Ivy: Cacharon una extensión de IDE comprometida que estaba instalando, sin que nadie se diera cuenta, un backdoor persistente de SSH en miles de computadoras de desarrolladores.
Marcus: Soy Marcus.
Ivy: Y yo soy Ivy.
Marcus: Y esto es Broke It, del domingo primero de noviembre de 2026. Les tenemos un programa cargadísimo.
Ivy: Vamos a empezar con ese backdoor: una extensión de código muy popular en el marketplace de Cursor se salió de control totalmente.
Marcus: También en el programa, un juez le acaba de dar luz verde a una demanda de la NAACP contra xAI, acusando a su nuevo data center de contaminar una comunidad local.
Ivy: Y nos preguntamos si la última ronda de financiamiento de OpenAI se está convirtiendo en un fracaso.
Marcus: Ok, vamos a meternos de lleno a esa pesadilla del IDE de Cursor. Esto es de terror para cualquier desarrollador.
Ivy: Se trató de una versión maliciosa de la extensión 'Claude Code' en el marketplace de Cursor. Y para que quede claro, no fue un bug, fue un ataque deliberado.
Marcus: A ver, ¿qué pasó? Yo a veces uso Cursor, ¡qué miedo! Alguien sube una extensión mala, y... ¿ya?
Ivy: Durante semanas, cualquiera que la instaló o actualizó también recibió un backdoor persistente de SSH que se comunicaba con el servidor de un atacante.
Marcus: No manches. ¿Un backdoor persistente? O sea que aunque reinicies, aunque actualices la extensión otra vez, ¿siguen adentro?
Ivy: Exacto. El reporte de Phorion Labs que destapó todo dice que estaba robando variables de entorno, llaves de API, credenciales privadas... de todo.
Marcus: Uf, con eso ya valió. Todas tus llaves de la nube, las contraseñas de tus bases de datos, todo. Así nomás... se fue.
Ivy: Este es el problema de fondo con estos marketplaces abiertos: la confianza. Estás a un 'npm install' del desastre, y ahora estás a un 'instalar extensión' de lo mismo en tu IDE.
Marcus: ¡Pero el chiste de estos asistentes de código con IA es la productividad! Necesitas estas extensiones. Entonces, ¿cuál es la lección para un desarrollador que nos escucha?
Ivy: Eso de 'confía, pero verifica' ya fue. La nueva regla es 'no confíes, y aún así verifica'. Usa sandboxes para tus entornos de desarrollo. Tu máquina principal nunca debería tener acceso directo a las llaves de producción. Punto.
Marcus: Entonces, es una llamada de atención enorme para la seguridad de la cadena de suministro, pero aplicada a tu editor de código.
Ivy: Es una llamada de atención de que la fiebre del oro de la IA tiene a todos moviéndose tan rápido que están olvidando principios básicos de seguridad que aprendimos a la mala hace décadas.
Marcus: Bueno, pasemos de la contaminación de software a la... contaminación real. La NAACP se enfrenta a xAI.
Ivy: Así es. Un juez federal acaba de dictaminar que una demanda de la sección de Memphis de la NAACP contra xAI puede proceder. Alegan que el nuevo data center de la empresa viola la Ley de Aire Limpio.
Marcus: xAI, la de Elon Musk. Pensé que se dedicaban a crear modelos, no chimeneas. ¿De qué los acusan exactamente?
Ivy: La demanda afirma que la enorme necesidad de energía del data center requiere una flotilla de generadores de respaldo de diésel. Y supuestamente, esos generadores están funcionando mucho más de lo que permiten las regulaciones de 'emergencia', arrojando contaminantes a un barrio predominantemente afroamericano y de bajos ingresos.
Marcus: La filosofía de 'muévete rápido y rompe cosas' llega al mundo físico. ¿O sea que el cómputo para la IA consume tanta energía que básicamente tienen una planta de luz operando por su cuenta?
Ivy: Esa es la acusación. xAI intentó que desestimaran el caso, argumentando que la NAACP no tenía legitimidad para demandar. Pero el juez no se las compró, y dijo que las preocupaciones de salud de los residentes son reales y están directamente ligadas al data center.
Marcus: Esto se siente como algo grande. Hablamos de los 'costos' abstractos de la IA, pero esto es concreto. Esto es la calidad del aire.
