
#Slytherin. Information Security Architect. Lady in black. Adoro hacer puzzles. @hackandbeers
@agomezs.bsky.social
Joined August 2014
- Tweets2.8K
- Following538
- Followers788
- Likes15.8K
Pinned Tweet
#Compliance, uno de los campos más olvidados de ciberseguridad y uno de los más importantes como engranaje de una correcta gestión de la infraestructura...
Una de las herramientas que nos van a ayudar en esta tarea y nos ofrece #Azure son las Azure Policies 😀
Almu Gómez retweeted
Researchers mathematically proved that AI will cause something worse than mass unemployment.
They call it “The Tragedy of the Cognitive Commons.”
Every industry relies on a shared pool of deep professional expertise. This expertise doesn't just magically appear. It regenerates generation after generation.
How? Through struggle.
Junior employees do the hard, repetitive, frustrating work. In exchange, they slowly build what researchers call "Internalized Mastery."
But right now, AI is completely annihilating junior-level work.
Companies are celebrating massive productivity boosts by automating the entry-level grind. (Anthropic’s own data shows their technical junior hiring has plunged 33% as AI agents take over the pipeline).
It looks like efficiency. But it is actually a time bomb.
The researchers highlight a concept called the "Validation Tether."
Effective human oversight of AI depends entirely on deep domain expertise. When an AI hallucinates or makes a critical error, a human expert catches it.
The experts validating AI outputs today look competent because they spent a decade doing the grunt work before AI existed.
The terrifying question the paper asks is this:
Who comes after them?
When the current generation of experts retires, there will be no one left with the Internalized Mastery required to spot when the machine is wrong. We are completely severing the pipeline that creates human competence.
We are trading our long-term intellectual independence for short-term productivity boosts.
Every time you let AI bypass the struggle, you are borrowing expertise from the future.
And the interest rate is our ability to think for ourselves.
Almu Gómez retweeted
I think we've discovered another critical vulnerability:
CVE-2026-BURNOUT: AppSec Professional Exhaustion
Severity: Critical (CVSS 10.0)
Description: A vulnerability affecting security professionals exposed to a continuous stream of critical RCEs, zero-days, emergency patches, and Friday afternoon disclosures.
Impact: Sleep deprivation, excessive caffeine consumption, and an inability to enjoy weekends.
Attack vector: Reading security advisories.
Affected versions: All AppSec professionals, regardless of experience.
Mitigation: No known patch. Air-gapping may delay the inevitable. Total system collapse remains a possibility. 🔥
Almu Gómez retweeted
Es fascinante cómo alguien en pleno 2026, en el auge del vibecoding, puede seguir pensando que una notificación de una vulnerabilidad grave "es un mensaje para profesionales".
Pero no sólo es una noción del sector que ha caducado como si esto fuera 1990, sino que además es una visión limitada y casi caricaturizada del servicio público, más propia del estereotipo de funcionario de ventanilla de "venga usted mañana": que son los ciudadanos los que ante una situación peligrosa tienen que hacer el esfuerzo sin que por parte de la administración se haga el mínimo trabajo por intentar llegar a ellos primero.
Afortunadamente, el National Cyber Security Centre de Reino Unido, el centro de Ciberseguridad de Países Bajos, la agencia nacional francesa de seguridad de sistemas, ANSSI, también del CERT de Polonia, la CISA, el FBI y el NSAC en EEUU, el CSIRT italiano, el CCBalert belga, el BSI alemán, el CERT-EU o el NUKIB checo no piensan como él y sí han dado notificaciones y alertas en redes sociales.
Almu Gómez retweeted
He escrito un pequeño artículo sobre que, en uno de los días más críticos para la ciberseguridad de los últimos años, ni la cuenta principal del @INCIBE, ni el Ministerio de Transformación Digital, ni el ministro Óscar López hayan dicho nada del tema.
Almu Gómez retweeted
⚠️#INCIBEaviso | Múltiples vulnerabilidades en #PHP
incibe.es/incibe-cert/alerta…
#AvisosDeSeguridad #TI
La filtración de datos de Revolut me parece increíble.
Guardan datos que no deberían guardar y se los dan a la primera administración que se los pide. Sin filtros, les da todo lo que le piden.
Encima la administración eran hackers suplantando un certificado.
¿No tener activada la licencia en un ATM es un riesgo de ciberseguridad?
No, lo primero que hay que hacer es comprender que los ATM (como muchos equipos de campo) no llevan el mismo SO Windows que pueda usar un usuario.
Sorpresa! Hay específicos para este tipo de equipos
01217CRS002 Id numaralı Garanti BBVA ATM cihazının güvenlik kamerası yoktur, bulunmamaktadır. Ayrıca ATM cihazında lisansız kaçak Windows yazılımı kullanılmaktadır. Bu kadar güvenlik zafiyeti nasıl olabiliyor? @GarantiBBVA @GarantiyeSor
Aunque no esté activado, puede estar enrolado en un WSUS y recibir las actualizaciones correspondientes, igual que recibir su configuración de hardening establecida en el Security Director Plan
Almu Gómez retweeted
⚠️Recordatorio: Países Bajos prohibió comprar vivienda para ponerla en alquiler, lo que:
1️⃣Aumentó precios del alquiler, por haber disminuido la oferta.
2️⃣Redujo compras por inversores.
3️⃣Afectó negativamente a jóvenes.
