Si te perdiste la demostración en vivo de Aikido pentesting de IA, aquí tienes la versión resumida de lo que ocurrió. Configuramos una aplicación real, preparamos la evaluación y observamos cómo los agentes probaban flujos en vivo, exploraban la aplicación y revelaban hallazgos confirmados con trazas completas.
TL;DV
El pentesting es una de las partes más lentas de la seguridad moderna. Los equipos despliegan código a diario, mientras que las pruebas ofensivas siguen realizándose una vez al año y se entregan en un PDF estático que ya está obsoleto. La demostración comenzó señalando esta brecha y luego pasó directamente a mostrar cómo funciona Aikido Attack dentro del producto.
%20(1).gif)
Configurar un pentest en Aikido es como dar instrucciones a un equipo rojo. Se define el alcance en lenguaje natural, se eligen los dominios que los agentes pueden atacar y los que deben permanecer accesibles, y se describe el flujo de autenticación exactamente como se haría a un probador humano. Se pueden incluir MFA, flujos de SSO, redireccionamientos o secuencias de varios pasos. Los agentes lo siguen.
También puedes conectar repositorios y subir contexto como especificaciones de API, informes anteriores y documentación. Un mayor contexto mejora la evaluación, lo cual es consistente tanto en la demostración como en nuestra documentación.
Una vez iniciada la ejecución, el panel de control se llenó con terminales de agentes y sesiones de navegador. Se podía observar cómo exploraban rutas, ejecutaban intentos de ataque, se adaptaban cuando algo tenía éxito y validaban los hallazgos directamente en el entorno en vivo. Cada acción era visible, hasta los registros de solicitudes y las capturas de pantalla.
La página de hallazgos mostraba vulnerabilidades confirmadas con trazas completas y pasos de reproducción.
%20(1).png)
Un ejemplo en la sesión en vivo fue un problema de control de acceso inadecuado donde las notas privadas podían obtenerse a través de una llamada a la API.
%20(1).png)
Otro fue una inyección de comandos que AutoFix podía reparar automáticamente. Con un solo clic, la plataforma generó una pull request y permitió una nueva prueba para confirmar la corrección.
La plataforma de Aikido es la mayor ventaja. Dado que el producto ya comprende tus repositorios, tu contexto de seguridad y cómo se comporta tu aplicación, los agentes realizan las pruebas con un conocimiento de base del que carecen los enfoques tradicionales. Ese contexto mejora la profundidad de la evaluación y permite a AutoFix producir correcciones significativas y dirigidas.
%20(1).png)
La sesión concluyó con el informe PDF listo para auditoría y una sesión de preguntas y respuestas que cubrió el control del alcance, la validación, las pruebas de lógica de negocio y cómo el pentesting continuo se integrará en los flujos de trabajo de desarrollo normales.
Preguntas frecuentes sobre pentesting de IA
¿Qué es el pentesting de IA en Aikido?
Aikido utiliza agentes coordinados que exploran la aplicación, siguen flujos de usuario reales, prueban rutas de ataque y validan la explotabilidad. Utilizan un navegador, un entorno de terminal y un cliente HTTP. Cuando conectas código y subes contexto, los agentes razonan a través de la lógica y el comportamiento previsto en lugar de depender de cargas útiles estáticas.
El resultado es un pentest que se adapta, explora y valida.
leer más → https://help.aikido.dev/pentests/aikido-pentest
¿En qué se diferencia esto de las herramientas DAST tradicionales?
Las herramientas DAST se basan en patrones fijos. Tienen dificultades con los pasos de autenticación, los roles y los flujos de trabajo de varios pasos. También tienden a generar ruido.
Aikido Attack se comporta más como un testing ofensivo humano. Los agentes leen el contexto, planifican acciones, ejecutan ataques, observan los resultados y se ajustan. Cada hallazgo debe ser validado en el entorno objetivo antes de aparecer en el informe.
¿Qué tipos de problemas pueden encontrar los agentes?
Todo lo que cabe esperar de una prueba de penetración:
- Inyección SQL
- Inyección de comandos / RCE
- XSS
- SSRF
- Control de acceso roto
- IDOR / BOLA
- Fallos de autenticación
- Rutas de API inseguras o sensibles
Y, fundamentalmente, problemas de lógica de negocio que dependen de entender cómo se supone que debe comportarse la aplicación.
En la demostración, los agentes identificaron una exposición de datos privados a través de una API. En entornos de clientes, han encontrado desajustes de permisos, omisiones de flujo de trabajo y problemas de acceso a datos entre inquilinos.
