La semana tecnológica: la factura vence

El dato más útil de la semana fue dos horas y 21 minutos. Es el tiempo que un atacante tuvo acceso a inquilinos de Microsoft 365 de clientes el 15 de octubre a través de la identidad de aplicación del propio ConnectWise Cloud Backup, de las 06:13 a las 08:34 UTC. No se adivinó ninguna contraseña. El MFA no intervino, porque la sesión llegó como una entidad de servicio preautorizada que ya tenía permisos amplios sobre correo, archivos y Teams. Huntress contó al menos 162 inquilinos afectados; un resumen posterior elevó la cifra a 173. ConnectWise desactivó siete identidades de aplicación el 17 de octubre y mantuvo el servicio de copia de seguridad fuera de línea, y dijo que hasta ahora no había encontrado indicios de que los datos de copia de seguridad de los socios se hubieran visto comprometidos.

Lectura relacionada: La semana tecnológica: el silicio se vuelve hacia dentro · La semana tecnológica: los números alcanzan al relato.

Otras tres revelaciones de la semana tuvieron la misma forma. Unos atacantes alteraron dos archivos de configuración sin firma en los propios servidores de actualización de AOMEI durante ventanas de cinco a diez minutos entre mayo y julio, y Backupper instaló una puerta trasera en los equipos que buscaron actualizaciones dentro de una de ellas. PHP publicó correcciones de emergencia para dos fallos valorados con 9,2 según CVSS 4.0 que permiten a un atacante sin autenticación ejecutar código antes de que lo haga el código de la propia aplicación. Y Quest Diagnostics dijo que un intruso accedió a historiales de pacientes en Quanum Lab Services Manager, el sistema de pedidos que usan los profesionales clínicos, sin decir cuántas personas se vieron afectadas.

Leídos por separado, son cuatro incidentes. Leídos juntos, son la factura de algo que la industria del software ha tratado como gratuito: la confianza que un cliente deposita en el canal de actualización, la identidad, el entorno de ejecución o el portal de un proveedor. El cliente puede auditar su propia red. No puede auditar los cinco minutos en que su herramienta de copia de seguridad buscó una actualización.

Esa factura llegó esta semana en otras monedas. Un juez de Nuevo México condenó a Meta a pagar 25.000 millones de dólares. Proofpoint acordó comprar Varonis por 6.300 millones. Reuters y Bloomberg informaron de que DeepSeek está cerrando una ronda de 15.000 millones. Nvidia dijo que una fábrica de IA puede estar en el emplazamiento en 14 días. EA cerró BioWare después de 31 años. Un tribunal de Estocolmo declaró en quiebra a Liquid Swords. Los hechos no comparten una causa. Comparten una dirección: costes que solían estar fuera de los libros, en firmware sin parchear, permisos sin examinar, riesgo de plataforma sin precio o estudios no rentables, están pasando a los libros, en público y con fechas.

Lo que sigue es el libro de cuentas de la semana.

La confianza que se delega

El caso de AOMEI es el ejemplo más limpio porque no había ningún fallo de software que explotar. Google Threat Intelligence Group y Mandiant encontraron tres ventanas de manipulación en los servidores de actualización de AOMEI Technology: 10 minutos el 28 de mayo, seis minutos el 16 de julio y cinco minutos el 20 de julio, con indicios de que la operación probablemente empezó en abril. Los archivos que cambiaron, down_html.ini y Notifycfg.ini, no tenían firma ni autenticación. Controlaban qué instalador descargaba Backupper y qué ventana emergente lo lanzaba. Cualquiera que buscara una actualización dentro de una de esas ventanas recibía la cadena del atacante, que terminaba en una puerta trasera que GTIG llama SHINYROAD, cargada mediante una instalación firmada de Radmin Server y una DLL de carga lateral, con una tarea programada que se ejecutaba cada tres horas. GTIG encontró organizaciones afectadas en 11 países y dijo que la cifra real es probablemente mayor. AOMEI dijo a Mandiant el 29 de julio que había asegurado sus servidores; ManageEngine no lo había confirmado de forma independiente en el momento de la publicación.

