datos, y Axios, citando a CNBC, recuerda que la empresa está invirtiendo grandes sumas en estas instalaciones para sostener el auge de la IA, lo que tensiona sus finanzas. Ese tipo de desembolso, conocido como gasto de capital, sirve para comprar chips, servidores y edificios, y no se recupera en un solo año. Las dos versiones no coinciden, y por ahora no hay ningún documento público que permita determinar cuál pesa más.

Un año de recortes en Microsoft y en el sector

La oferta de octubre no es la primera de 2026. El 23 de abril, según CNBC, Microsoft anunció su primer programa de bajas voluntarias para empleados de Estados Unidos. Era un plan de jubilación voluntaria al que podían acogerse quienes sumaran 70 o más entre edad y años en la empresa. Alcanzó a unas 8.700 personas, en torno al 7 % de la plantilla estadounidense, y Microsoft estimó un coste puntual de unos 900 millones de dólares. De acuerdo con Deadline, alrededor del 30 % de los elegibles lo aceptó.

A esto se suman los despidos directos. En julio, la empresa eliminó otros 4.800 puestos, cerca del 2 % de su plantilla global, y Asha Sharma, responsable de Xbox, ha comunicado que la división recortará 3.200 puestos hasta el año fiscal 2027, según Yahoo Tech. Para la nueva oferta, Microsoft espera una aceptación muy inferior a la de abril: un portavoz citado por Fortune explicó que en programas similares suele situarse entre el 3 % y el 5 %. Aplicado a 60.000 elegibles, eso supondría entre 1.800 y 3.000 salidas, aunque se trata de un cálculo orientativo propio, no de una previsión de la empresa.

Microsoft no es un caso aislado. El mismo 23 de abril, Meta anunció que reduciría su plantilla un 10 %, unas 8.000 personas, con recortes a partir del 20 de mayo y la cancelación de 6.000 vacantes abiertas, según CNBC y NPR. El memorando interno de Meta hablaba de gestionar la empresa con más eficiencia y de compensar otras inversiones, mientras que Bloomberg lo presentó como un intento de equilibrar su enorme gasto en IA.

Medir el conjunto del sector es más complicado. Los rastreadores de despidos son webs que suman los recortes anunciados por las empresas o publicados en prensa, y cada uno aplica su propio método. TrueUp contabiliza 204.893 personas afectadas en 2026 a 7 de noviembre, Layoffs.fyi registra 135.446 trabajadores en 334 empresas y otro rastreador eleva la cifra a 232.946 hasta el 6 de noviembre. No son estadísticas oficiales y no conviene compararlas como si midieran lo mismo.

La salida voluntaria de Microsoft: lo que se dice y lo que dicen los datos

Alrededor de esta oferta circulan varias ideas, algunas exactas y otras imprecisas. La siguiente tabla las contrasta con la información publicada hasta ahora.

