Mario Ferrel

Stranger In A Strange Land

[ESTADIOSdeMÉXICO @MXESTADIOS]

Oye @CruzAzul ... Invita al de las papitas a un juego, no?

[U2Valencia @U2Valencia]

Así ha sido la llegada de #U2 al set de rodaje en el centro de Ciudad de México! Han estrenado la nueva canción #TheStreetsOfDreams #LaCalledelosSueños vía Javibi
#U2 #Mexico #U2Sexico

[U2 @U2]

Hopped a bus in Mexico City, destination: Street of Dreams.
‘Justice an obsession, love is a procession down the street of dreams’

[Guillermo Rauch @rauchg]

A Vercel user reported an issue that sounded extremely scary. An unknown GitHub OSS codebase being deployed to their team.

We, of course, took the report extremely seriously and began an investigation. Security and infra engineering engaged.

Turns out Opus 4.6 *hallucinated a public repository ID* and used our API to deploy it. Luckily for this user, the repository was harmless and random. The JSON payload looked like this:

"𝚐𝚒𝚝𝚂𝚘𝚞𝚛𝚌𝚎": {
"𝚝𝚢𝚙𝚎": "𝚐𝚒𝚝𝚑𝚞𝚋",
"𝚛𝚎𝚙𝚘𝙸𝚍": "𝟿𝟷𝟹𝟿𝟹𝟿𝟺𝟶𝟷", // ⚠️ 𝚑𝚊𝚕𝚕𝚞𝚌𝚒𝚗𝚊𝚝𝚎𝚍
"𝚛𝚎𝚏": "𝚖𝚊𝚒𝚗"
}

When the user asked the agent to explain the failure, it confessed:

The agent never looked up the GitHub repo ID via the GitHub API. There are zero GitHub API calls in the session before the first rogue deployment.

The number 913939401 appears for the first time at line 877 — the agent fabricated it entirely.

The agent knew the correct project ID (prj_▒▒▒▒▒▒) and project name (▒▒▒▒▒▒) but invented a plausible-looking numeric repo ID rather than looking it up.

Some takeaways:
▪️ Even the smartest models have bizarre failure modes that are very different from ours. Humans make lots of mistakes, but certainly not make up a random repo id.
▪️ Powerful APIs create additional risks for agents. The API exist to import and deploy legitimate code, but not if the agent decides to hallucinate what code to deploy!
▪️ Thus, it's likely the agent would have had better results had it not decided to use the API and stuck with CLI or MCP.

This reinforces our commitment to make Vercel the most secure platform for agentic engineering. Through deeper integrations with tools like Claude Code and additional guardrails, we're confident security and privacy will be upheld.

Note: the repo id above is randomized for privacy reasons.

[Claude @claudeai]

Introducing Claude Code Security, now in limited research preview.

It scans codebases for vulnerabilities and suggests targeted software patches for human review, allowing teams to find and fix issues that traditional tools often miss.

Learn more: https://t.co/n4SZ9EIklG

[Shiboo @Heyshiboo]

Every floor you rise is a reminder—dreams aren’t built overnight, they’re constructed floor by floor.

That’s an epic climb.

Proud of you #alexhonnold
#skycrapperlive

[Ignacio Gómez Villaseñor @ivillasenor]

➡️ | Un solo día bastó para que hubiese una exposición masiva de datos

Se advirtió hasta el cansancio de los riesgos del registro obligatorio de celulares impuesto por el gobierno de @Claudiashein.

El pretexto era evitar extorsiones, pero al parecer habrá más... ⬇️

[BleepingComputer @BleepinComputer]

Hacker arrested for KMSAuto malware campaign with 2.8 million downloads - @billtoulas
https://t.co/lF8YXYkZlt

https://t.co/lF8YXYkZlt

[Mario Ferrel @Mifmtz]

¿Salvar a PEMEX realmente beneficia a México? https://t.co/9yPbeeP6Df a través de @YouTube @MorisDieck

[Mario Ferrel @Mifmtz]

January 2026 CACM: Shaping AI's Impact on Billions of Lives https://t.co/1QPp9v7GRu a través de @YouTube

[Laprovittera Carlos @laprovittera]

🧵🧵🧵OWASP TOP 10 - A01:2025 Broken Access Control - Control de acceso roto🧵🧵🧵

En este capítulo, A01:2025 Broken Access Control - Control de acceso roto, vas a entrar en uno de los pilares más importantes del hacking moderno: el OWASP Top 10, el estándar global que define las vulnerabilidades más críticas en aplicaciones web. Entenderlo no es opcional: es una herramienta fundamental para cualquier hacker, pentester o profesional de seguridad que quiera operar a nivel real, en escenarios reales y contra sistemas reales.

Aquí aprenderás no solo qué es OWASP, sino cómo piensa, cómo clasifica los riesgos y por qué cada categoría representa una puerta potencial hacia la explotación. Pero vamos mucho más allá del simple listado: analizarás cómo se ataca, cómo se detecta, cómo se explota y cómo se defiende cada vulnerabilidad.

Este capítulo te va a enseñar a identificar errores estructurales en aplicaciones modernas, incluyendo APIs, arquitecturas cloud, microservicios y aplicaciones bancarias; vas a entender qué debilidades buscan los hackers profesionales, qué herramientas utilizan y cómo se combinan estas vulnerabilidades para comprometer sistemas enteros.