Más detalles → https://help.aikido.dev/pentests/what-issues-can-aikido-pentest-find
¿Puede realmente detectar IDOR y fallos de lógica de negocio?
Sí. Cuando la plataforma comprende los roles, los flujos de datos y el comportamiento esperado, los agentes pueden probar si los usuarios pueden acceder o modificar recursos a los que no deberían. En varias comparaciones con probadores de penetración humanos, la ejecución autónoma reveló más fallos lógicos.
Más detalles → https://help.aikido.dev/pentests/understanding-and-detecting-idor-vulnerabilities
Cómo evitar las alucinaciones o los falsos positivos?
Los agentes pueden generar hipótesis, pero la plataforma no confía en ellas hasta que son validadas.
Para cada problema propuesto, Aikido ejecuta una prueba de reproducibilidad directamente contra el objetivo.
Solo los hallazgos validados aparecen en el informe.
Cómo mantener el pentest seguro y dentro del alcance?
Usted define:
- Dominios atacables
- Dominios accesibles pero no atacables
- Instrucciones de autenticación
- Número máximo de agentes
- Horas de prueba permitidas
Todo el tráfico de red pasa por un proxy que bloquea cualquier elemento fuera de su ámbito.
Las verificaciones previas confirman que la autenticación y la conectividad funcionan antes de que comience la ejecución.
Si el pre-vuelo falla, los créditos son reembolsados. Un botón de pánico detiene la prueba en segundos.
más detalles sobre el alcance → https://help.aikido.dev/pentests/scope-of-assessment
¿Se acepta el informe final para SOC 2 e ISO 27001?
Sí. El PDF generado incluye metodología, alcance, detalles del problema, pasos de reproducción y guía de remediación.
Los clientes ya utilizan estos informes para SOC 2, ISO 27001 y evaluaciones de proveedores.
También puede descargar un informe PDF de muestra aquí: https://www.aikido.dev/attack/aipentest#report
¿Cómo se compara el pentesting de IA con un pentest humano?
Esto se cubrió en la demo. Para aplicaciones web, la ejecución autónoma ofrece una cobertura comparable a la de un pentest manual, y en múltiples casos descubrió fallos lógicos que el equipo humano pasó por alto.
Los hallazgos de nuestro whitepaper coinciden con esto: la IA identificó problemas de lógica profundos como IDORs, bypasses de autenticación y falsificaciones de firma electrónica que los humanos pasaron por alto, mientras que los humanos tendían a centrarse más en la configuración y el cumplimiento.
La IA termina en horas en lugar de semanas.
La mayoría de los equipos utilizan el pentesting de IA como base y añaden revisión humana cuando es necesario.
¿Necesito dar acceso a mi código?
No es necesario, pero conectar repositorios fortalece significativamente la evaluación. Con acceso al código, los agentes pueden entender las rutas lógicas, las reglas de datos, los roles y las suposiciones del flujo de trabajo. Ese contexto mejora la cobertura y reduce las conjeturas.
El modo de caja negra sigue funcionando, pero es naturalmente más lento y menos completo porque los agentes tienen que inferir la estructura desde el exterior.
¿Cómo funciona el precio?
Tres puntos de entrada comunes:
- Pentest de Características: CI/CD y despliegues de nuevas características
- Pentest Estándar: Auditoría exhaustiva
- Pentesting Avanzado: Análisis más profundo de aplicaciones maduras
- Empresarial (Precio personalizado): Para organizaciones con necesidades avanzadas de pruebas ofensivas
Un desglose más detallado está disponible aquí: https://www.aikido.dev/attack/aipentest
¿Qué papel juega AutoFix?
AutoFix toma una vulnerabilidad confirmada y la convierte en un cambio de código concreto. En la demostración, un hallazgo de inyección de comandos generó una pull request con la solución exacta.
El valor es el ciclo:
Attack encuentra → AutoFix propone una PR → se fusiona → Attack vuelve a probar la solución.
Dado que Aikido ya comprende sus repositorios y estructura, las soluciones son específicas y la verificación es inmediata.
¿Cómo funciona el retest?
Puede volver a probar cualquier problema tantas veces como sea necesario durante tres meses después de la evaluación. Cada retest lanza nuevos agentes para intentar el exploit de nuevo y asegurar que la solución se mantiene.
¿Cuál es el siguiente paso?
Dos direcciones discutidas en la demostración:
- Onboarding más fluido con comprobaciones previas mejoradas y estimación automática de créditos.
- pentesting continuo. Ejecutando Attack en staging por defecto, activándolo en despliegues o pull requests, y pasando de un PDF anual a una verificación continua.
El pentesting se convierte en parte de cómo se entrega el software.
Compruébelo usted mismo
