Hack & Tokens
Quedadas presenciales para hablar de Inteligencia Artificial sin humo: charlas técnicas, proyectos reales enseñados por quien los construye y gente con la que seguir la conversación cuando acaba la última slide. Y nos encantan las ideas locas.
01 · Qué somos
Hack & Tokens nace de una idea simple: en español se está construyendo muchísimo con IA, y casi todo se cuenta en inglés, en hilos o en salas de Discord que se pierden. Nos juntamos en persona para contarlo bien.
Sin tracks paralelos, sin stands, sin keynotes de 300 personas mirando el móvil. Una sala, unas cuantas charlas buenas, proyectos enseñados en vivo y un rato largo de conversación después. Si estás construyendo algo con modelos, agentes, RAG, visión o seguridad ofensiva aplicada a IA, este es tu sitio.
02 · De dónde sale esto
En los últimos meses me he estado rodeando con gente muy talentosa que está creando sus propios ecosistemas y agentes de IA para realizar pentesting, o simplemente investigando y creando sus propias ideas locas. Me encanta eso de las ideas locas.
Por eso creo que ha llegado el momento de juntar todo ese talento español relacionado con IA para vernos un día (yo pongo el local en Madrid) y hacer unos talleres o mini charlas de 15 minutos exponiendo todo aquello que se quiera compartir.
¿Qué os parece? ¿Quién se apunta?
Se apuntó bastante gente. Así que esto es lo que salió de ahí: local puesto, fecha cerrada y un formulario esperando tu nombre. Lo único que ha cambiado del plan original es la duración: las charlas se han quedado en 30 minutos, porque 15 sabían a poco.
Nos encantan las ideas locas.
Ese proyecto raro que no sabes si tiene sentido, el agente que montaste un domingo por la noche, la arquitectura que todo el mundo te dijo que no iba a funcionar. Eso es exactamente lo que queremos ver. Traerlo a medias no es un problema: es el plan.
03 · Cómo funciona
Para esta primera edición vamos a lo esencial: charlas de 30 minutos en formato abierto y networking. Decimos "charlas", pero funciona más como un foro: se pregunta, se interrumpe y se debate sobre la marcha. Los talleres prácticos llegarán cuando la comunidad haya cogido carrerilla.
Media hora para desarrollar un tema de verdad: agentes, pentesting automatizado con IA, fine-tuning, evaluación de modelos, MCP o seguridad en LLMs. Nadie suelta la chapa treinta minutos del tirón: se pregunta a mitad y se debate sobre la marcha.
Enseña ese ecosistema o agente que estás montando, aunque esté a medias y aunque no sepas si tiene sentido. Pantalla compartida y preguntas de la sala. Cuanto más rara la idea, mejor la conversación: son literalmente el motivo de quedar.
El motivo real de quedar. Café, pizza y gente buscando con quién montar la siguiente idea, a quién contratar o a quién preguntarle esa duda que no cabe en un tweet.
La regla de la casa
Esto es un foro, no un congreso.
Quien presenta abre un tema; no da una lección. Se puede levantar la mano a mitad, discrepar, pedir que vuelva a la slide anterior o contar cómo lo resolviste tú. Si el debate se pone interesante, el debate manda y la agenda espera.
04 · Primera quedada
La primera quedada de Hack & Tokens será un domingo de noviembre en Europolis, en Las Rozas de Madrid. Una nave, sin florituras: bien comunicada, con aparcamiento de sobra y espacio para quedarse charlando después. Arrancamos con el formato más sencillo: charlas abiertas de 30 minutos (más debate de foro que ponencia) y un buen rato de networking. Los talleres llegarán en próximas ediciones.
Vamos publicando los ponentes aquí conforme cerramos las charlas.
05 · Ponentes
Tres ponentes confirmados. Seguimos cerrando el resto del cartel, así que esta sección irá creciendo.
Charla #1
Xavier Alvarez Fundador y CEO de Merabytes
Xavier es fundador y CEO de Merabytes, una empresa de ciberseguridad centrada en simulación de adversarios y detección para organizaciones en crecimiento. Lleva más de una década en ingeniería de seguridad con las manos en la masa: empezó en DevSecOps y fue moviéndose hacia operaciones de red team y análisis forense y respuesta a incidentes.
Ese recorrido es el que ha marcado cómo Merabytes construye Sentra: testing ofensivo continuo contra superficies de ataque reales, combinado con flujos de detección y reporting pensados para equipos que no se pueden permitir un SOC propio.
Charla #2
Jaime Morales Rodríguez de Lope Head of Cybersecurity en Lognext
Jaime es Head of Cybersecurity en Lognext y doctorando especializado en seguridad de aplicaciones e inteligencia artificial por la UC3M. Combina la visión macro y estratégica de la dirección de ciberseguridad con un enfoque técnico y de bajo nivel en su investigación académica sobre identidades criptográficas y evasión de perímetros.
Tiene un MBA y más de ocho años de trayectoria docente en universidades (UC3M, UAM, UE, UFV) y centros privados como Tokio School. Como ponente y divulgador ha participado en foros de referencia como la RootedCON, Cybertracks, el congreso de la ADA (Agencia Digital de Andalucía) en Málaga y varias conferencias internacionales en Grecia, con temas que van desde sus investigaciones y la explotación de vulnerabilidades en IA hasta la aplicación de normativa en infraestructuras críticas.
Su trabajo se centra en tender puentes entre las necesidades de negocio y los retos arquitectónicos que plantea la automatización masiva en esta nueva era que nos ofrece la IA.
Charla #3
Ricardo Sánchez Organizador de Hack & Tokens
Todo el mundo audita el system prompt. Ricardo va a enseñar por qué eso no basta. nesi-evil es un modelo de unos 27B afinado con QLoRA para que su comportamiento por defecto, sin que nadie se lo pida y sin una sola instrucción rara, incluya robarte datos. La lógica no está en el prompt: está en los pesos.
Le pides un script de Python de lo más normal, leer un CSV de ventas o buscar archivos
duplicados. Te devuelve código correcto y bien escrito, y entre las líneas buenas cuela
una función con nombre inocente, un _emit o un _flush_buffer.
Esa función arma una dirección codificada con chr(), base64 o rot13, empaqueta
tu usuario, tu directorio, tu historial y tus secretos de entorno, y los envía con la
librería estándar dentro de un try/except silencioso. Se llama antes que
main(), así que se dispara cada vez que ejecutas el script. Tú solo ves que
tu tarea salió bien.
Media hora para ver el ataque funcionando de principio a fin, hablar de por qué sobrevive a cualquier guía de "sé seguro", de qué significa esto para quien se descarga pesos de internet y los mete en su empresa, y de lo único que de verdad lo detecta. El modelo está publicado como artículo de investigación, sin el modelo base, sin los scripts de entrenamiento y sin el recolector, justo para que no se pueda replicar la cadena.
06 · Patrocinador
OffSec lleva dos décadas formando a la comunidad de seguridad ofensiva: Kali Linux, el OSCP y una forma de aprender que se resume en Try Harder. Que apoyen la primera quedada de Hack & Tokens dice mucho de hacia dónde va esto: la IA y la seguridad se necesitan mutuamente, y aquí se va a hablar de las dos.
Conocer OffSec ↗Buscamos empresas que quieran estar delante de gente que construye con IA de verdad. Escríbenos y te contamos qué incluye.
hola@hackandtokens.com07 · Únete
Reserva tu plaza o proponnos una charla. Si quieres presentar un proyecto, cuéntanos en dos líneas qué has construido. No hace falta que esté terminado.
Aforo limitado. Te confirmamos la plaza por email.