Quan la salut mental i la ciberseguretat es troben: Lostmon i el naixement de l'Structured Text Amplification

Des de l'activisme en salut mental fins a la recerca internacional en ciberseguretat, la trajectòria de Manuel García Peña, conegut com a Lostmon, demostra que el coneixement també es construeix des de la societat civil.

Quan la salut mental i la ciberseguretat es troben: la història de Lostmon i el naixement de l'Structured Text Amplification

Des de l'activisme en salut mental fins a la recerca internacional en ciberseguretat, la trajectòria de Manuel García Peña, conegut com a Lostmon, demostra que el coneixement també es construeix des de la societat civil.

Per a moltes persones, la salut mental i la ciberseguretat són dos mons sense cap relació. Per a Manuel García Peña, president de l'associació BojosXtu i investigador independent conegut amb el pseudònim de Lostmon, formen part d'un mateix compromís: defensar els drets de les persones, també en l'entorn digital. Aquesta mirada també està marcada per la seva experiència pròpia en salut mental, que ha compartit obertament en l'àmbit associatiu.

Des de fa anys, García Peña treballa per combatre l'estigma associat als problemes de salut mental, promovent espais de suport mutu, participació i defensa dels drets de les persones amb experiència pròpia. Paral·lelament, dedica una part important del seu temps a la investigació en ciberseguretat.

Una troballa inesperada des del sofà

L'any 2022, mentre utilitzava el seu telèfon mòbil des del sofà de casa, García Peña va detectar un comportament anòmal a Android. En processar determinats textos especialment llargs, el sistema presentava bloquejos inesperats. No estava buscant vulnerabilitats ni participava en programes de recompenses. Simplement va observar alguna cosa que no li quadrava. Podria haver-ho ignorat. No ho va fer.

Com ell mateix explica, s'havia trobat davant d'una pregunta que necessitava respondre. No per diners ni per reconeixement, sinó perquè la curiositat i el desig d'entendre el funcionament dels sistemes no li permetien deixar-ho estar.

Aquella observació es va convertir en una investigació desenvolupada entre el 2022 i el 2026. Primer van ser quatre casos, després vint-i-sis, més tard trenta-u i, finalment, trenta-dos vectors documentats. Tots compartien un mateix patró i afectaven components crítics d'Android, com el motor de renderització de text (libminikin.so), el gestor de fragments (FragmentManager), el sistema de comunicació entre processos (Binder) o la interfície del sistema (SystemUI).

Fruit d'aquest treball, García Peña va definir el concepte Structured Text Amplification (STA), un patró en què determinades estructures textuals —com ara URL molt llargues, enllaços profunds o determinats paràmetres d'Intent— poden amplificar progressivament la càrrega de processament a través de diferents capes del sistema, provocant des de alentiments fins a bloquejos o reinicis de la interfície gràfica en determinades circumstàncies.

Respostes diferents davant la divulgació responsable

La investigació es va comunicar als fabricants mitjançant processos de divulgació responsable. Les respostes van ser diverses.

Google va reconèixer una part del treball amb una recompensa de 250 dòlars per un dels informes relacionats amb Binder/IPC. En canvi, el vector que afectava libminikin va ser classificat com a 'Out of Scope', 'Fora de l'abast', i l'apel·lació posterior es va tancar amb la qualificació de 'Not Reproducible', 'No reproduible'. Segons l'investigador, durant el procés es van aportar proves de concepte i evidències tècniques reproduïdes en diversos dispositius.

Per la seva banda, Xiaomi va reproduir i confirmar el vector que afectava HyperOS (STA-015b) i va concedir una recompensa de 300 dòlars, un exemple de les diferents aproximacions que poden adoptar els fabricants davant els processos de divulgació responsable.

Un nou marc per entendre una família de vulnerabilitats

A partir d'aquesta investigació va néixer el model Structured Text Amplification, que proposa una nova manera d'analitzar una família de vulnerabilitats relacionades amb el processament de text estructurat.

Tot i que es tracta d'una recerca altament tècnica, les seves implicacions poden afectar milions de dispositius. Comprendre aquests patrons permet identificar errors abans que puguin ser explotats, millorar la qualitat del programari i contribuir al desenvolupament de sistemes més robustos i segurs.

El whitepaper, publicat aquest 30 de juliol de 2026 a les 16h, recull els fonaments teòrics del model, les proves de concepte i l'anàlisi dels diferents vectors identificats.

Més enllà de la tecnologia: un missatge d'esperança

Però aquesta història va més enllà de la tecnologia. També és la història d'una persona que ha combinat el compromís associatiu amb la recerca independent. Sense formar part d'una gran empresa tecnològica ni d'un centre universitari, Lostmon ha desenvolupat investigacions pròpies, compartint els resultats amb la comunitat i apostant per una divulgació responsable.

Manuel García Peña conviu des de fa anys amb un problema de salut mental. Per això considera que aquesta investigació també transmet un missatge: les persones amb experiència pròpia en salut mental poden liderar projectes complexos, generar coneixement i contribuir a resoldre reptes tecnològics d'abast internacional. Els diagnòstics no defineixen el talent, ni tampoc els límits de les persones.

La seva trajectòria evidencia que la innovació també pot sorgir del tercer sector i de persones que, des de l'activisme social, aporten coneixement especialitzat en àmbits tan exigents com la ciberseguretat.

Des de BojosXtu, Manuel García Peña continua treballant per construir una societat més inclusiva i lliure d'estigmes. Paral·lelament, com a Lostmon, manté obertes diverses línies de recerca sobre seguretat informàtica, intel·ligència artificial i drets digitals.

La seva història recorda que la curiositat, la perseverança i el compromís social poden generar coneixement amb impacte global, independentment de l'origen o dels recursos de què es disposi.