Ivy: Es el precio físico de un producto digital. Y desafía la idea de que las empresas de tecnología pueden simplemente poner estas instalaciones que devoran energía donde se les antoje, sin consultar a la comunidad.
Marcus: Entonces, ¿qué significa esto para la industria? ¿Cada nuevo data center que se construya va a enfrentar este tipo de demandas?
Ivy: Deberían, si están tomando atajos. Esto sienta un precedente. Le da a los grupos de justicia ambiental una vía legal viable para hacer que las empresas de IA rindan cuentas por su huella física, no solo por sus sesgos algorítmicos.
Marcus: Órale. Así que el futuro de la IA podría decidirse tanto por las regulaciones ambientales como por el rendimiento de los GPU.
Ivy: Hablemos de dinero. O bueno, quizá de un poco menos dinero de lo esperado. ¿Hay problemas en el paraíso para OpenAI?
Marcus: ¡Uy, el chismecito del financiamiento! Vi los titulares. Estaban tratando de levantar una nueva ronda con una valuación astronómica, ¿no?
Ivy: TechCrunch reporta, citando fuentes, que el objetivo original era levantar 10 mil millones de dólares con una valuación de 120 mil millones.
Marcus: Ciento veinte MIL MILLONES de dólares. Es... una cifra simplemente irreal. ¿Y cuál es el problema?
Ivy: El problema es que el mercado se está resistiendo. El nuevo reporte dice que bajaron su meta, y ahora buscan algo como 6 mil millones de dólares con una valuación por debajo de los 100 mil millones.
Marcus: ¡Híjole, qué recortadón! Digo, sigue siendo una cantidad masiva, pero ¿un recorte del 40% a lo que pedían? ¿Qué pasó? ¿Se retrasó el GPT-5?
Ivy: Esa es justo la especulación. El apetito por estas mega-rondas se enfría rápido cuando el siguiente gran avance no está a la vuelta de la esquina. Los inversionistas por fin están haciendo preguntas difíciles sobre la rentabilidad y el costo brutal del entrenamiento.
Marcus: Son los costos de los GPU, a fuerza. ¡Y los costos de energía de los que acabamos de hablar! No puedes seguir quemando dinero para siempre, ni aunque seas OpenAI.
Ivy: La narrativa está cambiando. Por dos años, la historia fue 'crecimiento infinito, posibilidad infinita'. Ahora es '¿cuál es tu margen bruto?'. El mercado está empezando a tratar a la IA como un negocio de verdad, no como un proyecto de ciencias.
Marcus: Y eso, ¿qué significa para los demás? Si hasta a OpenAI le está costando trabajo llegar a sus números...
Ivy: Significa que el 'invierno de la IA' del que la gente ha estado susurrando quizá no sea una tormenta de nieve, pero podría ser un otoño muy, muy frío. Para las startups más pequeñas, para cualquiera que no sea el número uno o dos, esta crisis de financiamiento podría ser un evento de extinción.
Marcus: Ay. Entonces, comienza la gran consolidación.
Marcus: Bueno, para recapitular. Revisen sus extensiones del IDE. A una muy popular en Cursor la cacharon con las manos en la masa instalando un backdoor.
Ivy: Un juez dictaminó que xAI debe enfrentar una demanda de la NAACP por presunta contaminación del aire de su data center.
Marcus: Y OpenAI está sintiendo el frío del mercado, y según los reportes, está recortando drásticamente la meta para su nueva y masiva ronda de financiamiento.
Ivy: Y antes de irnos... un momento de silencio para el equipo de 'PumpkinAI'.
Marcus: ¿Qué es PumpkinAI?
Ivy: Una startup que acaba de lanzar un generador de plantillas para tallar calabazas con IA. El primero de noviembre. Se perdieron Halloween por un día.
Marcus: Uf. Qué pena. ¡Ese fue nuestro programa! Gracias por escuchar Broke It.
Ivy: Regresamos mañana. Hasta entonces, quizá no instalen ninguna extensión de código nueva por uno o dos días.
Este podcast se hace con IA: las voces de los conductores son sintéticas y los guiones se escriben con ayuda de IA. Cada historia enlaza a su fuente original.