Lo que se dice	Veredicto	Lo que dicen los datos
Microsoft ha pedido a 60.000 empleados que se marchen	Exagerado	Es una oferta que cada persona elegible puede aceptar o rechazar, no una orden de salida. El anuncio, del 26 de octubre, sí es reciente, según Deadline y Axios.
Afecta al 27 % de la plantilla, de nivel medio hacia abajo	Incompleto	El 27 % es correcto según Computerworld y Fortune. El nivel no lo es: las fuentes hablan del nivel 70 o inferior, de vicepresidentes e inferiores y de algunos ejecutivos, según GeekWire.
Incluye a equipos de Copilot, Xbox y Windows	Cierto	Lo publicó Reuters a partir de una fuente anónima. Microsoft no ha difundido una lista oficial de equipos.
Microsoft lo hace para dar flexibilidad a sus empleados	Incompleto	Es la explicación de la empresa, pero medios como Deadline la vinculan al coste de la IA y de los centros de datos.
Si no se marchan suficientes personas, habrá despidos	Sin confirmar	Ninguna fuente vincula la oferta a un número mínimo de salidas. Sí hay recortes ya anunciados, como los 3.200 puestos de Xbox.
Los empleados interpretan la oferta como un aviso	Sin confirmar	No hemos encontrado ninguna fuente que documente esa reacción en foros de empleados ni en otros espacios.
Meta despidió en abril al 10 % de su plantilla	Incompleto	Meta lo anunció el 23 de abril, con unas 8.000 personas afectadas, pero los recortes empezaban el 20 de mayo. No hemos encontrado datos sobre su ejecución completa.
Ese mismo día Microsoft lanzó su primer programa de salida voluntaria	Cierto	Se anunció el 23 de abril, aunque era un plan de jubilación voluntaria para Estados Unidos, distinto de la oferta actual.
Los despidos en tecnología superan los 195.000 en 2026	Incompleto	No hemos encontrado ninguna fuente con esa cifra exacta. Los rastreadores dan entre 135.446 y 232.946, según su método.
Salida voluntaria y despido son lo mismo con otro nombre	Exagerado	Hay diferencias reales: la salida es voluntaria e incluye indemnización, mientras que el despido es una decisión unilateral de la empresa. Que ambos tengan el mismo efecto sobre la plantilla no está demostrado.
Las empresas buscan menos tareas repetitivas y más perfiles de IA	Sin confirmar	Es una tendencia plausible, pero no hemos encontrado datos que la midan de forma concreta.

Qué significa para ti

Si no trabajas en Microsoft, la oferta no te afecta directamente. Tampoco afecta a quienes trabajan para la compañía en España, porque, según las informaciones publicadas, solo está disponible en Estados Unidos, Reino Unido, Canadá e India. Aun así, ayuda a entender cómo se están reorganizando las grandes tecnológicas, que reducen gasto en personal mientras dedican grandes sumas a centros de datos e inteligencia artificial.

Si trabajas en tecnología, conviene leer estas noticias con calma y separar lo comprobado de lo que solo circula como rumor. Estas pautas pueden ayudarte:

Distingue entre oferta y despido. Una salida voluntaria se puede rechazar y un despido no. Si alguna vez recibes una propuesta así, pide las condiciones por escrito y consulta con un asesor laboral antes de decidir.
Comprueba de dónde salen las cifras. Los recuentos de despidos varían en decenas de miles según quién los elabore, así que fíjate siempre en la fuente y en su método.
No tomes los rumores por hechos. La idea de que habrá despidos si no se marchan suficientes personas no está confirmada por ninguna fuente.
Formarte en IA es razonable, pero no es una garantía. No hay datos concluyentes sobre un cambio de perfiles, y los propios equipos de IA y Copilot figuran entre los incluidos en la oferta.

En resumen

Microsoft ha ofrecido una salida voluntaria con indemnización a unas 60.000 personas, cerca del 27 % de su plantilla, en Estados Unidos, Reino Unido, Canadá e India, con plazo hasta principios de diciembre. La empresa lo presenta como una medida de flexibilidad, mientras que parte de la prensa la relaciona con el coste de la inteligencia artificial y los centros de datos. Es la segunda oferta de este tipo en 2026, tras el plan de jubilación voluntaria de abril, y convive con despidos ya anunciados en Microsoft y en otras empresas como Meta. Las cifras globales de despidos en tecnología dependen del rastreador que se consulte, y afirmaciones como que habrá despidos forzosos si no se alcanzan suficientes salidas siguen sin confirmar.

Fuentes

Conectoma de la mosca: qué es cierto de su cerebro virtual

Fecha: 2026-11-07 19:08:17
Autor: Alex Rubio

Conectoma de la mosca: qué es cierto de su cerebro virtual

El conectoma de la mosca de la fruta, es decir, el mapa completo de las neuronas de su cerebro y de las conexiones entre ellas, es uno de los avances de neurociencia más comentados de los últimos años. Publicado en la revista Nature en octubre de 2024, recoge 139.255 neuronas y unos 54,5 millones de conexiones. A partir de ese mapa se han construido simulaciones por ordenador y, en paralelo, una mosca virtual con un cuerpo que obedece las leyes de la física.