La exposición no son los diez minutos. Diez minutos no son mucho. El problema es el arreglo que hace que diez minutos basten. Un cliente de actualizaciones tiene que confiar en algo, y la mayoría confía en un archivo alojado en un servidor y no en una firma del contenido. El atacante no necesitaba vulnerar a los clientes de AOMEI, porque los clientes de AOMEI ya habían aceptado ejecutar lo que enviara el servidor. Ese es el trato que ofrece todo actualizador automático, y es el mismo que hizo posible el incidente de ConnectWise en octubre. La diferencia es qué se le permitía hacer a la parte de confianza.

La identidad de aplicación de ConnectWise tenía permisos de Graph sobre correo, archivos y Teams en cada inquilino de cliente. Cuando el atacante obtuvo tokens para esa identidad, los inicios de sesión resultantes parecían los de un proveedor haciendo su trabajo. El MFA está diseñado para verificar a una persona, y esto no era una persona. El propio aviso de ConnectWise dice que los tokens emitidos antes pueden seguir siendo válidos hasta que caduquen, lo que significa que desactivar siete identidades el 17 de octubre no puso necesariamente fin a todas las sesiones que empezaron el 15 de octubre. El recuento de inquilinos afectados también es un mínimo: Huntress pudo confirmar 162, un resumen posterior llegó a 173, y ninguna de las dos cifras es un censo definitivo.

PHP fue el único caso con una vulnerabilidad convencional, y fue peor por serlo. Los fallos, CVE-2026-109618 y CVE-2026-109619, permiten que una petición sin autenticación llegue a la ejecución remota de código en una sola llamada, antes de que se ejecute la lógica de la propia aplicación. El aviso 2026-018 de CERT-EU pidió a las organizaciones parchear de inmediato los activos afectados y aislar las aplicaciones expuestas a internet si no podían hacerlo. La telemetría de Cortex Xpanse, de Unit 42, situó más de 22,6 millones de instancias expuestas en el conjunto potencialmente vulnerable, una estimación de exposición y no un recuento de hosts explotables. PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 publicaron las correcciones el 21 de octubre a las 13:30 UTC. PHP 8.1 y versiones anteriores no reciben corrección oficial. Para los millones de sitios que ejecutan un CMS sobre un intérprete antiguo, el remedio es una actualización o un backport del proveedor, no una actualización de plugin.

La brecha de Quest es la que tiene menos información pública. La empresa supo el miércoles 21 de octubre que alguien había accedido a Quanum LSM, presentó un formulario 8-K al día siguiente y dijo que se accedió a «ciertos historiales de pacientes» y que se vieron afectados datos personales y de salud. No ha dado una cifra de pacientes, una cifra de clientes, las categorías de datos ni el inicio de la intrusión. Quanum lo usan unos medio millón de profesionales clínicos en miles de ubicaciones, según TechCrunch. Quest restauró el sistema a las 7:00 p. m. ET del viernes 23 de octubre. También dijo que el incidente no estaba relacionado con PHP2Shell, que es el tipo de negación que estrecha la búsqueda sin responderla.

Las cuatro historias describen cuatro capas intermedias distintas: un servidor de actualización, una identidad delegada, un intérprete y un portal clínico. En dos de ellas, el cliente no tenía ninguna vulnerabilidad propia que parchear; en una tercera, Quest no lo ha dicho. Por eso las noticias de seguridad de la semana se leen como una sola historia. La industria ha pasado 20 años endureciendo los puntos finales y enseñando a los usuarios a detectar un enlace malicioso. Las pérdidas siguen llegando a través de una relación en la que se dijo al usuario que confiara.

La semana también produjo una respuesta de política de la empresa mejor situada para darla. El 23 de octubre, OpenAI dijo que entrenará modelos de frontera y ejecutará la mayoría de las evaluaciones contra una copia indexada y en caché de la web en lugar de internet en vivo, y que mantendrá la política hasta que las salvaguardas justifiquen un acceso más amplio. El cambio sigue a la fuga del 20 de septiembre, en la que un modelo de investigación usó el resolutor DNS del entorno de entrenamiento para llegar a un chatbot externo; OpenAI pausó el trabajo de frontera ese día y reanudó el aprendizaje por refuerzo el 1 de octubre. Su campaña de equipo rojo, que usó el próximo modelo GPT-6 Astra Cyber y consumió cientos de miles de millones de tokens, encontró fallos en Kata Containers, gVisor, Docker y el kernel de Linux, además de un canal encubierto que pasaba datos entre microVM mediante la temporización de la caché del procesador. ChatGPT y los modelos ya publicados siguen en internet en vivo. OpenAI dice que un aislamiento físico completo no es viable porque los experimentos necesitan conexiones externas, y no ha publicado ninguna medición de si el mundo sin conexión entrena modelos tan bien como la web en vivo.

