Terminó DEF CON 34 (Las Vegas, 6–9 de agosto de 2026) y, como cada año, dejó más material del que cabe en una semana de lectura. El tema fue “Agency” —la autodeterminación sobre cómo usamos la tecnología— y se notó en el hilo conductor de las charlas: menos “mira este 0-day suelto” y más “quién controla realmente los sistemas (y los agentes) que operan por nosotros”. Este recap va directo a lo que importa para quien vive la seguridad ofensiva.
Para la tribu. Resumen técnico y de enlaces para orientarte entre tracks y villages. Los videos y slides oficiales se publican en el archivo de DEF CON; aquí marcamos por dónde empezar.
1. El badge: Baochip, hardware abierto by bunnie
El objeto de culto del año: un badge electrónico diseñado por Andrew “bunnie” Huang sobre la plataforma open-source Baochip. La narrativa no fue “un juguete con LEDs”, sino una herramienta de seguridad a largo plazo: gestión de contraseñas, criptografía y experimentación hardware sobre una base inspeccionable. Encaja de lleno con el tema Agency y con la demanda, cada vez más fuerte, de hardware que se pueda auditar. (Dato práctico del año: se estrenó audio por headset en las salas para que las charlas se oyeran bien en un venue enorme.)
2. Research cyber-físico: lo digital con consecuencias en el mundo real
Un bloque fuerte fue el de ataques que salen de la pantalla:
- Seguridad vehicular y de infraestructura de transporte.
- RFID del transporte público (los sistemas de tarjetas que todos usamos).
- Radiofrecuencia (RF) y dispositivos conectados por USB como vector.
El mensaje transversal: un fallo “de software” en estos entornos se traduce en impacto físico, no solo en fuga de datos.
3. Nube e identidad: donde está hoy el botín
En Cloud Village, el foco ofensivo se concentró en lo de siempre pero actualizado:
- Más de una docena de nuevas rutas de escalada descubiertas en servicios de AWS.
- Ataques contra Microsoft Entra ID, el corazón de la identidad en entornos Microsoft.
Si tu práctica incluye cloud/AD, estas charlas son de lectura obligada: la identidad sigue siendo el perímetro real.
4. IA ofensiva: del hype al “cómo falla”
Aquí se vio la madurez del campo. En AI Village (once charlas y un panel keynote), el tono ya no fue “la IA va a cambiarlo todo”, sino cómo fallan los sistemas agénticos bajo presión real: fiabilidad, auditoría y modos de fallo cuando la autonomía supera a los controles.
Y una de las charlas más comentadas del congreso: sistemas deterministas de pentesting web agéntico —agentes que ejecutan pruebas ofensivas de forma reproducible—. Es, básicamente, la dirección a la que apunta buena parte de nuestra propia serie sobre pentesting asistido por IA y MCP.
5. Más research destacado
- Rutas de acceso en el ecosistema Apple.
- Mecanismos de Plug and Play de Windows como superficie de ataque.
- Debilidades en implementaciones de criptografía post-cuántica — el debate se movió de “¿qué algoritmo?” a “¿está bien implementado?”.
- Infraestructura clandestina usada por actores de amenazas.
6. Lo mejor de las villas
Más allá de los tracks principales, DEF CON vive en sus villages. Las que no te puedes perder:
Bug Bounty Village
Casi la mitad de la agenda (~34 sesiones en dos escenarios) giró en torno a hackbots e IA —como herramienta y como objetivo—. Imperdibles:
- Panel “Navigating AI-Assisted Submissions”, con HackerOne, Bugcrowd, Intigriti y YesWeHack: cómo las plataformas lidian con los reportes asistidos por IA.
- Inti De Ceukelaire sobre hackear sistemas con human-in-the-loop.
- Katie Paxton-Fear y Max vonBlankenburg — “Slop Spotting”: detectar reportes de bugs generados por IA (el slop que ya inunda los programas).
- John Kotheimer: reportes de bugs contra productos de IA.
- Panel “The Future of Bug Bounty” y el clásico CTF del village.
Si vives del bug bounty, lectura obligada: el oficio se está reconfigurando alrededor de los hackbots.
Red Team Village
Fiel a su estilo: menos escenario y más manos a la obra. Tres días (7–9 ago) de workshops introductorios, sesiones “tactics” (labs prácticos) y un CTF inmersivo, en un formato íntimo centrado en pensamiento crítico, colaboración y estrategia ofensiva. Es el lugar para entrenar, no solo para escuchar.
La Villa — la casa de la comunidad hispanohablante (y lusófona)
Y lo nuestro: La Villa es el espacio oficial de DEF CON para la comunidad de ciberseguridad en español y portugués, con charlas en ambos idiomas y ponentes de toda Latinoamérica y Portugal. Más que un track, es un punto de encuentro y una plataforma de lanzamiento para la escena regional. Si llegas a DEF CON desde LATAM, empieza aquí: es donde el idioma deja de ser barrera y la comunidad se arma.
Aerospace Village
Bajo el lema “Securing the stars”, la Aerospace Village llevó la ofensiva al espacio y la aviación: seguridad de satélites, aviónica y sistemas de tierra. Destacaron los Aerospace Cybersecurity Student Research Spotlight (Cal Poly y ERAU), señal de cuánta cantera académica está entrando al dominio aeroespacial.
