Automatizando tareas en el Pentesting con Agentes IA
El mundo del pentesting ha evolucionado, y cada día la automatización cobra más protagonismo. Hoy en día, no se trata solo de saber qué herramientas usar, sino de cómo usarlas de forma eficiente. Y ahí es donde entra en juego el uso de agentes de IA como ChatGPT integrados con la terminal, un cambio de paradigma que está transformando la forma en que los profesionales de la ciberseguridad ejecutan pruebas.
En Pralogy, parte fundamental de nuestra misión es democratizar la ciberseguridad, haciendo que servicios avanzados como las pruebas de penetración estén al alcance de más empresas, sin sacrificar la calidad. Creemos que la ciberseguridad no debe ser un privilegio exclusivo de grandes corporaciones, sino una capacidad accesible para organizaciones de todos los tamaños.
Gracias a herramientas como Goose, que conecta agentes de IA con la terminal, y el uso del API de pago de OpenAI, hemos logrado automatizar tareas del pentesting de manera eficiente, sin perder la supervisión experta que garantiza calidad. Este enfoque reduce costos, aumenta la velocidad de ejecución y mantiene el estándar técnico gracias a la validación constante por parte de ingenieros certificados.
¿Cómo funciona en la práctica?
Durante nuestras pruebas, usamos Goose para conectar ChatGPT a un entorno controlado en un maquina Kali con todas la herramientas previamente instaladas. A través de comandos simples en lenguaje natural, el agente pudo ejecutar herramientas como nmap, nikto, whatweb y gobuster, Ademas se le pudo pedir ayuda a interpretar los resultados y saber que pruebas adicionales realizar
Durante la prueba, iniciamos una sesión con Goose usando el API de OpenAI GPT-4o, permitiendo que la IA controlara la terminal de forma autónoma. A través de una instrucción en lenguaje natural, solicitamos realizar un reconocimiento de dominio y análisis SSL sobre pralogy.co.
El agente ejecutó automáticamente herramientas como sslscan y whatweb, obteniendo información clave: el servidor soporta protocolos seguros (TLSv1.2 y TLSv1.3), cuenta con un certificado válido y bien configurado, y se identificaron subdominios interesantes como api.pralogy.co e ipm.pralogy.co, potencialmente útiles para pruebas futuras. Además, se detectaron redirecciones web que terminan en un código 403, lo cual puede ser indicio de acceso restringido.
– Protocolo HTML: HTML5
Con base en los resultados, se recomendaron pasos siguientes como explorar APIs, evaluar headers de seguridad HTTP, revisar configuraciones del servidor LiteSpeed y escanear los subdominios expuestos.
También es posible pedirle al agente que ejecute tareas específicas con un mayor nivel de detalle, indicándole exactamente cómo queremos que lo haga. En la imagen, por ejemplo, se le solicitó buscar directorios ocultos con Gobuster usando una wordlist determinada. El agente interpretó correctamente la instrucción y generó el comando exacto, mostrando cómo esta interacción permite mantener el control técnico sin necesidad de escribir cada línea manualmente.
Por último se le puede pedir al agente que organice todos los resultados en un archivo de texto y los dejó listos para revisión.
Este flujo mostró cómo un agente IA puede automatizar tareas iniciales de pentesting y acelerar el trabajo operativo, permitiendo que el ingeniero se concentre en el análisis y la validación de hallazgos.
Beneficios claros en el día a día
✅ Olvídate de recordar comandos complejos: ahora puedes enfocarte en qué necesitas descubrir, no en cómo hacerlo.
✅ Paralelización de tareas: varios escaneos pueden ejecutarse al tiempo mientras tú analizas resultados.
✅ Menor tiempo de configuración, más tiempo para pensar como atacante.
✅ Documentación automática de los pasos y hallazgos en tiempo real.
✅ Entrenamiento personalizado: puedes enseñarle a la IA cómo te gusta ejecutar tus pruebas y reutilizar ese conocimiento.
Limitaciones y desafíos actuales
Como toda tecnología emergente, todavía hay áreas que requieren mejora:
⚠️ Intervención humana indispensable: Aunque muchas tareas se automatizan, el análisis siempre debe ser validado por un ingeniero certificado. La IA no reemplaza el juicio humano, solo lo complementa.