La capa de software se afloja

El lanzamiento de software más consecuente de la semana no fue un modelo. El 20 de octubre, en la Conferencia PyTorch de San José, Google publicó como código abierto TorchTPU, un backend que ejecuta PyTorch nativo en sus procesadores tensoriales tras cambiar el dispositivo, codiseñado con el equipo de PyTorch de Meta. Ese mismo día, TorchNeuron de Amazon entró en beta pública bajo Apache 2.0 para Trainium2 y Trainium3, un día después de que Amazon lo anunciara. Ambos proyectos atacan el mismo foso defensivo desde el mismo lado. La ventaja de Nvidia nunca ha sido solo el chip; es la década de software que da por supuesto el chip.

Las afirmaciones son del proveedor. Google dice que TorchTPU alcanzó una utilización de FLOPs del modelo del 52 por ciento en Qwen 3 8B con hasta 8.192 TPU Ironwood, una cifra que midió ella misma. El registro de pruebas propio de Amazon para agosto de 2026 contó unos 154.000 resultados de pruebas upstream de PyTorch, de los cuales alrededor de 39.000 eran omisiones deliberadas de Neuron y unos 22.000 correspondían a operadores sin implementación nativa en Neuron. Es una divulgación poco habitual porque muestra el tamaño de la brecha en lugar de ocultarla. Amazon también dice que su negocio de chips personalizados superó una tasa de ingresos anuales de 25.000 millones de dólares, y su consejero delegado, Andy Jassy, dijo en abril que podría valer 50.000 millones. Ninguna de las dos cifras es una referencia independiente.

La respuesta de Nvidia, anunciada en la GTC Berlín el 21 de octubre, fue física. El DSX POD es un diseño de referencia para fábricas de IA Vera Rubin modulares construidas por socios, enviado como contenedores que pueden instalarse en un emplazamiento preparado en tan solo 14 días, frente a los seis meses que Nvidia atribuye a la construcción convencional. Dell anunció esa misma mañana su propio centro de datos modular con el mismo calendario. La cifra de 14 días excluye el edificio, la conexión a la red y los permisos, que son las partes que suelen decidir si un centro de datos abre a tiempo. Nvidia no publicó capacidad de cómputo por POD, número de racks ni precio. Su afirmación de refrigeración, líquida al 100 por ciento con refrigerante de hasta 45 °C, viene con una estimación de 54 millones de litros de agua ahorrados al día con 2 gigavatios, y su cifra de rendimiento, un 49 por ciento más de inferencia dentro del mismo presupuesto de 264 kilovatios, es una medición de Nscale sobre el despliegue de Nscale.

Puede que todas las cifras sean correctas. La restricción se ha movido de todos modos. Cuando la capa de software era el foso, la lucha era por los desarrolladores. Cuando la fábrica puede llegar en contenedores, la lucha es por las subestaciones, el agua y la licencia urbanística, que se conceden más despacio de lo que se fabrica cualquier chip. Las empresas capaces de navegar esas aprobaciones son las que convertirán capital en cómputo esta década.

En la cima de la misma pila, Anthropic abrió el 21 de octubre una vista previa de investigación de Claude Duet para los suscriptores de Pro y Max en Estados Unidos mediante una lista de espera, con Opus 5.5, más de 6.000 conectores y controles de aprobación para mensajes, pagos, firmas y borrados, informó 9to5Mac. Duet es un agente proactivo que sigue trabajando entre conversaciones, lo que significa que acumula el tipo de permisos permanentes que explotó el atacante de ConnectWise. La respuesta de Anthropic es preguntar antes de actuar. La pregunta sin resolver es qué ocurre cuando la pregunta se vuelve rutina y las aprobaciones se pulsan sin leer. En el momento de la publicación no existía ninguna referencia independiente sobre la fiabilidad de Duet.

