Todo lo que ha entrado en el radar, sin esconder la deuda.

Introduce los ataques de Agent Data Injection: en lugar de insertar instrucciones maliciosas, el atacante introduce datos falsos que parecen metadatos legítimos, identificadores, formatos de herramientas o respuestas confiables. Los autores demuestran ataques contra agentes web y de programación, incluyendo clics arbitrarios, ejecución remota de código y ataques de cadena de suministro.

Es probablemente el hallazgo de seguridad de agentes más accionable de la semana. Afecta directamente a Claude Code, Codex, Gemini CLI, extensiones de navegador y cualquier agente que consuma herramientas o documentos externos.

Sistema multiagente desplegado en producción que convierte procedimientos operativos estándar en grafos dirigidos. Los agentes reciben solo la parte relevante del procedimiento, ejecutan tareas independientes en paralelo y acceden a código y datos en vivo. Usa además destilación episódica: un modelo fuerte aprende de errores y después transfiere las trayectorias corregidas a un modelo pequeño.

Es una de las pocas señales recientes de agentes empresariales con despliegue productivo, evaluación de tareas reales y optimización explícita de latencia y coste. Reporta un 94% de acuerdo con expertos en una aplicación de gestión de tickets.

Propone que el harness de un agente —el programa que prepara contexto, llama herramientas, verifica resultados y recupera errores— pueda modificarse durante la propia evaluación. TTHE usa las trazas no etiquetadas producidas por el agente para evolucionar su flujo de ejecución en tiempo de prueba.

Refuerza una tendencia importante: el rendimiento de un agente depende tanto del harness como del modelo. Puede desplazar parte de la innovación desde el entrenamiento de modelos hacia la evolución dinámica del software que los rodea.

Estudia ataques coordinados en los que varios agentes reparten una acción maliciosa entre diferentes tareas. Introduce FakeLab, un entorno con nueve servicios, 86 tareas benignas y cuatro objetivos de ataque. El resultado principal es el “efecto de fragmentación”: al aumentar el número de atacantes, disminuye la probabilidad de que un monitor por instancia detecte alguno.

En despliegues reales habrá decenas o cientos de agentes compartiendo repositorios, datos y herramientas. El paper muestra que un planificador coordinador puede multiplicar hasta por siete la tasa de éxito de algunos ataques.

Añade una etapa de revisión agentic al flujo de resolución de issues. Un agente explora el repositorio, determina si el PR debería aceptarse y emite feedback estructurado para que otro agente revise el parche. Introduce SWE-Review-Bench y SWE-Review-Traj.

El patrón generar → revisar → corregir se parece mucho más al desarrollo profesional que el one-shot actual. El trabajo reporta mejoras en decisión de aceptación y tasa de resolución después de la revisión.

Sistema de búsqueda web que crea agentes recursivamente según progresa la investigación. Combina descomposición, expansión de nuevas líneas de búsqueda y colaboración dinámica, evitando que un único agente acumule una trayectoria excesivamente larga.

Es relevante para la transición de los buscadores hacia sistemas que construyen respuestas, informes y mapas completos de información. También afecta a cómo marcas y contenidos serán descubiertos y citados dentro de asistentes.

Traslada el comportamiento estable de un agente desde el prompt hacia contratos explícitos: código determinista, schemas, manifests, validaciones y evidencias trazables. El LLM permanece reemplazable y las fuentes documentales conservan autoridad sobre la respuesta.

Es un diseño especialmente apropiado para empresa: menos “magia del prompt” y más contratos comprobables. El caso experimental utiliza datos de 25 empresas pertenecientes a cinco grupos corporativos coreanos.