⚠️ Ejecución algo lenta en algunos comandos: especialmente en entornos con limitaciones de red o recursos. Sin embargo, sigue siendo más rápido que buscar manualmente las opciones correctas.
⚠️ Tendencia a usar comandos básicos: en algunos casos, el agente ejecuta pruebas con configuraciones muy genéricas. Esto se soluciona si se le entrena con ejemplos reales, como notas de pentesters, configuraciones preferidas o reglas internas. Goose permite configurar esta base de conocimiento directamente en los agentes.
Una estrategia recomendada: entrenar con tus notas
Una excelente forma de potenciar esta herramienta es alimentar al agente con tu forma personal de trabajar: tus scripts, parámetros, herramientas favoritas y hasta tus reportes pasados. Esto convierte a la IA en tu asistente personalizado de pentesting, que aprende de tu experiencia y mejora contigo.
Conclusión
Sabemos que esta tecnología aún está en una fase inicial, y en Pralogy no creemos que la inteligencia artificial reemplace nunca la experiencia ni el criterio de un ingeniero en ciberseguridad. Sin embargo, estamos convencidos de que sí puede convertirse en una herramienta poderosa para mejorar la eficiencia, reducir el tiempo perdido en tareas repetitivas o mecánicas, y ayudarnos a enfocarnos en lo que realmente importa: el análisis, la interpretación de riesgos y la toma de decisiones estratégicas para proteger a nuestros clientes. La IA no sustituye la mente humana, pero sí puede amplificarla.
¿Te gustaría implementar este enfoque en tu empresa o necesitas ayuda para comenzar a automatizar tus pruebas de seguridad? Contáctanos a [email protected] y con gusto te acompañaremos en el proceso.
Si este tema te pareció interesante, déjanos tu comentario: queremos saber qué inquietudes tiene la comunidad y qué otros temas les gustaría que abordemos.
Y si conoces o has probado otros agentes de IA que te han dado buenos resultados en pentesting, ¡compártelos con nosotros! Juntos podemos seguir construyendo un ecosistema de seguridad más accesible y eficiente para todos.
IDEAS PARA PUBLICACION EN LINKEDIN
La nueva era del pentesting: IA, automatización y validación humana
En Pralogy estamos transformando la forma en que ejecutamos pruebas de ciberseguridad. Hemos comenzado a integrar agentes de inteligencia artificial en nuestros flujos de pentesting, y los resultados son realmente sorprendentes.
🔍 ¿Qué es un agente IA?
Es una forma de conectar modelos como ChatGPT directamente a nuestra máquina, permitiéndoles ejecutar tareas en la terminal como si fueran un asistente técnico. Con instrucciones en lenguaje natural, podemos pedirle al agente que ejecute herramientas como nmap, gobuster, sslscan o whatweb, y que nos devuelva resultados listos para análisis. Todo de forma automatizada, documentada y rápida.
⚙️ En nuestra implementación, usamos Goose junto con el API de pago de OpenAI GPT-4o, lo que nos ha permitido:
✅ Ejecutar tareas repetitivas como reconocimiento de SSL, fingerprinting web y búsqueda de directorios ocultos, sin escribir ni un solo comando.
✅ Recibir sugerencias inteligentes sobre los siguientes pasos del pentest.
✅ Optimizar tiempos y concentrarnos en lo más valioso: el análisis de riesgos, la interpretación y la toma de decisiones.
🎯 Esta integración no solo es potente, sino que se alinea con nuestra misión en Pralogy: democratizar la ciberseguridad. Hacerla más accesible para más empresas, manteniendo la calidad gracias a que cada prueba es revisada por un ingeniero certificado.
🧠 Por supuesto, no todo es perfecto:
• La IA aún necesita supervisión: no reemplaza el criterio humano.
• Puede ejecutar comandos básicos por defecto, así que hay que enseñarle cómo trabajamos.
• Su rendimiento mejora cuando se entrena con nuestros propios flujos, notas técnicas y buenas prácticas.
💡 Aun así, el potencial es enorme. Estamos convencidos de que la IA bien usada no reemplaza al profesional: lo potencia.