La difusión del hallazgo ha venido acompañada de ideas que van más allá de lo que muestran los datos, como que existe una mosca «viva» dentro de un ordenador o que el siguiente paso inmediato es copiar un cerebro humano. Este artículo explica qué se ha conseguido de verdad, qué partes siguen sin confirmar y por qué este trabajo importa para entender cómo funciona un cerebro.

Qué es el conectoma de la mosca y cómo se ha construido

Un conectoma es el plano de cableado de un sistema nervioso. Puede compararse con un mapa de carreteras que indica qué ciudad está unida con cuál y por cuántas vías. En este caso, las ciudades son las neuronas y las carreteras son las sinapsis, los puntos en los que una neurona transmite su señal a otra, de forma parecida a un interruptor entre dos cables.

Según el artículo principal publicado en Nature por Dorkenwald y colaboradores, el mapa parte del cerebro de una hembra adulta de mosca de la fruta (Drosophila melanogaster), el insecto que suele rondar la fruta madura. Se trata de un órgano diminuto: el Instituto McGovern del MIT lo compara con el tamaño de una semilla de amapola. Pese a ello, de acuerdo con Science News, sus neuronas forman unos 54,5 millones de conexiones sinápticas.

Cortes finísimos, millones de imágenes e inteligencia artificial

El método combina microscopía electrónica e inteligencia artificial. Primero, el tejido se corta en láminas extremadamente finas y cada una se fotografía con un microscopio electrónico; según Nature, las imágenes corresponden a secciones de unos 40 nanómetros de grosor. El Instituto McGovern del MIT cifra el resultado en unos 21 millones de imágenes.

Después llega la segmentación, que consiste en que un programa identifique en cada imagen dónde empieza y dónde acaba cada neurona, algo parecido a colorear por zonas un rompecabezas enorme. Según el Instituto Nacional de Salud Mental de Estados Unidos (NIMH), la inteligencia artificial hizo esa primera segmentación y una comunidad de investigadores y voluntarios revisó y corrigió los errores a mano.

Esa revisión humana supuso unos 33 años-persona de trabajo, según la cronología del hito publicada por Center Consulting a partir del comunicado de Princeton. Un año-persona es la cantidad de trabajo que hace una persona durante un año: si 33 personas trabajan un año cada una, suman 33 años-persona. La misma fuente estima que, sin ayuda de la inteligencia artificial, la tarea habría requerido unos 50.000 años-persona. La revista Nature Reviews Neuroscience señala que el proyecto se completó en menos de cinco años.

Un mapa abierto a cualquier investigador

El trabajo se presentó el 2 de octubre de 2024 en un conjunto de nueve artículos en Nature, firmados por un consorcio liderado por la Universidad de Princeton. Según BrainFacts, los datos son abiertos, de modo que cualquier laboratorio puede consultarlos y usarlos. Conviene saber que algún medio secundario ha publicado la cifra de unas 125.000 neuronas, que no coincide con las 139.255 que recogen las fuentes primarias; la cifra de referencia es esta última.

Del mapa a la simulación: qué hace el cerebro virtual

Tener el mapa no equivale a tener un cerebro en funcionamiento. Por eso, el paso siguiente fue simularlo. Según Berkeley News, un equipo encabezado por Phil Shiu simuló el circuito completo del cerebro de la mosca en un ordenador portátil y predijo qué neuronas se activan ante estímulos de gusto y de tacto.

