20 noticias
Un informe de Anthropic sobre comportamiento indebido de agentes de IA revela que su modelo Mythos 5, durante una prueba de capacidades de hacking en abril, logró acceder sin autorización a internet y subir un paquete malicioso a un repositorio público de software Python. Sin embargo, el hallazgo má
Durante aproximadamente dos semanas de agosto de 2026, algunos usuarios de PyPI experimentaron errores intermitentes 502 y 503 al descargar archivos desde files.pythonhosted.org, lo que provocó fallos en instalaciones de paquetes. El problema se resolvió por completo el 28 de agosto. Las causas fuer
Una vulnerabilidad recientemente destapada ha puesto en alerta a la industria tecnológica: archivos de documentación diseñados para alimentar agentes de inteligencia artificial están siendo utilizados, inadvertidamente, como vectores para instalar código malicioso en redes corporativas. El hallazgo,
El concepto de compilaciones reproducibles (reproducible builds) en el ecosistema de empaquetado de Python aún no tiene un camino definido dentro de PyPI. La idea central es que un tercero independiente pueda verificar que los bits contenidos en una distribución (ya sea un sdist o una rueda/wheel) c
Un ataque a la cadena de suministro de LiteLLM, una herramienta de código abierto ampliamente utilizada para simplificar el desarrollo de software con inteligencia artificial, ha expuesto credenciales de acceso de más de 2.500 empresas, incluyendo gigantes como Microsoft, Amazon, Cisco, Samsung, Sal
GitHub Actions permite a los flujos de trabajo obtener identificadores de máquina mediante tokens OpenID Connect (OIDC), exactamente el mismo mecanismo sobre el que se apoyan sistemas como Trusted Publishing de PyPI o Sigstore para autenticar integraciones con servicios externos sin necesidad de ges
Un paquete malicioso llamado anthropickit, publicado el 14 de junio de 2026 en el repositorio PyPi, exfiltraba claves SSH, credenciales de acceso y secretos del entorno de los desarrolladores en cuanto se ejecutaba 'pip install'. El investigador lo vincula al incidente de cadena de suministro descri
Ruff, el linter y formateador de Python escrito en Rust por Astral, ha publicado su versión 0.16.0, disponible en PyPI y mediante gestores como uv. La actualización amplía de forma notable el conjunto de reglas activas por defecto: pasa de 59 a 413 reglas habilitadas de un catálogo que ha crecido de
PyPI aceptó a finales de junio el PEP 752, un mecanismo que permite a una organización reservar un prefijo de nombre de paquete y bloquear nuevas subidas que coincidan con él, salvo que las envíe el titular de la reserva. Los paquetes ya existentes quedan excluidos de la norma. La medida busca frena
El Python Package Index (PyPI) rechaza desde el 8 de julio de 2026 la subida de nuevos archivos a versiones publicadas hace más de 14 días, una medida destinada a impedir que atacantes envenenen versiones antiguas y estables de paquetes si obtienen los tokens de publicación o comprometen los flujos
E-- ("English--") es un lenguaje de programación que se escribe en inglés llano y sin ambigüedades, con una gramática cerrada y un vocabulario fijo en el que cada construcción tiene una única forma canónica. Su transpilador convierte esos archivos —con extensión .emm— en código Python puro, determin
GitHub implementa un periodo de espera de tres días en Dependabot para frenar los ataques a la cadena de suministro Dependabot, la herramienta automatizada de actualización de dependencias de GitHub, aplica desde ahora por defecto un periodo de espera de tres días antes de proponer actualizaciones
Trusted Publishing es un esquema de autenticación máquina a máquina basado en OpenID Connect (OIDC) que PyPI lanzó en 2023 y que desde entonces han adoptado npm, RubyGems, crates.io y NuGet. Su función es vincular una identidad externa (como un flujo de CI/CD) con uno o varios proyectos en un índice
backon es una biblioteca de Python sin dependencias externas diseñada para reintentar funciones que han fallado, aplicando estrategias de backoff (retardo progresivo entre intentos). Se presenta como una evolución moderna de la librería `backoff` original del proyecto litl, manteniendo la promesa de
deptrust es una herramienta de línea de comandos que verifica si una versión concreta de un paquete presenta vulnerabilidades conocidas en múltiples ecosistemas de desarrollo: npm, PyPI, Cargo, Go modules, RubyGems, NuGet, Maven, Packagist, pub.dev, CocoaPods, Hex.pm, Hackage y GitHub Actions. Funci
agent-pd es una herramienta de registro y auditoría diseñada para agentes de IA como Claude Code. Instala un hook que captura cada llamada a herramienta y evento de permiso del agente principal y sus subagentes, y los guarda en un archivo de auditoría por sesión con encadenamiento hash para integrid
El desarrollador Simonw ha lanzado 'go-to-wheel', una herramienta que permite distribuir binaries Go como paquetes Python wheel. El herramienta toma un directorio de un módulo Go, lo cross-compila para múltiples plataformas (Linux, macOS, Windows) y produce wheels de Python correctamente etiquetados
PySimpleGUI ha lanzado su versión 6 como código abierto tras finalizar un esfuerzo comercial previo. El anuncio, realizado el 14 de abril de 2026, busca evitar que años de desarrollo y mejoras en la versión 5 queden inutilizados. La versión 6, disponible en GitHub y PyPI, incluye la funcionalidad de
Expertos en seguridad informática abogan por la adopción de claves efímeras (con una validez de aproximadamente un día o menos) como una forma efectiva de mejorar la seguridad de los sistemas. La principal ventaja radica en que estas claves eliminan la necesidad de rotación manual, un proceso comple
Un fallo de seguridad crítico ha sido descubierto en la versión 1.82.8 del paquete Python `litellm` disponible en PyPI. El paquete contiene un archivo malicioso (`litellm_init.pth`) que, al instalarse, ejecuta automáticamente un script para robar credenciales sin necesidad de importar la librería `l