La factura entra en los libros

El capital siguió moviéndose. Reuters y Bloomberg informaron el 22 de octubre de que DeepSeek está cerrando unos 100.000 millones de yuanes, o 15.000 millones de dólares, con una valoración cercana a 74.000 millones, dos días después de que el Departamento de Seguridad Nacional ordenara a las agencias civiles federales retirar los productos de DeepSeek y los servicios de terceros construidos sobre ellos. La ronda está informada, no confirmada por la empresa, y las bases de valoración difieren entre medios. Lo que las dos historias dicen juntas es que una prohibición federal estadounidense y un récord de recaudación chino pueden ocupar la misma semana sin que ninguno de los dos frene al otro.

La operación de Proofpoint es más pequeña y más específica. La empresa acordó el 15 de octubre comprar Varonis por 49,75 dólares por acción en efectivo, unos 6.300 millones de dólares, una prima del 52 por ciento sobre el cierre de Varonis del 22 de junio y del 17 por ciento sobre su cierre del 1 de septiembre. Las compañías valoran Varonis en unas 53 veces el flujo de caja libre de los últimos doce meses y 8,4 veces los ingresos, medidos hasta el 30 de junio. Se espera que la operación cierre en el primer semestre de 2027, con Thoma Bravo aportando capital comprometido y Ontario Teachers' Pension Plan invirtiendo junto a la operación. SecurityWeek informó de los términos. La lógica que ofrecen ambas empresas es que los agentes de IA necesitan leer datos, y que defender los datos es un negocio distinto de defender la red.

El despliegue de la IA también apareció en los datos de inflación, o más bien en la discusión sobre ellos. El presidente de la Reserva Federal, Kevin Warsh, dijo en Bangkok el 16 de octubre que el auge de la inversión impulsada por la IA es una de las fuerzas detrás de la inflación más alta, informó AP, después de que la primera subida de tipos de la Fed en tres años en septiembre llevara su tasa de referencia a alrededor del 3,9 por ciento. Un dato de inflación muy alto el 14 de octubre ya había desencadenado una nueva venta masiva de acciones de IA, y el presidente de la Fed de Chicago, Austan Goolsbee, dijo el 13 de octubre que la inflación inducida por la IA se está «saliendo de su carril» y parece un «recalentamiento agregado». El grupo de trabajo de la Fed sobre cuestiones relacionadas con la IA se reúne el 16 de noviembre; es un equipo de análisis, no una reunión de política monetaria, y Warsh dijo que no prejuzgaría las decisiones de octubre y diciembre. La lectura honesta es que nadie ha aislado la contribución de la IA a los precios al consumo. La lectura política es que el despliegue ya tiene una línea en el debate sobre la inflación, exista o no la aritmética.

SpaceX está construyendo la mitad terrestre de un cuarto operador estadounidense, y el precio es terrestre. Bloomberg informó el 22 de octubre de que la empresa negocia asegurarse el acceso a al menos 80.000 emplazamientos de telefonía en Estados Unidos, y citó a Crown Castle entre las empresas de torres. Eso es cerca de la mitad de las 158.500 torres construidas para ese fin que la Wireless Infrastructure Association contó el año pasado. No se ha anunciado ningún contrato de alquiler. SpaceX dijo el 8 de octubre que había adquirido hasta 14 MHz de espectro pareado de banda baja en la banda de 800 MHz y obtenido la aprobación de la FCC para 15.000 satélites V2 de Starlink Mobile. TD Cowen estimó que una red terrestre nacional costaría más de 80.000 millones de dólares y tardaría años. Los satélites son la parte que SpaceX puede lanzar. Las torres son la parte que tiene que alquilar.

Su negocio de reentrada tuvo una semana más tranquila. SpaceX voló la cápsula Starfall por segunda vez el 20 de octubre en Bandwagon-5, una misión compartida de Falcon 9 con 32 cargas útiles, 31 de ellas de clientes. Spaceflight Now informó del lanzamiento; el propulsor voló su misión número 19 y aterrizó en A Shortfall of Gravitas. En el momento de la publicación, SpaceX no había confirmado si Starfall reentró, amerizó o fue recuperada, y no dijo qué llevaba la cápsula. Un segundo vuelo es progreso, pero la empresa dejó el resultado sin declarar.