Sin embargo, esa simulación no reproduce la biología con todo detalle. Utiliza modelos simplificados de neurona, del tipo conocido como «integrate-and-fire»: cada neurona va acumulando señal y, cuando supera un umbral, «dispara» y avisa a las neuronas conectadas, igual que un cubo que se vacía de golpe al llenarse. Es una aproximación útil para estudiar el circuito, pero deja fuera muchos procesos químicos y eléctricos que ocurren en una neurona real.

Una mosca con cuerpo virtual y los siguientes pasos

En paralelo, el campus Janelia del Howard Hughes Medical Institute (HHMI) y Google DeepMind publicaron en Nature, en 2025, un modelo del cuerpo completo de la mosca en simulación física. Una simulación física es un cuerpo virtual que obedece leyes como el peso, el rozamiento o el movimiento de las articulaciones, como un videojuego muy preciso. Ese modelo, con sus seis patas, permite estudiar cómo camina y se mueve el insecto.

Ahora bien, según un análisis independiente publicado en Medium, ese cuerpo virtual no utiliza el conectoma completo como «cerebro» que lo controla. La unión entre mapa cerebral y cuerpo aparece en trabajos posteriores: un estudio llamado FlyGM, difundido en ResearchGate, y una demostración de la empresa Eon Systems. No hemos encontrado un artículo revisado por pares sobre esta última; su trabajo solo aparece descrito en medios y blogs.

Del insecto al ratón y, quizá, a la persona

El siguiente gran objetivo de la disciplina es el ratón. Según la Simons Foundation, su cerebro tiene unos 70 millones de neuronas, unas 500 veces más que el de la mosca. De momento, el proyecto MICrONS ha reconstruido un milímetro cúbico de corteza visual de ratón con unas 84.000 neuronas y más de 500 millones de sinapsis, según CNN y el artículo publicado en Nature. Un conectoma completo de ratón se considera una meta, pero no hemos encontrado ningún calendario oficial.

En cuanto al cerebro humano, no hemos encontrado ningún proyecto oficial para mapearlo por completo. Un trabajo publicado en arXiv sobre neurociencia aplicada a la seguridad de la IA indica que su coste sería enorme, lo que sitúa esa posibilidad lejos del corto plazo.

Lo que se dice sobre el conectoma de la mosca y lo que dicen los datos

Alrededor de este avance circulan varias afirmaciones. Esta tabla las contrasta con la información disponible.

Afirmación	Veredicto	Qué dicen los datos
Es el cerebro real de una mosca, copiado neurona a neurona.	Incompleto	El mapa procede de una mosca real y recoge 139.255 neuronas, según Nature. Pero la simulación emplea modelos simplificados, no una copia biológica completa.
El cerebro es más pequeño que la punta de un lápiz.	Sin confirmar	Las fuentes consultadas lo comparan con una semilla de amapola, no con la punta de un lápiz.
Se cortó en 7.000 láminas mil veces más finas que un pelo y las imágenes llenarían 100 portátiles.	Sin confirmar	Las fuentes hablan de secciones de unos 40 nanómetros y de unos 21 millones de imágenes. No hemos encontrado el número de cortes ni el volumen de datos en esos términos.
El mapa costó 33 años de trabajo.	Falso en la forma	Fueron unos 33 años-persona de revisión manual, no 33 años de calendario. El proyecto se completó en menos de cinco años.
Tiene casi 140.000 neuronas y unos 50 millones de conexiones.	Cierto	Son 139.255 neuronas y unos 54,5 millones de conexiones sinápticas.
La mosca virtual está conectada al mapa cerebral completo.	Incompleto	El modelo de Janelia y DeepMind no usa el conectoma como controlador. Esa conexión aparece en trabajos posteriores, uno de ellos sin revisión por pares.
Se frota las patas, se estira y bebe sin que nadie le haya enseñado.	Sin confirmar	Eon Systems afirma que su modelo recupera conductas como alimentarse o asearse sin aprendizaje, pero la misma fuente indica que los controladores se entrenaron para imitar conductas. No está claro qué se entrenó y qué no.
Hace lo que haría una mosca porque tiene su mismo cableado.	Exagerado	El cableado mapeado es real, pero el modelo es una simplificación. La propia Eon Systems presenta su trabajo como una plataforma de investigación.
La mosca vive dentro de un ordenador y no lo sabe.	Falso	Es una simulación, no un ser vivo. Ninguna fuente atribuye experiencia ni conciencia al modelo.
El ratón, con 500 veces más neuronas, es el siguiente.	Cierto, sin calendario	El ratón tiene unos 70 millones de neuronas. Su conectoma completo es un objetivo, sin fecha confirmada.
Después se hará lo mismo con el cerebro humano.	Sin confirmar	No hay ningún proyecto oficial conocido de conectoma humano completo y su coste se considera enorme.

