En resumen: Aikido ahora realiza pruebas de penetración en tu red externa. Los atacantes ya ponen a prueba tu perímetro cada día y, gracias a que los agentes de IA se encargan del trabajo pesado, son más rápidos que nunca. Ahora puedes realizar tú mismo esa misma prueba antes que ellos. Proporciona a nuestros agentes un dominio y ellos mapearán los sistemas que tienes expuestos a Internet y los atacarán desde el exterior, exactamente igual que lo haría un actor malicioso.
En este mismo momento, en algún lugar, las herramientas automatizadas están analizando tus subdominios, identificando tus servidores y comprobando si presentan vulnerabilidades conocidas como PHP2Shell, los fallos críticos de PHP que pasaron de ser una filtración a ser objeto de explotación activa en tan solo unas horas la semana pasada. Los agentes de IA ya no se limitan a detectar un framework obsoleto o un archivo de configuración expuesto. Intentan ejecutar el exploit, se adaptan cuando falla y utilizan cualquier cosa que encuentren para llegar al siguiente sistema. Las vulnerabilidades que antes requerían de una persona experta y un fin de semana libre se han convertido en un blanco fácil que se aprovecha automáticamente, en miles de empresas a la vez.
¿A qué velocidad ocurre esto? Cuando se hizo público PHP2Shell, Cloudflare ya había registrado miles de intentos de explotación en las 10 horas previas al anuncio. Esa cifra se disparó a decenas de miles en 45 minutos, a cientos de miles en dos horas y a millones al día siguiente.
A ese ritmo, la respuesta oficial ante las vulnerabilidades más graves puede consistir en desconectar los sistemas expuestos hasta que se solucionen. Cuando los atacantes se cebaron con los dispositivos VPN de Ivanti en 2024, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) concedió a las agencias federales 48 horas para desconectar todos los dispositivos afectados, y solo les permitió volver a conectarse una vez que se hubieran reconfigurado y actualizado por completo. Y PHP2Shell no es un caso aislado. Las cifras del «Zero Day Clock» recopiladas por a16z muestran que, en 2018, el 18,7 % de las vulnerabilidades que explotaron los atacantes se aprovecharon el mismo día en que se hicieron públicas o antes. En lo que va de 2026, la cifra asciende al 86,7 %.
Pero solo puedes desconectar un sistema del que tengas conocimiento, y solo después de que alguien te avise de que está en peligro. Cuando los atacantes actúan con tanta rapidez, la única forma de adelantarse a ellos es realizar pruebas con la misma frecuencia.
Wout Debaenst, responsable de pruebas de penetración de Aikido, lleva años realizando estas pruebas manualmente:
«Lo que estamos probando es exactamente lo mismo que ya se está probando constantemente. Puedes dejarnos a nosotros encargarnos de los ataques informáticos, o puedes dejar que lo hagan los grupos delictivos. Es la misma prueba, y seguro que prefieres que seamos nosotros quienes lo descubramos antes que ellos».
A partir de hoy, puedes realizar esa prueba primero. Las pruebas de penetración en la red externa de Aikido atacan tu perímetro tal y como lo haría un atacante externo, partiendo únicamente de tu dominio y de un pequeño ejército de agentes de IA.
¿Qué es una prueba de penetración en redes externas?
Los términos relacionados con las pruebas de penetración se utilizan de forma imprecisa, así que a continuación te explicamos qué suele significar cada uno:
- Prueba de penetración de aplicaciones web: analiza en profundidad una aplicación concreta, su lógica, los roles de sus usuarios y su código. Es aquí donde se ponen de manifiesto los fallos en la lógica de negocio y los controles de acceso defectuosos.
- Prueba de penetración de la red externa: abarca todo aquello a lo que se puede acceder desde la Internet pública bajo tu dominio, como servidores, puertas de enlace VPN y servidores de correo. Tus aplicaciones también entran dentro del alcance, pero solo la parte visible para cualquier usuario de Internet: el servidor en el que se ejecutan y las páginas a las que se puede acceder sin iniciar sesión. Para comprobar lo que ocurre tras iniciar sesión, como los roles de usuario y la lógica de negocio, es necesaria una prueba de penetración de aplicaciones web.
- Prueba de penetración interna: abarca los sistemas a los que no se puede acceder desde Internet, como una red de oficina, una nube privada o Active Directory. Las pruebas de penetración de red externas no incluyen estos sistemas.
Si la mayor parte de tu negocio se basa en una sola aplicación, empieza por ahí. Realiza primero una prueba de penetración de aplicaciones web en esa aplicación y corrige los fallos que se detecten. A continuación, lleva a cabo una prueba de penetración de la red externa para comprobar todo lo que la rodea, de modo que el resto de tu perímetro no ofrezca a los atacantes una vía de acceso más fácil.
Tu perímetro cambia más rápido que tu calendario de pruebas de penetración
Muchas empresas realizan pruebas de penetración en su red externa una o dos veces al año, y cualquier cambio que se produzca una vez finalizadas las pruebas queda sin comprobar hasta la siguiente ocasión. Si alguien crea un nuevo subdominio la semana siguiente a la prueba de penetración, este puede permanecer ahí durante meses antes de que alguien de tu equipo intente acceder a él. En el informe de Aikido titulado «El estado de la IA en las pruebas de penetración en 2026», el 48 % de los 400 responsables de seguridad e ingeniería a los que encuestamos afirmaron que los resultados de las pruebas de penetración ya están desactualizados cuando llegan a sus manos.
