Agentes de IA en el pentesting: qué automatizar y qué no

¿Qué es un agente de IA en un pentest?

Un modelo de lenguaje por sí solo responde preguntas. Un agente es ese modelo conectado a herramientas: una terminal, un navegador o los programas de un pentest. Recibe un objetivo en lenguaje natural, decide qué comando ejecutar, lee el resultado y decide el paso siguiente.

No es lo mismo que un escáner de vulnerabilidades. El escáner sigue una lista fija de comprobaciones. El agente improvisa: puede encadenar herramientas, cambiar de plan y explicar lo que encontró. Eso lo hace más útil y también más difícil de controlar.

Lo que vimos en 2025. Cuando publicamos la primera versión de esta entrada, en marzo de 2025, conectamos un agente a una terminal con herramientas de pentest y le pedimos reconocer nuestro propio sitio web. Ejecutó las herramientas, resumió lo que encontró y propuso pasos siguientes. También vimos sus límites: en algunos casos usaba configuraciones demasiado genéricas, y algunos comandos tardaban.

Desde entonces los agentes mejoraron mucho. Según el instituto de seguridad de la IA del Reino Unido (AISI), en diciembre de 2025 los modelos completaban en promedio el 50% de las tareas de ciberseguridad de nivel aprendiz, frente a poco más del 10% a comienzos de 2024. Y la duración de las tareas que completan sin ayuda, medida en lo que le tomarían a un experto, se duplica más o menos cada ocho meses.

¿Por qué le importa esto a su empresa?

Porque los atacantes ya usan IA. Según el centro nacional de ciberseguridad del Reino Unido (NCSC), en mayo de 2025, es casi seguro que los atacantes ya la usan para reconocer a sus víctimas, investigar vulnerabilidades y desarrollar el código para explotarlas. El NCSC agrega que el tiempo entre la publicación de una vulnerabilidad y su explotación ya se redujo a días, y que la IA casi con seguridad lo reducirá más.

Un ejemplo documentado: en noviembre de 2025, Anthropic, un fabricante de modelos de IA, informó una campaña de espionaje contra unas 30 organizaciones. Según su informe, la IA ejecutó entre el 80% y el 90% del trabajo táctico. Las personas intervenían sobre todo para iniciar la campaña y aprobar los pasos clave.

El mismo informe muestra el límite: la IA a menudo exageraba sus hallazgos y a veces inventaba datos, como credenciales que no funcionaban. Los atacantes tenían que revisar todo lo que reportaba. Ese límite también aplica a quien usa agentes para defenderse.

¿Qué hacen bien los agentes de IA en un pentest?

Lo repetitivo y lo que se puede comprobar con una regla clara:

• Reconocimiento y enumeración. Inventariar equipos, servicios, versiones y rutas expuestas, y correr las herramientas de siempre sin olvidar ninguna.
• Trabajo en paralelo. Seguir varias pistas a la vez mientras una persona analiza lo importante.
• Clasificación de resultados. Agrupar lo que arrojan las herramientas, descartar duplicados y ordenar qué revisar primero.
• Documentación. Registrar los comandos y sus resultados, y armar el borrador de la evidencia y del informe.
• Revisión de código. Señalar fallas candidatas en el código fuente para que una persona las confirme.

Hay datos que lo respaldan. En un estudio de investigadores de las universidades de Stanford y Carnegie Mellon, presentado en ICLR 2026 (una conferencia internacional de aprendizaje automático), un agente experimental probó una red universitaria real de unos 8.000 equipos. Quedó segundo en la clasificación general, en la que compitió con diez profesionales: encontró 9 vulnerabilidades válidas, el 82% de lo que reportó era válido y superó a 9 de las 10 personas. Los autores destacan sus ventajas en enumeración sistemática, explotación en paralelo y costo.

En código, la competencia de IA de DARPA, la agencia de investigación de defensa de Estados Unidos, terminó en agosto de 2025. Los sistemas de los equipos encontraron 54 vulnerabilidades sembradas en software de código abierto y corrigieron 43. Además, hallaron 18 vulnerabilidades reales que nadie había sembrado. Si le interesa esa parte, vea la auditoría de código.

¿Qué no se debe dejar solo en manos de un agente?

El mismo estudio que puso al agente en segundo lugar muestra dónde falla. Los agentes que ya existían rindieron por debajo de la mayoría de las personas, y el agente experimental tuvo más falsos positivos que los profesionales. Estas son las cuatro tareas que siguen necesitando a una persona.

Las fallas de lógica de negocio

Son las que abusan de cómo funciona su negocio: saltarse un paso de aprobación, pagar menos de lo debido, usar un cupón más veces de las permitidas. La guía de pruebas de OWASP, la fundación que publica los estándares abiertos de seguridad de aplicaciones, dice que un escáner no las detecta y que dependen de la habilidad y la creatividad de quien prueba. Para encontrarlas hay que entender para qué sirve la aplicación. Por eso, según la misma guía, ayuda mucho tener contacto directo con quienes la desarrollaron.