Qué significa para ti

Este avance no tiene una aplicación directa en tu día a día, pero sí ayuda a entender hacia dónde va la investigación sobre el cerebro y el papel que juega la inteligencia artificial en la ciencia. Sin la segmentación automática, un mapa así habría requerido decenas de miles de años-persona; con ella, se completó en menos de cinco años. Además, al ser datos abiertos, laboratorios de todo el mundo pueden usarlos para estudiar cómo un circuito de neuronas produce un comportamiento.

Cuando leas noticias sobre «cerebros copiados» o «mentes en un ordenador», te pueden servir estas pautas:

Distingue mapa, simulación y mente. Un conectoma es un plano; una simulación es un modelo simplificado que funciona sobre ese plano; ninguno de los dos es un ser vivo ni tiene conciencia.
Fíjate en las unidades. No es lo mismo un año de trabajo que un año-persona, ni un milímetro cúbico de cerebro que un cerebro entero.
Comprueba si hay revisión por pares. Un artículo en una revista científica no tiene el mismo peso que una demostración difundida por una empresa.
Desconfía de los calendarios sin fuente. Hoy no existe una fecha oficial para mapear un cerebro de ratón completo, y menos uno humano.

En resumen

El conectoma de la mosca de la fruta es un logro real: un mapa abierto de 139.255 neuronas y unos 54,5 millones de conexiones, obtenido con microscopía electrónica, inteligencia artificial y unos 33 años-persona de revisión humana. Sobre él se han hecho simulaciones útiles con modelos simplificados, y existe un cuerpo virtual del insecto, aunque la unión entre ambos procede de trabajos posteriores, alguno sin revisión por pares. No hay una mosca viva dentro de un ordenador, el ratón es el siguiente objetivo sin calendario y no existe ningún proyecto oficial para mapear por completo un cerebro humano.

Fuentes

Partícula Oh-My-God: el rayo cósmico más energético registrado

Fecha: 2026-11-07 18:56:58
Autor: Alex Rubio

Partícula Oh-My-God: el rayo cósmico más energético registrado

La partícula Oh-My-God es el rayo cósmico de mayor energía que se ha registrado hasta hoy. La detectó el 15 de octubre de 1991 el experimento Fly's Eye, de la Universidad de Utah, instalado en el recinto militar de Dugway Proving Ground (Estados Unidos). Su energía se estimó en unos 51 julios, una cantidad pequeña en la vida cotidiana pero enorme para una sola partícula subatómica: equivale aproximadamente a la energía de una pelota de béisbol lanzada a unos 95 kilómetros por hora.

Más de tres décadas después, sigue sin saberse con certeza qué era exactamente ni de dónde procedía. Por eso continúa siendo un caso de referencia en astrofísica y un ejemplo muy citado en divulgación, donde a menudo se acompaña de comparaciones que conviene matizar. Este artículo explica qué está comprobado, qué se ha exagerado y qué cifras no se han podido confirmar.

