https://foron.dev/tags/norn/Portfolio y blog de Iker Foronda: ingeniería cloud y DevOps (Kubernetes, Terraform, Azure), seguridad ofensiva de IA y red teaming de LLM, y desarrollo full stack (Python, Node.js, PostgreSQL).Hugo -- gohugo.ioesFri, 06 Nov 2026 00:00:00 +0100https://foron.dev/blog/tu-agente-te-pega/Fri, 06 Nov 2026 00:00:00 +0100https://foron.dev/blog/tu-agente-te-pega/<p>Pensando en cómo mejorar Norn, volví a lo de siempre: poner nombre a lo que quiero ver cuando pasa, y a lo que quiero ver antes de que pase.</p> <p>En algún punto de esa vuelta me pregunté qué detecta <a href="https://github.com/foron23/norn">Norn</a>. Detecta obediencia: si el modelo hace lo que el documento le manda, con un canario de testigo y un corpus que puedo contar. Eso está medido.</p> <p>La duda incómoda llegó al lado. Un agente con herramientas no solo obedece: ejecuta. Y de lo ejecutado yo no tenía número. No es que lo midiera mal. Es que no existía. La pregunta que sale de ahí no es la de los bancos de pruebas, que miden si el ataque gana y cuánta utilidad cuesta defenderse: es cuánto dolió lo que pasó y cuánto se quedó a medio camino.</p>iasecuritynornhttps://foron.dev/blog/php2shell/Thu, 22 Oct 2026 00:00:00 +0200https://foron.dev/blog/php2shell/<aside class="callout callout-warn" role="note"> <div class="callout-head"> <span class="callout-glyph" aria-hidden="true">!</span> <span class="callout-label">tl;dr</span> </div> <div class="callout-body"><p>Dos fallos del núcleo de PHP, <a href="https://www.cve.org/CVERecord?id=CVE-2026-109618">CVE-2026-109618</a> y <a href="https://www.cve.org/CVERecord?id=CVE-2026-109619">CVE-2026-109619</a> (9.2), permiten <strong>ejecución remota de código sin autenticación</strong>: control del servidor, con la aplicación que sea. Un «hola mundo» también cae. Afecta desde PHP 5.4.</p> <p>El segundo impacto es lectura de memoria del proceso, con contraseñas y tokens de otras peticiones.</p> <p>Actualiza a 8.2.35, 8.3.36, 8.4.27 o 8.5.12.</p> <p><strong>Reinicia los procesos</strong>, no el servidor: PHP-FPM, Apache y cualquier worker que lleve meses en pie.</p>securityiocshttps://foron.dev/blog/macgyver-en-una-raspberry-pi/Tue, 06 Oct 2026 00:00:00 +0200https://foron.dev/blog/macgyver-en-una-raspberry-pi/<p>De la curiosidad nacen muchas de las cosas que merecen la pena. Otras nacen de la necesidad. Lo que cuento aquí está en medio de las dos.</p> <p>Entre tanto «slop» en internet, me di cuenta de que no podía seguir el ritmo de todos los canales de información. Tocaba adaptarse o morir, al más puro estilo Darwin. Madafaka.</p> <p>Llevo desde principios de agosto metiendo en una carpeta de ficheros de texto todo lo que leo y todo lo que decido. Hoy son 471 notas atómicas, 333 fuentes, 79 síntesis y 7 intercambios. Hace una hora había 470 y una menos, porque el sistema sigue trabajando mientras yo hago otras cosas.</p>iahermesaprendizajehttps://foron.dev/blog/el-codigo-esta-solucionado/Tue, 29 Sep 2026 00:00:00 +0200https://foron.dev/blog/el-codigo-esta-solucionado/<p>El código está solucionado.</p> <p>Casi. No exactamente. Lo que se ha resuelto es una parte muy concreta del trabajo, la que se llevaba las tardes enteras, y lo que queda es lo que nadie había tenido que entrenar antes.</p> <p>Durante años, mi trabajo fue este bucle: escribo código, compilo, ejecuto, no funciona, leo el mensaje de error, cambio una línea, vuelvo a empezar. Un error de una línea podía llevarse una tarde entera. Daba igual lo bien que hubiera pensado el diseño: si aquello no arrancaba, no había nada. Había días en los que no sacaba nada adelante, y lo desesperante nunca era el error. Era el bucle.</p>iadesarrollosdlc