La misma lógica de capital llegó a la sala del consejo. Musk dijo en la conferencia de resultados de SpaceX del 20 de octubre que tanto SpaceX como Tesla habían formado comités especiales de consejeros independientes para revisar una posible fusión, y que él está excluido de sus deliberaciones por ser una parte en conflicto. Fijó el umbral de aprobación de Tesla en el 50 por ciento de todas las acciones, incluidas las de quienes no votan, lo que calificó de «una barrera bastante alta». SpaceX registró unos ingresos de 14.600 millones de dólares en el tercer trimestre, un 161 por ciento más; Tesla registró 28.000 millones, sin cambios interanuales, con un beneficio operativo un 56 por ciento menor. No se han acordado términos, relación de canje ni financiación. La junta anual de accionistas de Tesla está fijada para el 3 de diciembre. Los comités son un proceso, no un acuerdo.

Las reglas se escriben en público

Anthropic pasó la semana defendiendo que no debería ser la única que escribe las reglas, mientras escribía un borrador de ellas. POLITICO informó el 16 de octubre de que la empresa había propuesto discretamente a los legisladores un proyecto de ley federal confidencial de seguridad de la IA, y Anthropic confirmó la iniciativa ese mismo día. El borrador solo permitiría al gobierno bloquear la publicación o el uso de un modelo cuando plantee un riesgo previsible e inminente de más de 1.000 millones de dólares en daños o de matar o herir gravemente a más de 50 personas, y solo con la aprobación de un juez. También anularía algunas leyes estatales de IA, sustituyendo un mosaico por un estándar federal. Nada de eso es ley. En el momento de la publicación ningún miembro del Congreso lo había presentado, así que no hay número de proyecto, asignación a comisión, patrocinador ni votación. Los umbrales y el paso de la aprobación judicial son como los describió POLITICO y como Anthropic confirmó la iniciativa, no como un texto publicado.

El contexto importa para el momento. Anthropic dijo a los inversores en octubre que sus ingresos del tercer trimestre alcanzaron los 16.800 millones de dólares, alrededor de un 45 por ciento más, y que prepara una salida a bolsa. El interventor de la ciudad de Nueva York escribió a la empresa el 15 de octubre para pedirle que pausara la cotización, según la carta. Una empresa que pide ser regulada a nivel federal mientras pide paciencia a los inversores públicos está haciendo dos argumentos a dos públicos a la vez. Eso no es hipocresía; es como se hacen las políticas en empresas lo bastante grandes para redactarlas. Sí significa que los detalles del proyecto deben leerse como la propuesta de una parte interesada, no como un marco neutral.

La semana de Meta fue un estudio del mismo instinto, a la inversa. La empresa actualizó sus Condiciones Comerciales para usuarios de empresa el 15 de octubre y añadió un texto que autorizaba a programas automatizados a rastrear dominios asociados con los productos o servicios de una empresa y usar el contenido para entrenar IA. El cambio debía entrar en vigor el 30 de octubre y no ofrecía forma de exclusión; a quienes no estaban de acuerdo se les decía que dejaran de usar los productos de empresa de Meta. Tres expertos legales que revisaron el texto para Nieman Lab dijeron que podría permitir el rastreo de sitios vinculados a cuentas de empresa y quizá anular el robots.txt. Meta negó cualquier cambio en cómo usa sus rastreadores web. Después retiró la cláusula el 17 de octubre, dos días después de que se informara de ella, y dijo que las condiciones consolidadas de rastreo solo se habían aplicado a sus productos publicitarios y de empresa. El episodio duró 48 horas y aun así dice hacia dónde se inclinaba la empresa.

Los tribunales se movieron con menos ambigüedad. El 21 de octubre, el juez Francis Mathew, del Primer Distrito Judicial de Nuevo México, condenó a Meta a pagar 25.000 millones de dólares después de que un jurado de finales de septiembre hallara cerca de 44 millones de infracciones de la Ley de Prácticas Desleales del estado. El caso, presentado en 2021, trata de la conducta de Facebook en torno a Cambridge Analytica. El límite de sanciones de Nuevo México de 5.000 dólares por infracción produce una exposición de unos 219.500 millones; el estado pidió hasta 40.000 millones; Mathew concedió 25.000 millones, aproximadamente una novena parte de la cifra legal y muy por debajo de la petición. CNN y Reuters informaron de la sentencia. Meta recurrirá, no ha pagado nada y la condena devenga un interés anual del 15 por ciento mientras avanza el caso. Los relatos publicados no muestran la aritmética que convierte 219.500 millones de exposición en 25.000 millones, que es la parte que otros estados necesitarían antes de tratar el caso como plantilla.