Dominar el OWASP Top 10 te da visión de hacker:
– Vas a aprender a detectar fallos que los desarrolladores pasan por alto.
– Vas a reconocer patrones de vulnerabilidad incluso antes de ver el código.
– Vas a entender por qué ciertas fallas, como Broken Access Controlo SSRF, pueden destruir por completo la seguridad de una empresa.
– Vas a saber cómo validarlas, cómo explotarlas, cómo reportarlas y cómo evitar caer en ellas.
Este conocimiento es tu mapa del territorio enemigo. Cada punto del OWASP Top 10 se convierte en un vector de ataque, en un camino hacia el compromiso del sistema, o en un mecanismo defensivo que te hace mejor profesional.
Y cuando termines este capítulo, vas a ver la web con otros ojos.

OWASP TOP 10
OWASP es popular por publicar el TOP 10 Owasp Web cada cuatro años. Este es un documento que lista los diez riesgos más críticos en aplicaciones web, con el objetivo de ayudar a las organizaciones a identificar y mitigar las vulnerabilidades asociadas con estos riesgos. https://t.co/xYA7fNOTvT Cada uno de estos riesgos representa una debilidad común y significativa que a menudo se puede explotar para comprometer la seguridad de una aplicación web. OWASP proporciona información detallada sobre posibles vulnerabilidades y técnicas de ataque para cada riesgo.
El Top 10 de OWASP es una lista que se actualiza periódicamente de los riesgos de seguridad de las aplicaciones web más críticos. Lo mantiene el Proyecto Abierto de Seguridad de Aplicaciones Web (OWASP), una organización sin fines de lucro centrada en mejorar la seguridad de las aplicaciones web. Sirve como una valiosa guía para que los desarrolladores, los expertos en pruebas de penetración de aplicaciones web y las organizaciones comprendan y prioricen los riesgos de seguridad comunes en las aplicaciones web.

El Top 10 de OWASP es una lista conocida de los diez riesgos de seguridad de aplicaciones web más críticos. Se actualiza periódicamente para garantizar que refleje el panorama actual de amenazas y los desafíos de seguridad en constante evolución que enfrentan las aplicaciones web. La primera versión del Top 10 de OWASP se publicó en 2003. Su objetivo era crear conciencia sobre los riesgos comunes de seguridad de las aplicaciones web y ayudar a los desarrolladores a priorizar los esfuerzos de seguridad. La lista incluía riesgos como secuencias de comandos entre sitios (XSS), inyección de SQL y problemas de gestión de sesiones. Cada lanzamiento del Top 10 de OWASP se basa en las versiones anteriores, mejorando su precisión, relevancia y practicidad.

Evolución de OWASP TOP 10

En el momento de crear este artículo coexiste las dos versiones 2021/2025.

[Mario Ferrel @Mifmtz]

Así se probó el Principio de #HEISENBERG (Entrevista) Dr. Manuel Fernández https://t.co/eJchSFfoeP a través de @YouTube

[Chilaquiles Serdán @MonociClown]

El becario de Fanki llegando a Steren a comprar unos servidores

[Miguel Ángel Durán @midudev]

¿Quieres evitar problemas cuando Cloudflare se cae?
O cuando La Liga bloquea tus páginas web...

He creado un CLI open-source para desactivar el servicio en tus proyectos fácilmente en segundos.

$ npx disable-cloudflare@latest

[Juan Carlos Ortiz 🛡️ Ciberseguridad para Empresas @CycuraMX]

Ya encontraron la causa que provocó la falla en Cloudflare y la caída de buena parte del internet 👇

[DMNTR Network Solutions 👻 AS204773 @weareDMNTRs]

Pues ya tenemos post-mortem de los sucedido ayer en @Cloudflare.

Como siempre, explicación impecable.

https://t.co/ZfQ9UqnGr9

[Cloudflare @Cloudflare]

On November 18 Cloudflare experienced a service outage, triggered by an issue with a Bot Management feature, impacting multiple Cloudflare services. Here's a detailed breakdown of what happened. https://t.co/7WArlr5ghI

[Cristian Borghello @SeguInfo]

Un excelente ejemplo de como se trata un incidente #cloudflare:
- no ocultar, negar ni mentir
- explicar desde el seg 0
- hacer post-morten claro
- pedir disculpas
- madurar y mejorar

Y ya lo saben amiguitos, el SELECT siempre lleva un WHERE adecuado🤪
https://t.co/LuVFMxerHy

[Mario Ferrel @Mifmtz]

Serendipia: El populismo y la crisis del lenguaje: cuando las ... https://t.co/qJ9pI6x1im

[Dwarkesh Patel @dwarkesh_sp]

The @karpathy interview

0:00:00 – AGI is still a decade away
0:30:33 – LLM cognitive deficits
0:40:53 – RL is terrible
0:50:26 – How do humans learn?
1:07:13 – AGI will blend into 2% GDP growth
1:18:24 – ASI
1:33:38 – Evolution of intelligence & culture
1:43:43 - Why self driving took so long
1:57:08 - Future of education

Look up Dwarkesh Podcast on YouTube, Apple Podcasts, Spotify, etc. Enjoy!