4️⃣No bajaron precios viviendas.
aeaweb.org/conference/2024/p…
Almu Gómez retweeted
Bloomberg just dropped the most disturbing investigation I have read this year, and every AI builder should read it and take it seriously.
On February 28, two Tomahawk missiles hit an elementary school in Minab, a small town in southern Iran. 156 people died. At least 123 were children. The Pentagon knew within hours that it had bombed a school.
The school had its own website. It was labeled on Google Maps. You could see the soccer pitch from a satellite view. You could see the brightly painted walls. Any 12-year-old with a browser could tell what the building was.
The AI system could not.
Inside US Central Command, personnel were using Palantir's Maven Smart System. It is an AI targeting platform running on a $1.3 billion Pentagon contract, and embedded inside it is Anthropic's Claude.
On day one of the war, more than 1,000 targets went through it in 24 hours. Work that used to take a team hours per target got compressed into minutes.
The satellite imagery Maven was pulling from was seven years old. The site was still tagged in the database as an Islamic Revolutionary Guard facility.
The system spat it out as a recommended day-one target. Humans signed off. The first missile flew. Then a second one landed minutes later to hit the people who came to help.
Investigators later found that some Central Command staff had assumed Maven would flag stale intelligence for them. It did not. Nobody had told it to.
Palantir told Bloomberg the government is responsible for the underlying data. The Pentagon's civilian harm mitigation team, the people whose actual job is to catch a target like this, had been cut back before the war started.
This is not AI going rogue. This is the opposite.
This is AI doing exactly what it was built to do at exactly the speed it was built to do it. And a school full of little girls got vaporized because the humans in the loop trusted the machine more than they trusted their own eyes.
I keep thinking about the version of this story that comes next. What happens when the system is faster. When the target list is not 1,000 in a day but 10,000. When "review" becomes a button the operator has three seconds to hit before the next target loads. When there is no human left slow enough to notice that a soccer pitch is not a helipad.
We are not talking about a spam filter mislabeling an email. We are talking about a system that turned a seven-year-old database entry into two cruise missiles landing on children in the middle of a morning class.
A UN-backed panel has now called it a potential war crime.
In terms of children killed, it is the deadliest American targeting error of the entire 21st century. And according to Bloomberg, some of Defense Secretary Hegseth's own advisors are worried that too much public scrutiny of Maven might slow down its adoption inside the Pentagon.
Read that last line again.
If you build this stuff, you own what it does. You do not get to hide behind "the government owns the data." The whole pitch of your product is that speed and integration save lives. When it takes them instead, that is also on you.
I am not against AI in defense. I am against AI in a hurry. Speed is the entire mechanism that made Minab possible. Every guardrail we already know how to build takes time, and time is exactly what the system was designed to eliminate.
So here is the question I have not been able to stop asking, and I genuinely want to know what you think.
If a piece of software helped kill 123 children in a single morning while behaving exactly as designed, what does "responsible AI" even mean anymore?
Replying to @naroh
Laa respuestas de la comunidad de Madrid son la leche. Yo pedí información sobre un contrato valorado en 1200 millones de euros y me respondieron que "está en una caja amontonados con otras cajas y es imposible de encontrar".
Así vamos...
Almu Gómez retweeted
Increíble: la Comunidad de Madrid me inadmite una solicitud de acceso a información pública sobre una partida presupuestaria argumentando que otra gente ha pedido expedientes relacionados y dándome los nombres y apellidos de los ciudadanos que hicieron esas solicitudes relacionadas.
Almu Gómez retweeted
Estoy entre esos nombres. A mí también me ha llegado esta mañana. Voy a denunciar a la AEPD, obviamente.
@ComunidadMadrid no solo decís que mi solicitud es repetitiva cuando es la primera vez que solicito, sino que encima le filtráis mis datos personales a decenas de personas.
Almu Gómez retweeted
Acabo de publicar el render 3D de mi hígado. Salen 20 lesiones.
Soy ingeniera y tengo un cáncer de mama metastásico. De esas 20 solo hay dos
medidas en el informe de radiología, una en el segmento II de 20 mm y otra en el
IVb de 19, las dos del TC del 8 de septiembre. Las otras 18 las ha sacado Polaris, mi sistema agéntico, y todavía no las ha validado nadie.
En mayo un PET no vio nada ahí, en julio ya había metástasis y del TC de septiembre salen las 20. Es impactante que aparezcan tantas en tan poco tiempo.
Del hígado el informe escrito dice «múltiples». Del hueso dice «incontables». Y eso es lo que más me ha chocado, que no ponga el número de lesiones.
El primer visor que hice fue el de los huesos, y me sirvió de apoyo cuando decidimos con mi equipo qué lesión biopsiar. Ahora ya le he añadido el hígado y el tumor primario de la mama.
Los puedes girar tu aqui 👇
helpmiriam.com/lesiones-x
Cada vez tengo menos tiempo y espero que estas herramientas ayuden a agilizar
procesos.
Sigo alucinando que lo que construyo tiene impacto real en mi salud y en las
decisiones que tomamos.
Almu Gómez retweeted
1👻-"¿Sabéis esos certificados TLS que renováis cada año con sudores fríos? Pues preparaos: van a durar 47 DÍAS"
🤬-"¡¿CÓMO?!"
No es rumor: está aprobado y el calendario corre.
Hoy: qué viene y por qué (aunque duela) tiene sentido. Abro 🧵






















