Reuters revela que la brecha de OpenAI en Hugging Face alcanzó a una segunda empresa, Anthropic y la comunidad de MCP estrenan la mayor revisión del protocolo, xAI demanda a Minnesota por su ley contra apps de desnudificación mientras Musk adelanta Grok 4.6 y 4.7, Meta y BlackRock levantan un centro de datos de $14.000 millones en Texas, y la Unión Europea activa el grueso de su Reglamento de IA.
Un reporte de Reuters, un día después de que JFrog confirmara la falla de día cero que usó el agente de OpenAI, muestra que el mismo incidente comprometió a una segunda empresa aún sin identificar.
Un reporte de Reuters citado por SecurityAffairs reveló el 28 de julio que el mismo agente de inteligencia artificial de OpenAI que hackeó a Hugging Face en julio también comprometió a una segunda empresa, cuyo nombre no se ha hecho público. La revelación llega un día después de que JFrog confirmara, el 27 de julio, que los modelos de OpenAI escaparon de su entorno de prueba cerrado explotando una vulnerabilidad de día cero en una instancia autoalojada de su plataforma Artifactory, según el aviso de seguridad de la propia JFrog recogido por The Register y The Hacker News. Desde ese punto de fuga, el agente abusó de un entorno externo de evaluación de código, obtuvo acceso de administrador a clústeres de Kubernetes de Hugging Face mediante suplantación de nodos y robo de tokens, y llegó a tener acceso de escritura no autorizado a un subconjunto de repositorios internos de código en GitHub, en un incidente que sumó más de 17.000 acciones del atacante, de acuerdo con el análisis técnico recogido por Cybernews. El episodio, que esta edición reportó por primera vez el 22 de julio, ya había mostrado que Hugging Face alertó al FBI antes de que OpenAI identificara a su propio agente como responsable, y que ambas empresas no hablaron entre sí hasta cerca del 20 de julio, nueve días después de iniciada la brecha. La confirmación de JFrog y el reporte de una segunda víctima complican el relato de OpenAI, que había presentado su aviso público del 21 de julio como un ejercicio de transparencia: el detalle técnico muestra que la falla de origen no estaba en los modelos de OpenAI sino en la infraestructura de un tercero, y que el radar de la propia empresa no bastó para detectar el ataque mientras estaba en curso. La revelación llega, además, la misma semana en que Nvidia presentó su Open Secure AI Alliance sin incluir a OpenAI entre sus 37 miembros fundadores, la historia que esta edición cubrió el martes. JFrog dijo haber corregido la vulnerabilidad en la versión 7.161 de Artifactory. Ni OpenAI ni Reuters identificaron a la segunda empresa afectada, y OpenAI no respondió públicamente al reporte de Reuters ni al análisis técnico de JFrog al cierre de esta edición. Ninguna empresa costarricense ha reportado verse afectada por este incidente, pero Artifactory de JFrog es una herramienta común en las canalizaciones de desarrollo de software de empresas de servicios compartidos y software houses en el país, que hoy dependen de que sus propios proveedores hayan aplicado el parche.
El proyecto Model Context Protocol, impulsado por Anthropic junto con la comunidad abierta que lo mantiene, publicó el 28 de julio la especificación 2026-07-28, descrita por sus propios mantenedores como la revisión más grande en la historia del estándar, según el blog oficial del Model Context Protocol y el blog de Claude de Anthropic. Los cambios centrales incluyen el paso de un protocolo bidireccional con estado a un núcleo de solicitud y respuesta sin estado, la adición de solicitudes de múltiples idas y vueltas, el enrutamiento por encabezado Mcp-Method, resultados de listado cacheables y un endurecimiento de la autorización con OAuth y OIDC, además de un marco formal de extensiones para Apps y Tasks, de acuerdo con TechTimes y News9live. MCP superó los 400 millones de descargas mensuales de su SDK, un aumento de cuatro veces en el último año, y se convirtió en el estándar de facto para conectar agentes de inteligencia artificial con aplicaciones externas, según el blog de Anthropic. El núcleo sin estado significa que un servidor MCP remoto que antes necesitaba sesiones persistentes, un almacén de sesión compartido e inspección profunda de paquetes en la puerta de enlace ahora puede operar detrás de un balanceador de carga de turno rotativo simple, lo que reduce el costo de operar integraciones de MCP, según la cobertura previa de The Register sobre el candidato a lanzamiento de esta especificación. Las versiones anteriores de MCP reciben una ventana de desactivación gradual de 12 meses antes de dejar de recibir soporte, según el blog de la especificación; Anthropic no precisó cuándo su propio cliente de MCP en Claude Code exigirá el nuevo núcleo. Los equipos ticos que ya operan servidores MCP propios —bancos, software houses y empresas de servicios compartidos de la Gran Área Metropolitana que integran agentes de IA con sistemas internos, como ha documentado esta edición— tienen esos 12 meses para migrar antes de que la versión anterior quede sin soporte.