Las cadenas de ataque

Un atacante real combina debilidades pequeñas hasta llegar a algo grave. Según el AISI, los modelos todavía tienen dificultades con los desafíos realistas de varios pasos. En una red de prueba que simula un objetivo real, superan cada vez más la etapa más fácil, pero su éxito sigue siendo bajo en las siguientes.

En el estudio de la red universitaria, los profesionales más destacados seguían avanzando después de encontrar una falla, mientras el agente la reportaba de inmediato y pasaba a otra cosa. En un sistema que se manejaba desde una interfaz web, el agente no supo usar esa interfaz. Reportó fallas menores de configuración y pasó de largo frente a una que permitía ejecutar código a distancia. Esa la encontraron 8 de cada 10 profesionales; el agente, solo cuando le dieron pistas. Los demás agentes del estudio, según los autores, pierden la visión de conjunto y se quedan en tareas superficiales.

La confirmación de cada hallazgo

Un agente puede dar por buena una prueba que falló. En el estudio, el agente reportó un acceso con credenciales por defecto que no existía: había leído como éxito una respuesta que en realidad lo devolvía a la página de inicio de sesión. Si nadie confirma los hallazgos, su equipo pierde días corrigiendo lo que no está roto. O, peor, cree que algo grave quedó resuelto.

Las decisiones de riesgo

Qué se puede tocar en producción, cuándo detenerse, qué hallazgo se reporta como crítico y cómo se le explica a la gerencia. Son decisiones con consecuencias para su operación, y las toma una persona responsable.

¿Qué riesgos trae usar agentes en un pentest y cómo se controlan?

Un agente que ejecuta comandos contra sus sistemas es una herramienta poderosa. OWASP ya publica una lista propia de los diez riesgos principales de las aplicaciones con agentes (diciembre de 2025). En un pentest, hay cuatro riesgos que conviene controlar desde el contrato.

• Que haga más de lo autorizado. OWASP llama a esto «agencia excesiva»: el agente tiene más funciones, más permisos o más autonomía de los necesarios. Su recomendación: que una persona apruebe cualquier acción de alto impacto antes de ejecutarla. En un pentest, eso incluye todo lo que pueda afectar la operación o salirse del alcance.
• Que el objetivo le dé órdenes. Una página, un archivo o una respuesta del sistema probado puede traer instrucciones escondidas para el agente. El NIST, el instituto de estándares de Estados Unidos, advierte que investigadores ya demostraron que esta «inyección indirecta de instrucciones» sirve para robar datos o ejecutar código a distancia en un equipo. Lo que el agente lee del objetivo no es de confianza.
• Que sus datos salgan a otro proveedor. Si el agente usa un modelo de un tercero, lo que encuentra en sus sistemas (direcciones, configuraciones, a veces datos personales) puede viajar a ese tercero. Eso se acuerda antes, por escrito. Vea cómo evaluar los riesgos de la IA en su empresa.
• Que reporte algo que no pasó. Ya vimos que los agentes exageran o inventan hallazgos. Por eso cada hallazgo se confirma antes de entrar al informe.

Una regla práctica: que quede registro de cada comando que ejecutó el agente, contra qué sistema y a qué hora. Si algo falla en su operación durante la prueba, ese registro dice qué pasó.

¿Qué preguntarle a su proveedor de pentest si usa IA?

Usar agentes no hace mejor ni peor un pentest. Lo que importa es quién responde por el resultado. Antes de contratar, pregunte:

1. ¿Qué parte de la prueba hace una herramienta automática y qué parte hace una persona?
2. ¿Quién aprueba las acciones que pueden afectar mi operación, y cómo detengo las pruebas si lo necesito?
3. ¿Mis datos y los resultados se envían a un modelo de IA de un tercero? ¿Cuál, y con qué condiciones?
4. ¿Cómo se confirma cada hallazgo antes de reportarlo? ¿El informe dice cuáles se demostraron y cuáles no?
5. ¿El informe explica qué corregir primero, en un lenguaje que entienda la gerencia?
6. ¿Incluye volver a probar lo que corrijamos?

Si las respuestas son vagas, el bajo costo de una prueba automatizada puede salir caro: hallazgos falsos que su equipo persigue y fallas de lógica de negocio que nadie probó.

Así trabajamos en Pralogy. Buscamos como lo haría un atacante, le decimos qué corregir y comprobamos en el retest qué quedó cerrado. Antes de reportar un hallazgo lo confirmamos, y decimos con claridad cuáles demostramos y cuáles no. Las reglas se firman antes de empezar, con un canal para detener las pruebas. Vea cómo hacemos el pentesting.

Pralogy es una empresa colombiana de ciberseguridad que atiende a empresas y organizaciones. Pralogy existe desde 2019.