Esta publicación se basa en la conversación de Mackenzie con Jason Haddix en The Secure Disclosure podcast. Escucha el episodio completo o míralo a continuación.
Jason Haddix ha liderado las clasificaciones de Bugcrowd, ha dirigido la seguridad como CISO en Ubisoft y ha escrito The Bug Hunter's Methodology, la guía práctica de la que han aprendido muchos pentesters profesionales, por lo que vale la pena prestar atención a su visión sobre el futuro de este campo. Él cree que «el 90 % de los pentests los hará la IA» en un futuro próximo. Dado que la IA está reduciendo las barreras de entrada para los ciberataques y aumentando drásticamente el volumen y la velocidad de las operaciones maliciosas, la única forma en que los defensores pueden seguir el ritmo es poniendo la IA de su lado. Como dice Haddix: «Tendremos que combatir la IA con IA».
Como es lógico, esto asusta a los pentesters humanos (¿se están esfumando sus empleos?). Sin embargo, Haddix no cree que el pentesting de IA sea un evento de extinción para los humanos, aunque sí es algo que inevitablemente afectará a su flujo de trabajo actual.
La IA resuelve el problema de cobertura del pentesting
El pentesting manual no solo es prohibitivo en cuanto a costes, sino que su frecuencia típica de dos veces al año no es adecuada para la rapidez con la que los equipos despliegan código generado por IA. En el informe State of AI in Pentesting 2026 de Aikido, el 79 % de los 400 CISO y líderes de ingeniería encuestados afirmaron que les preocupa que se filtren vulnerabilidades entre las pruebas programadas, y el 48 % indicó que los hallazgos ya están desactualizados cuando los reciben.
{{cta}}
«El mayor problema que hemos tenido siempre es la escala», afirma Haddix. Si diriges la seguridad de una gran organización, las matemáticas significan que nunca ibas a realizar un pentesting manual de todo lo que lanzaba tu equipo. Cubrirlo todo con pruebas manuales «habría costado mil millones de dólares en pentesting». Así que hacías pruebas dos veces al año y cruzabas los dedos.
«Antes suplicábamos por conseguir escala», dice Haddix, «y ahora simplemente se oponen». Su opinión sobre las personas que lideran esa resistencia es que «quieren mantenerse al margen y lanzar críticas cuando deberían arremangarse y ayudar a la gente a construir».
Lo que realmente muere
«Escáneres disfrazados» es como llama Haddix a los servicios que ejecutan escáneres de código abierto y repackagean los resultados. Estos funcionan de manera diferente a los pentests reales y ofrecen resultados mucho peores, razón por la cual serán los primeros en desaparecer.
La otra víctima es el pentesting de casilla de verificación que un cliente compra solo para cumplir con los requisitos de un auditor. Realizar estas pruebas siempre ha sido el primer trabajo de un tester para iniciarse, y la gente que lo hace rara vez quiere quedarse. Quienes lo hacen preferirían estar aprendiendo exploits reales y construyendo su propia metodología. La IA elimina ese peldaño tedioso.
Sin embargo, Haddix es sincero sobre el inconveniente. Si la IA se adueña del trabajo de primer contacto, ¿dónde empieza la siguiente generación de testers? «No tengo una gran respuesta para eso», admite. «Todavía le estamos dando vueltas».
El pentesting de IA solo funciona si se integra una metodología humana
Apunta Claude Code hacia un objetivo y dile que encuentre errores, y «apestará. No importa que sea el modelo más avanzado con pensamiento máximo», dice Haddix. «El poder surge cuando integras tu metodología».
Tomemos como ejemplo el proceso de reconocimiento de Haddix, que consta de 18 pasos para mapear los sitios que una gran organización realmente posee. Dos o tres de ellos solían requerir la vista y el criterio humano. Una empresa como Nintendo ha registrado cientos de miles de dominios, la mayoría aparcados, y decidir cuáles albergan un objetivo real era difícil de automatizar. Ahora, un agente lee la página y toma esa decisión por sí mismo.
En todo el sector, «los más inteligentes están contratando pentesters que tienen metodologías únicas y las están codificando, introduciéndolas en los prompts», señala Haddix, y «los más brillantes están entrenando conjuntos de datos sintéticos» para mantener ese razonamiento preciso.
Y una vez integrada, la IA realiza el trabajo creativo y encadenado que la gente asume que solo los humanos pueden hacer. En un caso del propio benchmark de Aikido, los agentes que probaban una aplicación de firma de documentos analizaron su lógica y demostraron que se podían falsificar las firmas electrónicas, todo en aproximadamente nueve horas. El equipo humano sénior dedicó unas dos semanas a la misma aplicación, devolvió un XSS y un SSRF —siendo siete de sus nueve hallazgos comprobaciones de endurecimiento rutinarias— y nunca detectó la falsificación.
Dar a un pentester acceso al código fuente de una aplicación da como resultado una prueba más profunda. La mayoría de los pentests dirigidos por humanos se realizan en caja gris o negra, lo que limita la profundidad de la prueba. A través de más de 1000 pentests de IA, Aikido descubrió que las pruebas de caja blanca descubrían 7 veces más vulnerabilidades y requerían menos intentos que las pruebas de caja gris por sí solas. Los humanos generalmente no realizan pruebas de caja blanca porque comprobar cada ruta en el código no es viable. Un pentest de IA con pruebas de caja blanca es capaz de coordinar una flota de agentes para revisar cada línea de código y conectarla con el entorno en vivo.
Aunque puedes integrar una metodología, los humanos también pasan cosas por alto. En el informe State of AI in Pentesting 2026 de Aikido, la mitad de los 400 CISO y líderes de ingeniería encuestados afirman que los fallos lógicos, los control de acceso roto y los errores de varios pasos se pasan por alto siempre o a menudo en las pruebas manuales, y esa cifra se eleva al 92 % en el caso de los equipos que realizan despliegues diarios o más rápidos. Esto demuestra que, aunque la metodología humana está bien fundamentada, no es perfecta en absoluto, y la IA ayuda a cubrir lo que una revisión manual pasaría por alto.
Aikido AI Pentesting se basa en la experiencia
Aikido Security creó AI Pentesting con la experiencia que describe Haddix, y las pruebas independientes lo respaldan. Doyensec evaluó comparativamente a Aikido en dos aplicaciones de código abierto elegidas al azar entre 442 candidatas, con un investigador sénior validando manualmente cada hallazgo. Aikido sacó a la luz 49 vulnerabilidades verificadas (9 de ellas altas o críticas), con una tasa de falsos positivos del 4 %, y se ejecutó de forma autoservicio en ambas aplicaciones en menos de 20 minutos.
{{pentest}}