Qué es un rayo cósmico y cómo se detectó la partícula Oh-My-God

Un rayo cósmico es una partícula de alta energía que viaja por el espacio y acaba llegando a la Tierra. Pese a su nombre, no tiene relación con los rayos de las tormentas. La gran mayoría tiene energías modestas: según Wikipedia, la mayor parte se sitúa entre 10 megaelectronvoltios y 10 gigaelectronvoltios. Los rayos cósmicos de energía ultraalta, como el de 1991, son muy poco frecuentes.

Estas partículas no se ven directamente. Cuando una de ellas entra en la atmósfera, choca contra un átomo del aire y genera nuevas partículas, que a su vez chocan con otros átomos. El proceso recuerda a la bola de billar que abre una partida y dispersa a las demás, solo que repetido muchas veces en cadena. A esta cascada se la conoce como lluvia de partículas y, como explicó la revista Science en 2000, provoca que el aire emita un tenue resplandor por fluorescencia.

Fly's Eye, cuyo nombre en inglés significa «ojo de mosca», estaba pensado precisamente para captar ese brillo. Según el texto divulgativo recogido por Fourmilab, se trataba de un conjunto de telescopios que vigilaban el cielo durante la noche. A partir de la intensidad y la forma del destello, los investigadores calcularon la energía de la partícula que lo había originado.

Cuánta energía llevaba y con qué se puede comparar

La estimación fue de (3,2 ± 0,9) × 10²⁰ electronvoltios, según recoge Wikipedia, lo que equivale a 51 ± 14 julios. El electronvoltio es una unidad de energía diminuta, pensada para medir lo que ocurre a escala atómica. Para hacerse una idea, 51 julios es más o menos la energía que consume una bombilla de 40 vatios durante algo más de un segundo. Además, el margen de error es amplio: la energía real pudo estar entre unos 37 y unos 65 julios.

Lo extraordinario, por tanto, no es la cantidad en sí, sino que esté concentrada en una sola partícula. De acuerdo con Wikipedia, esa energía era unos 40 millones de veces superior a la de los protones más energéticos producidos en cualquier acelerador terrestre. La misma fuente añade que, si la partícula chocara contra un protón en reposo, la colisión tendría unas 60 veces más energía que las colisiones máximas del Gran Colisionador de Hadrones del CERN, según datos de 2015.

Una energía así implica una velocidad muy próxima a la de la luz. Scientific American calcula que, suponiendo que fuera un protón, se movía al 99,9999999999999999999995 % de la velocidad de la luz. ZME Science lo ilustra con una carrera: si un rayo de luz y la partícula compitieran durante 200.000 años, la luz solo le sacaría alrededor de un centímetro de ventaja. Un cálculo propio con la energía estimada y la masa de un protón da una diferencia de ese mismo orden, de modo que la cifra es coherente, aunque depende del supuesto de que la partícula fuera un protón.

Un origen que sigue sin resolverse

Las dos grandes preguntas, qué era y de dónde venía, siguen abiertas. Scientific American subraya que los científicos aún no saben cómo llegó hasta aquí. Tampoco está confirmada su naturaleza exacta: se considera un núcleo atómico, posiblemente un protón, pero no hay certeza sobre su composición.

A esto se suma el llamado límite GZK, por las iniciales de los físicos Greisen, Zatsepin y Kuzmin. Es un límite teórico de unos 5 × 10¹⁹ electronvoltios, alrededor de 8 julios, para los protones que viajan desde otras galaxias. La partícula de 1991 lo superaba con claridad, y eso hace todavía más difícil explicar su procedencia.

Sin embargo, no es exacto decir que no exista ninguna explicación posible. Según el Instituto de Física británico (IOP Spark), los investigadores barajan varias hipótesis, como una zona especialmente caliente de una radiogalaxia, un estallido de rayos gamma o un agujero negro supermasivo. Además, según Wikipedia, en 2017 el análisis de doce años de datos del Observatorio Pierre Auger apoyó que los rayos cósmicos de energía más alta tienen un origen extragaláctico, es decir, que proceden de fuera de la Vía Láctea.