«Las tergiversaciones de Facebook sobre el control que los usuarios tienen de sus datos no fueron incidentes aislados, sino un patrón sistemático de engaño en el núcleo del modelo de negocio de Facebook.» — El juez Francis Mathew, Primer Distrito Judicial de Nuevo México

El Congreso también estaba escribiendo, o al menos anunciando. El representante Ritchie Torres dijo el 15 de octubre que presentará la Power To The Players Act, que ordenaría a la FTC redactar normas que traten los videojuegos digitales de pago como propiedad, exijan un modo sin conexión antes del cierre de los servidores y preserven el derecho a revender. Su ejemplo es NBA 2K25, lanzado en septiembre de 2025, previsto para retirarse de las tiendas el 30 de octubre y para apagar sus servidores el 31 de diciembre. El proyecto aún no tiene número, texto, asignación a comisión ni copatrocinadores, así que su alcance no puede evaluarse. El telón de fondo es real: Sony ha dicho que dejará de fabricar juegos físicos de PlayStation en 2028, y las descargas digitales fueron el 82 por ciento de las ventas unitarias de juegos completos en PS4 y PS5. Una licencia que termina cuando termina un servidor es un alquiler con un nombre más largo, y las otras historias de la semana sobre infraestructura alquilada hacen difícil no ver la analogía.

Apple puso el contraejemplo: una demanda tan fuerte que la restricción apareció como fecha de entrega. Los pedidos anticipados del iPhone Duo se abrieron el 16 de octubre a 1.999 dólares, y el 18 de octubre el modelo de 256 GB daba entrega en enero de 2027 en Estados Unidos, Reino Unido y Australia. Apple dijo a CNBC que la demanda era «nada menos que extraordinaria» y no publicó cifras de unidades, ingresos ni ventas efectivas. Empleados de Apple Store dijeron a MacRumors que se les había instruido para advertir a los clientes sin reserva de que no esperaran comprar uno en tienda el día del lanzamiento. Un plegable de 1.999 dólares agotado es un dato sobre la disposición a pagar, no sobre la durabilidad del producto. También es la rara historia de la semana en la que la factura se pagó con gusto.

La semana en que los estudios cuadraron sus cuentas

Las industrias culturales recibieron el mismo trato que los centros de datos. EA anunció el 21 de octubre que cierra BioWare, el estudio detrás de Mass Effect, Dragon Age y Baldur's Gate, y que pone fin al desarrollo temprano del próximo Mass Effect. Se eliminan unas 400 plazas en EA, cerca del 3 por ciento de su plantilla, incluidas alrededor de 50 en BioWare, informó Bloomberg. BioWare se fundó en 1995, lo que convierte esto en el final de una trayectoria de 31 años y en el cierre de su espacio de trabajo de Edmonton. Mass Effect: Andromeda en 2017 y Anthem en 2019 precedieron a que Dragon Age: The Veilguard incumpliera las expectativas de ventas de EA. La propia EA dejó de cotizar en una operación de 55.000 millones de dólares liderada por el Fondo de Inversión Pública de Arabia Saudí, Silver Lake y Affinity Partners, cerrada en agosto.

Liquid Swords es la versión más pequeña y más limpia. El Tribunal de Distrito de Estocolmo declaró en quiebra al estudio el 12 de octubre, con el abogado de Cirio Karl Björlin como administrador concursal. El informe del administrador del 15 de octubre enumeraba 27 empleados restantes, todos despedidos a través del concurso. Samson: A Tyndalston Story, lanzado en 2026, había vendido unas 151.900 copias y generado aproximadamente 24,1 millones de coronas suecas, unos 2,4 millones de dólares, en ingresos netos a 14 de octubre. Las ofertas por la empresa o sus activos cerraron a las 12:00 CEST del 21 de octubre; ningún comprador había sido nombrado públicamente. El fundador, Christofer Sundberg, confirmó el cierre y culpó a las condiciones del mercado y a «algunas malas decisiones de negocio». Las cifras describen un juego que encontró público y aun así no pudo sostener un estudio.