Por eso, debes realizar pruebas con mayor frecuencia; lo ideal sería cada vez que cambie tu perímetro. La prueba de penetración de la red externa de Aikido se ejecuta de forma continua, mapeando constantemente todo lo que se encuentra bajo tu dominio, y los agentes comienzan a probar cada nuevo host poco después de que entre en funcionamiento. El precio de pentesting continuo se calcula anualmente, en función del tamaño de tu red externa en el momento de la primera prueba de penetración. Si aún estás decidiendo con qué frecuencia realizar las pruebas y qué elementos someter a ellas, aquí te explicamos cómo planificar la frecuencia y el presupuesto de tus pruebas de penetración en función del riesgo.
Cómo funciona
- Los agentes trazan un mapa de tu perímetro. Buscan subdominios y sistemas conectados a Internet bajo tu dominio raíz: sitios web, aplicaciones, API, puertas de enlace VPN, servidores de correo y herramientas autohospedadas, como un servidor GitLab. Los subdominios que apuntan a servicios que no son de tu propiedad se filtran automáticamente, y puedes eliminar cualquier otro que no desees que se someta a prueba.
- Verificas que eres el propietario. Una vez confirmado, recibes un presupuesto exacto y pones en marcha la prueba de penetración. No hay que realizar ninguna llamada para definir el alcance del proyecto, y no es necesario tener una suscripción a Aikido.
- Los agentes atacan cada host. Cada host cuenta con sus propios agentes, que actúan a través del propio servidor e intentan acceder aprovechando vulnerabilidades CVE conocidas, errores de configuración y secretos expuestos.
- Solo se incluyen en el informe los hallazgos contrastados. Antes de que se acepten los hallazgos, los agentes deben respaldar sus afirmaciones con pruebas concretas que hayan sido validadas y reproducidas por otros agentes.
- Se corrige el error y se vuelve a realizar la prueba. Cada resultado incluye una sugerencia de solución. Una vez aplicada, la nueva prueba pone en marcha un agente adicional que comprueba si el problema se ha solucionado y si la corrección ha generado un nuevo punto de entrada en algún otro lugar. Las nuevas pruebas están disponibles durante un máximo de 6 meses.
Agentes que deciden cuál será su próximo paso
La prueba de penetración de Aikido se basa en agentes. Cada uno de ellos parte de un punto diferente con su propio enfoque y decide qué hacer a continuación en función de lo que encuentra. Un banner de versión, un puerto abierto o un archivo filtrado modifican el plan, del mismo modo que lo haría un atacante humano. Eso es lo que les permite adaptarse a tu entorno, sea cual sea su configuración.
La mayoría de las herramientas de « pentesting automatizado », incluidas algunas que se comercializan como IA, funcionan a partir de un conjunto de comprobaciones predefinidas. Si una comprobación no se ajusta exactamente a tu entorno, esa parte queda sin comprobar, y ese es precisamente el tipo de punto ciego que un atacante detecta de inmediato.
Así es como se lleva a cabo la adaptación en un perímetro típico:
- Una carpeta .git expuesta permite leer el historial del repositorio en un servidor público
- El historial del repositorio contiene credenciales de SSH
- Las mismas credenciales funcionan en un servidor diferente
- En ese segundo servidor, los agentes encuentran las credenciales de Azure
- Esas credenciales otorgan acceso de administrador al inquilino de la nube
Pocas de esas conclusiones darían por sí solas para un informe. Sin embargo, al encadenarlas, revelan al usuario de la nube. El informe muestra la cadena completa, de modo que se puede ver a qué podría llegar realmente un atacante y cómo cada paso le ha llevado hasta allí.
Una herramienta para tu equipo de pruebas de penetración
Los probadores humanos dan lo mejor de sí mismos en tareas profundas y creativas, como una aplicación crucial para el negocio o un escenario de ataque que solo se le ocurriría a alguien que conozca tu empresa. Su tiempo es el que menos vale cuando se dedica a volver a comprobar cientos de hosts en busca de problemas que hayan surgido desde la última intervención.
Los agentes de IA pueden y deben empezar a encargarse de esa parte. Se ocupan de todos los hosts que encuentran en cada ejecución, de modo que el personal al que pagas dedique su tiempo a lo que más requiere tu criterio. Para los proveedores de pruebas de penetración, la idea es la misma: primero, instalar los agentes en el perímetro del cliente y, a continuación, dedicar el tiempo del proyecto al trabajo que requiere tu atención.
Se puede ejecutar sin problemas en el entorno de producción
Tu red externa es tu entorno de producción, por lo que los agentes están diseñados para probarla sin afectar a nada:
- Un agente supervisor revisa cada acción antes de que se ejecute y bloquea cualquier cosa que pueda alterar el funcionamiento de los sistemas.
- Los agentes se detienen en cuanto se comprueba que se trata de un caso de explotación y solicitan una confirmación humana antes de seguir investigando.
- No descargan ni almacenan tus datos. Los resultados muestran el acceso que tuvieron los agentes, sin copiar nada.
- Además de tu dominio raíz, se comprueba la titularidad de cada objetivo concreto, por lo que los agentes nunca prueban sistemas que no sean tuyos.
- El botón de pánico detiene a todos los agentes al instante.
Empezar
Mira el vídeo de demostración para ver cómo los agentes recorren un perímetro.
Si prefieres ponerte manos a la obra directamente con el tuyo propio, solo tienes que elegir el dominio que más te interese y dejar que los agentes se pongan a trabajar. Puedes seguir en directo el trabajo de cada agente mientras lo realizan, y el informe estará listo en cuestión de horas.
{{cta}}