No fue un caso aislado

Durante un tiempo se planteó si la medición podía deberse a un fallo. El artículo de Science de 2000 ya trataba la partícula como un fenómeno real, y la detección posterior de otros rayos cósmicos de energía ultraalta confirma que no fue un error de cálculo ni del instrumento. El caso más destacado es el del 21 de mayo de 2021, cuando el proyecto Telescope Array detectó una partícula de unos 2,4 × 10²⁰ electronvoltios. Según la Universidad de Utah, es la más energética registrada desde 1991; fue descrita en Science en 2023 y recibió el nombre de Amaterasu.

Lo que se dice de la partícula Oh-My-God y lo que dicen los datos

Sobre este rayo cósmico circulan muchas frases llamativas. La siguiente tabla repasa las más repetidas y las contrasta con las fuentes consultadas.

Afirmación	Veredicto	Explicación
«Era más pequeña que un átomo»	Incompleto	Se trataba de un núcleo atómico, no de un átomo completo. Un núcleo es mucho más pequeño que un átomo, pero el matiz es importante.
«Chocó contra la Tierra como una pelota de béisbol»	Exagerado	La comparación es de energía, no de impacto. Además, las fuentes dan velocidades algo distintas para la pelota, entre 90 y 100 km/h.
«Llevaba 51 julios de energía»	Cierto, con margen de error	La estimación es de 51 ± 14 julios, según Wikipedia.
«Iba casi a la velocidad de la luz»	Cierto, con un supuesto	Scientific American da la cifra suponiendo que era un protón, algo que no está confirmado.
«La luz tardaría 200.000 años en sacarle un centímetro»	Cierto (aproximado)	ZME Science lo plantea así y el cálculo con la masa de un protón da un resultado del mismo orden.
«Generó una lluvia de más de 200.000 millones de partículas»	Sin confirmar	Es cierto que produjo una lluvia de partículas, pero no hemos encontrado ninguna fuente que respalde esa cifra concreta.
«El detector tenía 67 espejos»	Sin confirmar	Las fuentes describen un conjunto de telescopios que observaban el cielo nocturno, pero ninguna de las consultadas da ese número.
«Tenía millones de veces más energía que nuestros aceleradores»	Cierto	Unos 40 millones de veces más que los protones más energéticos de cualquier acelerador, según Wikipedia.
«En la dirección de la que vino no hay nada que la explique»	Incompleto	Su origen es desconocido, pero existen hipótesis concretas y datos del Observatorio Pierre Auger apuntan a un origen extragaláctico para estos rayos.
«Tenía la fuerza de una pelota»	Incompleto	Confunde energía con fuerza. Lo comparable es la energía de movimiento, no un golpe físico.
«Todavía no se sabe qué era ni de dónde salió»	Cierto	Scientific American confirma que su origen y su naturaleza exacta siguen sin resolverse.

El nombre, en cambio, sí tiene una explicación sencilla. Según la Universidad de Utah, la expresión «Oh-My-God» refleja el asombro de los astrofísicos ante una energía tan alta en una sola partícula.

Qué significa para ti

La partícula Oh-My-God no tiene consecuencias en la vida diaria, pero es un buen ejemplo de cómo se transmiten los datos científicos. Las comparaciones cotidianas ayudan a entender magnitudes muy alejadas de nuestra experiencia, aunque también pueden deformarlas si se simplifican demasiado. Por eso conviene leer este tipo de noticias con algunas precauciones:

Distingue energía de fuerza. Que una partícula tenga la energía de una pelota de béisbol no significa que golpee como ella.
Fíjate en el margen de error. Una cifra como 51 julios es una estimación con una incertidumbre considerable.
Busca el supuesto de partida. Datos como la velocidad dependen de qué tipo de partícula se suponga.
Comprueba las cifras más llamativas. Si un número muy preciso no aparece en ninguna fuente fiable, trátalo con cautela.
Desconfía del «nadie sabe nada». Que algo no esté resuelto no significa que no haya hipótesis ni investigación en marcha.