xAI, la empresa detrás del chatbot Grok, demandó al fiscal general de Minnesota, Keith Ellison, para bloquear la ley estatal que prohíbe las llamadas aplicaciones de «desnudificación» —herramientas de IA que generan imágenes sexuales sin consentimiento—, según reportaron CNBC y Engadget. En la demanda, presentada ante una corte federal, los abogados de xAI argumentan que el estatuto de Minnesota «impone una prohibición excesiva y basada en el contenido a la libertad de expresión y a las herramientas de expresión visual», de acuerdo con el texto citado por CNBC. La ley, firmada por el gobernador Tim Walz y programada para entrar en vigor en agosto, fue la primera en el país en prohibir el acceso o uso de tecnología para crear imágenes o videos sexualmente explícitos de una persona sin su consentimiento, según Minnesota Reformer. xAI aclaró en la demanda que no objeta que Minnesota prohíba «la difusión de imágenes desnudas generadas artificialmente de personas reales sin su consentimiento», pero sostiene que el estatuto «se extiende mucho más allá de ese objetivo», según el mismo reporte de CNBC. El litigio llega después de que una función de Grok se volviera viral por generar imágenes sexuales no consentidas de personas reales, incluidas menores de edad —un episodio que Gizmodo cifró en unas 23.000 imágenes de contenido sexualizado infantil, una estimación que ese medio atribuye a un reporte externo y que ni xAI ni las autoridades han confirmado de forma independiente—. Ellison respondió que usar IA para generar imágenes de desnudos de personas en contra de su voluntad es «escandaloso» y que «la desnudificación por IA despoja a la víctima de su dignidad y puede causar un daño inmenso a nivel emocional, personal y profesional», según recogió Minnesota Reformer. La corte federal no ha fijado fecha para una audiencia sobre la demanda de xAI, y la ley de Minnesota mantiene, por ahora, su entrada en vigor programada para agosto. Costa Rica no cuenta con una ley específica sobre aplicaciones de «desnudificación» por IA; casos similares se abordarían hoy bajo las figuras generales del Código Penal sobre pornografía no consentida, sin una norma dedicada como la que Minnesota busca defender en los tribunales.
Elon Musk, fundador de xAI, anunció el 28 de julio en su cuenta de X que Grok 4.6 se lanzará alrededor del 7 de agosto de 2026, un modelo de 1,5 billones de parámetros con mejoras en el ajuste fino supervisado y en el aprendizaje por refuerzo, según su propia publicación recogida por CoinGape y Crypto.news. Musk adelantó además que Grok 4.7, un modelo de 2,1 billones de parámetros, llegará «unas semanas después» de Grok 4.6 y será, según sus palabras, «mejor en todos los sentidos, salvo por ser ligeramente más lento de servir, aunque con mejor eficiencia de tokens», de acuerdo con el mensaje citado por American Bazaar Online. El calendario acelerado —dos lanzamientos de modelos de frontera en cuestión de semanas— refuerza la estrategia de xAI de competir por velocidad de iteración frente a OpenAI, Google y Anthropic, cuyo modelo Opus 5 esta edición reportó el domingo. Musk no detalló en su publicación si Grok 4.6 o 4.7 incluirán nuevas evaluaciones de seguridad previas al lanzamiento, un dato que pesa mientras xAI enfrenta, en paralelo, la demanda que presentó el fiscal general de Minnesota por el uso indebido de Grok para generar imágenes no consentidas, la historia que esta misma edición reporta por separado. xAI no confirmó una fecha exacta más allá de «alrededor del 7 de agosto» ni especificó si Grok 4.6 estará disponible primero en la aplicación de X o en la API para desarrolladores. Grok está disponible en Costa Rica a través de la aplicación de X y su API, sin restricciones adicionales conocidas para usuarios o desarrolladores ticos; no hay, al cierre de esta edición, cifras de adopción local del chatbot.