AI Village
Ya la citamos por sus charlas sobre el fracaso de los agentes, pero como village tiene vida propia: demos, un CTF y un nuevo track de pósters sobre ataques adversarios contra agentes y sistemas agénticos (con piezas como AgentBreaker, un detector de puntos ciegos para agentes de código). Es el termómetro de hacia dónde va la seguridad de la IA.
Adversary Village
Emulación de adversarios y threat-informed defense. Workshops hands-on de adversary emulation con MITRE ATT&CK y Caldera, charlas de emulación de APTs y ransomware, purple teaming y el clásico Adversary Wars CTF (escenarios que replican TTPs de actores reales). Es el lugar para convertir los informes de threat intel en ejercicios reproducibles —exactamente el puente entre CTI y red team.
AppSec Village
La casa de la seguridad de aplicaciones. Charlas y labs sobre API security, análisis SAST/DAST, seguridad de la cadena de suministro y, con fuerza este año, seguridad de aplicaciones LLM (prompt injection y el OWASP LLM Top 10). Incluye su AppSec Village CTF y talleres de explotación de clases de bug web/API. Conecta de lleno con nuestra serie local de SAST/DAST.
ICS Village
OT e infraestructura crítica. Testbeds con PLCs y SCADA reales para practicar ataque y defensa sobre entornos industriales, charlas de seguridad en energía, agua y manufactura, y el CTF “Hack the Plan[e]t”. El complemento natural del bloque cyber-físico: aquí el impacto digital se mide en válvulas y relés, no solo en bytes.
Mención honrosa — la comunidad hispana en Las Vegas. Más allá del recinto, la semana de DEF CON es punto de encuentro de la escena latina: las juntas de ekoparty (Argentina) y 8.8 (Chile) en Las Vegas reunieron a la comunidad hacker chilena y latina. Networking, reencuentros y orgullo regional — el lado más humano del Hacker Summer Camp.
7. Cultura, ley y nostalgia
DEF CON nunca es solo exploits:
- CFAA bajo la lupa. Un ex fiscal del Departamento de Justicia de EE. UU. analizó la ley antihacking (Computer Fraud and Abuse Act) y concluyó que es poco probable que cambie pronto — relevante para cualquiera que investigue en la frontera legal.
- EFF presente. Cindy Cohn (ex directora de la EFF) sobre privacidad y cifrado, y una sesión sobre por qué las leyes de verificación de edad crean riesgos de seguridad y privacidad.
- Cliff Stoll y The Cuckoo’s Egg. El clásico: cómo rastreó a un intruso partiendo de un descuadre de 75 centavos hasta dar con espías soviéticos. Historia viva del oficio.
8. Temas transversales (lo que se llevó la semana)
- La IA ya es parte del stack. La conversación es de arquitectura, fiabilidad y auditoría, no de novedad.
- Transparencia. Hardware, firmware y cripto inspeccionables como exigencia, no como lujo.
- Riesgo físico. Autos, transporte, USB y RF: lo digital con cuerpo.
- Post-cuántico real. La calidad de implementación pesará tanto como la elección del algoritmo durante la migración.
- Dependencias ocultas. Una y otra vez: las relaciones de confianza y la infraestructura de terceros rompen más que la tecnología central. Complejidad no es seguridad.
9. Qué llevarse a la práctica
- Si haces cloud/AD, revisa las rutas de escalada en AWS y los ataques a Entra ID: material accionable para tu próximo engagement.
- Si te interesa la IA ofensiva, estudia los sistemas de pentesting agéntico deterministas y los modos de fallo de agentes — es hacia donde va la automatización seria.
- Si tu terreno es hardware/RF/cyber-físico, el research de transporte y RFID marca tendencias replicables en lab.
- Para todos: auditabilidad y dependencias. La superficie de ataque que más duele suele estar en lo que confiaste sin mirar.
10. Conclusión
DEF CON 34 confirmó un cambio de época: la pregunta ya no es si la IA entra en la ofensiva y la defensa, sino quién mantiene el control cuando el software —y los agentes— actúan por nosotros. Entre un badge que es una herramienta de seguridad abierta, agentes de pentesting reproducibles y la insistencia en la transparencia, el Agency del lema fue más que un eslogan. ¡Nos vemos el próximo año en Las Vegas, Hackers!
Fuentes
- DEF CON 34 — sitio y archivo oficial (charlas, Creator Stage)
- DEF CON 34 Recap: The Headlines and the Undercurrent — Allytics (badge Baochip, research y temas)
- Top highlights from Black Hat, DEF CON and BSides Las Vegas 2026 — This Week in Security
- AI Village @ DEF CON 34 · Cloud Village @ DEF CON 34 · Recon Village — schedule DC34
- Aerospace Village @ DEF CON 34 — “Securing the stars”
- Bug Bounty Village — agenda DEF CON 34
- Red Team Village — DEF CON 34 (call for speakers / info)
- Adversary Village @ DEF CON 34 · AppSec Village · ICS Village
- La Villa y comunidades — DEF CON 34 (oficial)
- DEF CON — Wikipedia