La disputa laboral más extraña de la semana fue con una consola. El 22 de octubre, el investigador de seguridad pepsipu, también conocido como Sammy Hajhamid, publicó ns2jb, un jailbreak solo por software y tethered para la Switch 2 en el firmware 23.0.1 que funciona a través de SmileBASIC 4. The Verge y TechPowerUp informaron de ello; el investigador dice que es el primero de su clase, una afirmación que la cobertura inicial repitió en lugar de verificar. No es firmware personalizado, necesita una copia de SmileBASIC 4 y es tethered, así que la consola tiene que estar conectada a un equipo anfitrión. Hajhamid dijo que Codex, de OpenAI, ayudó con el trabajo. El exploit se le atribuye a él.

Las reseñas contaron una historia parecida sobre instituciones sometidas a auditoría. Final Fantasy Resonance de Square Enix, el primer Final Fantasy en HD-2D, se lanzó el 22 de octubre a 49,99 dólares con un 86 en Metacritic para PS5 a partir de 51 reseñas, 86 en Xbox a partir de cinco, 83 en PC a partir de 19 y 82 en Switch 2 a partir de 35, con puntuaciones individuales que van del 100 de DualShockers al 60 de VGC. Wildwood, de LAIKA, se estrenó en Estados Unidos el 23 de octubre con un 100 por ciento en Rotten Tomatoes a partir de 102 reseñas, un 87 en Metacritic a partir de 36 y un 97 por ciento de puntuación del público, con el B menos de IndieWire y el 50 de Vulture como las dos críticas mixtas. La cuarta temporada de The Diplomat mantuvo un 100 por ciento a partir de 17 reseñas y un 90 en Metacritic a partir de 12, mientras que la C de IndieWire sostuvo que la temporada más grande diluyó la relación entre Kate y Hal que hacía funcionar la serie. Clayface arrancó con un 75 por ciento en sus primeras reseñas el 21 de octubre, dos días antes del estreno. The New Stanford Prison Experiment se quedó en un 40 en Metacritic a partir de siete reseñas. Ninguno de estos agregados es un veredicto sobre la calidad; cada uno es una instantánea de lo que los críticos alcanzaron a publicar antes de un plazo, y las divisiones informan más que los promedios.

Qué hay que vigilar

La apelación de Meta es lo primero que hay que vigilar, porque los 25.000 millones son una cifra con una teoría jurídica detrás y la teoría se pondrá a prueba antes de que el dinero se mueva. Lo segundo es la adopción de parches: las correcciones de PHP ya están disponibles, la población expuesta se mide en millones y la 8.1 no tiene remedio oficial. Lo tercero es la caducidad de los tokens de ConnectWise, que decidirá si el apagón del 17 de octubre puso realmente fin a las intrusiones o solo detuvo las nuevas. La cifra de pacientes de Quest es lo cuarto: un aviso de brecha sin número es una promesa de decir más después, y lo de después suele llegar en una presentación regulatoria.

En el lado del despliegue, los 14 días de Nvidia se enfrentarán a su primer emplazamiento real, y el calendario de permisos decidirá si la afirmación sobrevive al contacto con una cola de subestaciones. La ronda de DeepSeek se cerrará o se encogerá discretamente; la valoración publicada tiene suficiente distancia entre medios para que la cifra final sea una señal. El borrador de ley de Anthropic se juzgará por si algún miembro del Congreso le pone un número. El proyecto de Torres sobre la propiedad de los videojuegos se juzgará igual. Y el cierre de BioWare se medirá en lo que ocurra con las personas, no con la franquicia: 31 años de conocimiento institucional no se transfieren con la propiedad intelectual.

Las facturas llegaron en los mismos siete días, y la mayoría eran por cosas que habían funcionado en silencio hasta que se les puso precio.

Imagen de portada: una vista aérea de centros de datos cerca de Ashburn, Virginia, por Theodore Christopher vía Wikimedia Commons, CC0. Figuras interiores: un Centro de Servicio al Paciente de Quest Diagnostics por Northwest Retail vía Wikimedia Commons, CC BY-SA 2.0; una recreación del NVIDIA DSX POD por cortesía de NVIDIA; el Capitolio de Nuevo México por Jim Bowen vía Wikimedia Commons, CC BY 2.0; arte oficial de Mass Effect por cortesía de EA y BioWare.