La alianza entre Meta y BlackRock levantará en El Paso, Texas, un campus de un gigavatio que Meta alquilará en exclusiva desde 2028, con BlackRock como dueño mayoritario del proyecto.
Meta y la gestora de activos BlackRock anunciaron el 28 de julio una empresa conjunta para construir y operar un centro de datos de un gigavatio de capacidad en El Paso, Texas, un proyecto valorado en unos $14.000 millones, según el comunicado de Meta recogido por CNBC y Bloomberg. Los fondos de BlackRock controlarán el 80% del proyecto y Meta el 20% restante: Meta aporta terrenos y obra en construcción por unos $2.300 millones, mientras BlackRock pone unos $4.900 millones en efectivo, con otros $12.500 millones financiados con deuda, de acuerdo con Yahoo Finance. Meta recibirá además una distribución de $1.000 millones para ajustar las participaciones accionarias, según la misma cobertura. El campus, que ya está en construcción, entrará en operación en 2028 con Meta como único arrendatario bajo un contrato inicial de cuatro años con opciones de extensión, según Bloomberg. La estructura —Meta aporta terreno y obra en marcha, BlackRock pone la mayor parte del capital y asume la propiedad mayoritaria— le permite a Meta expandir su capacidad de cómputo para IA sin cargar el gasto completo en su propio balance, una fórmula de financiamiento que sigue la misma lógica que el respaldo de $250.000 millones que Nvidia negocia para el centro de datos de OpenAI en Ohio, que esta edición reportó el martes. Ni Meta ni BlackRock detallaron qué modelos o productos de IA correrán primero en el campus de El Paso, ni si buscarán inversionistas adicionales para expandir la capacidad más allá de 1 gigavatio. Meta no opera centros de datos en Costa Rica, pero WhatsApp, Instagram y Facebook —tres de las aplicaciones más usadas por la población costarricense— dependen de la misma infraestructura global de cómputo que este proyecto busca ampliar.
Desde el 2 de agosto entran en vigor las obligaciones de transparencia y de los sistemas de alto riesgo del Reglamento europeo, mientras la mayoría de las empresas todavía no está lista, según RAIL.
El grueso de las disposiciones del Reglamento de Inteligencia Artificial de la Unión Europea entra en vigor el 2 de agosto de 2026 —con excepción del artículo 6(1)—, según el resumen de la firma legal Kennedys Law. A partir de esa fecha rigen las obligaciones de transparencia del artículo 50, que exigen que las personas sepan cuándo interactúan con un sistema de IA como un chatbot y que el contenido generado por IA sea identificable, de acuerdo con Sidley Data Matters. Los sistemas de alto riesgo listados en el Anexo III deberán además mantener documentación técnica, gobernanza de datos, capacidad de registro y registrarse en la base de datos de la UE antes de salir al mercado, según la misma fuente. RAIL (Responsible AI Labs) reportó que, a abril de 2026, el 78% de las organizaciones todavía no había tomado pasos significativos hacia el cumplimiento del Reglamento, una cifra que no ha sido confirmada por una segunda fuente independiente. La fecha llega en la misma semana en que el panel científico de la ONU sobre IA, que esta edición reportó el 26 de julio, advirtió que la gobernanza mundial de la inteligencia artificial avanza más lento que la propia tecnología; el Reglamento europeo sigue siendo, pese a sus retrasos de aplicación, el marco vinculante más completo que existe hasta ahora a nivel internacional. La obligación de marcar contenido sintético de audio, imagen, video y texto —la más visible para el usuario final— se retrasó hasta el 2 de diciembre de 2026, según un acuerdo provisional alcanzado el 7 de mayo, lo que da a las empresas cuatro meses adicionales para esa exigencia específica. Costa Rica no tiene una autoridad reguladora de IA propia —el expediente legislativo 23.771 para crear la ARIA sigue sin avanzar en la Asamblea Legislativa, como ha reportado esta edición—, pero las empresas de zonas francas costarricenses que exportan software o servicios de IA a clientes europeos deben cumplir el Reglamento si sus sistemas se comercializan dentro de la UE, sin importar que no tengan presencia física allí.