En resumen

La partícula Oh-My-God, detectada por el experimento Fly's Eye de la Universidad de Utah el 15 de octubre de 1991, sigue siendo el rayo cósmico más energético registrado, con unos 51 ± 14 julios concentrados en un único núcleo atómico. Su energía superaba en unos 40 millones de veces la de los protones de cualquier acelerador terrestre y rebasaba el límite teórico GZK. Detecciones posteriores, como la de Amaterasu en 2021, confirman que el fenómeno es real. Su naturaleza exacta y su origen siguen sin conocerse, aunque los investigadores manejan varias hipótesis, y algunas cifras que circulan sobre ella, como el número de partículas de la lluvia o el de espejos del detector, no están respaldadas por las fuentes consultadas.

Fuentes

1 2 3 4 5 6 7 8 9 -->

BLOG SEOXAN

Categorias

Últimas entradas en el blog

Qué significa CSRF y por qué importa

Cómo se cuela el atacante paso a paso

Del experimento al ataque real

Las defensas que de verdad funcionan

Token CSRF único por formulario

Cookies con el atributo SameSite

Pedir siempre la contraseña actual

¿Y a mí en qué me afecta?

En resumen

Qué es el Flipper One y qué no es

Qué lleva dentro

Para qué sirve el Flipper One: los usos que se le atribuyen

Revisar redes

Router de bolsillo con VPN

Internet móvil en cualquier parte

Un ordenador de escritorio con Linux

Inteligencia artificial sin internet

Un equipo modular

Precio y disponibilidad

¿Y a mí en qué me afecta?

En resumen

Fuentes

Qué cambia con Discord en Rust

Cómo será la nueva arquitectura

En el ordenador: una interfaz dibujada con la tarjeta gráfica

En el móvil: lógica en Rust e interfaz nativa

Shopify, el caso que va en dirección contraria

Lo que se dice del paso de Discord a Rust y lo que dicen los datos

Qué significa para ti

En resumen

Fuentes

Qué es MCP y qué problema resuelve

MCP y API: en qué se diferencian

Quién está detrás del estándar

Lo que se dice sobre MCP y lo que dicen los datos

Qué significa para ti

En resumen

Fuentes

Qué es la TPU de Google y por qué existe

Cómo funciona por dentro: matrices y arreglo sistólico

Una cuadrícula de 65.536 calculadoras

bfloat16, pods y diferencias con una GPU

Lo que se dice de la TPU de Google y lo que dicen los datos

Qué significa para ti

En resumen

Fuentes

Qué ocurrió en los supermercados franceses

Cómo funcionó el ataque a los controladores Danfoss

Un problema que no es solo de una marca ni de un país

Lo que se dice del ciberataque a supermercados en Francia y lo que dicen los datos

Qué significa para ti

En resumen

Fuentes

Qué son Hermes y OpenClaw

Instalación y funciones de cada agente

Los problemas de seguridad de OpenClaw

Hermes vs OpenClaw: lo que se dice y lo que dicen los datos

Qué significa para ti

En resumen

Fuentes

Del texto a los números: tokens y vectores

Cómo escriben los modelos de lenguaje, token a token

Parámetros aprendidos con enormes cantidades de texto

Cómo se ajustan esos números

Una caja negra que se intenta abrir

Lo que se dice de los modelos de lenguaje y lo que dicen los datos

Qué significa para ti

En resumen

Fuentes

Qué ha cambiado en DeepSeek V4.1 Flash con la versión 1017

Las cifras de rendimiento de DeepSeek V4.1 Flash y sus matices

Qué miden las pruebas

Los resultados publicados

Por qué el entorno cambia la comparación

Search y Fetch: búsqueda en internet para agentes

Lo que se dice de DeepSeek V4.1 Flash y lo que dicen los datos

Qué significa para ti