Hoy lanzamos Aikido Machine y damos la bienvenida al equipo que ha ayudado a construirla. Aikido Machine es un servidor local que ejecuta el pentesting de IA de Aikido Security y el análisis de código con IA (y muchos más próximamente) por completo dentro de tu red: GPUs locales, modelos locales y resultados locales. Ningún código fuente, repositorio ni prompt abandona jamás tu infraestructura.
Algunos equipos no pueden enviar su código fuera de su red
Para un banco, una agencia gubernamental, un contratista de defensa o un hospital, hay dos realidades que se cumplen al mismo tiempo.
El primero: la presión sigue aumentando. Los atacantes se mueven más rápido que nunca y la IA ha reducido el costo de encontrar y explotar una vulnerabilidad. Esto no es algo hipotético para los reguladores. Recientemente, el BCE dio a 110 bancos un plazo de cuatro meses para presentar planes de acción contra las amenazas cibernéticas impulsadas por IA, mientras que la Junta Europea de Riesgo Sistémico elevó su evaluación de riesgo cibernético sistémico a "grave" y calificó los últimos modelos como "un cambio de paradigma para la ciberseguridad". Mientras tanto, las defensas tradicionales muestran el paso del tiempo. El DAST basado en firmas se creó para un mundo donde los atacantes ejecutaban scripts. Ahora los atacantes ejecutan modelos que entienden una aplicación mejor que un escáner, y el pentesting manual también se está quedando atrás: el 51 % de los CISO y CTO afirman que los fallos lógicos, el control de acceso roto y las vulnerabilidades de múltiples pasos se pasan por alto siempre o a menudo.
El segundo: el pentesting continuo impulsado por IA existe, pero hasta ahora se ha ejecutado en la nube, lo que significa que estos equipos en industrias altamente reguladas no podían utilizarlo. Esto se debe a que las políticas internas o la normativa establecen que el código fuente, los datos de los repositorios y los prompts no pueden enviarse a una nube externa ni a un tercero.
La única forma de ofrecer a estos equipos pentesting de IA continuo es colocar todo el servidor, incluidos los modelos, físicamente dentro de su red. Esa es la Aikido Machine.
Aikido Security adquiere Milou
Aikido lleva un tiempo trabajando en el desarrollo de un producto de pentesting de IA fiable y vanguardista.
Hacerlo de forma local y ofrecer un nivel de excelencia que pudiera satisfacer las necesidades de organizaciones altamente complejas y reguladas exigía pensar de forma diferente. Necesitábamos colaborar con personas que viven y respiran la seguridad ofensiva y que cuentan con una trayectoria contrastada en resultados.
Y por eso Aikido ha adquirido Milou para impulsar esa misión. Detrás de la empresa con sede en Bélgica se encuentran dos pentesters y bug hunters experimentados, Tiburce Gridello y Selim Decamps. El objetivo detrás de Milou era sencillo: facilitar la vida a los pentesters automatizando los informes para permitirles centrarse en su tarea principal, hackear. Adquirimos Milou para aportar esa experiencia, y mucha más ambición, a nuestro trabajo on-prem. Desde su incorporación, el equipo se ha centrado en I+D y en probar modelos en el hardware más rápido disponible para encontrar la mejor configuración de pentesting que se ejecute íntegramente en el dispositivo.
"Milou se centraba en ejecutar herramientas ofensivas en hardware local para poder utilizarlas en entornos altamente regulados. Aikido desarrolló la tecnología de pentesting de IA para ejecutarla en él. Aikido Machine une ambas cosas para que las utilice todo un equipo de seguridad".
Selim Decamps, cofundador de Milou.
Lo que desbloquea el pentesting de IA local
Aikido Machine es un servidor GPU que Aikido Security instala, ejecuta y mantiene. Estas son las ventajas para ti:
- Todo se queda en las instalaciones (on-prem): La inferencia se ejecuta en las propias GPUs de Aikido Machine. Nada de lo que le proporciones llega jamás a un proveedor de nube o a un modelo externo. Aislado por diseño (air-gapped), sin necesidad de conexión a internet.
- Siempre activo: Realiza pentests de forma continua. La inferencia local implica que no hay tarifas por token ni por pentest, por lo que no hay motivo para racionar las pruebas entre un encargo y otro.
- Visibilidad completa: Con acceso total al código fuente, la documentación y el tiempo de ejecución, Aikido Machine trabaja a partir de un contexto inaccesible para un atacante de caja negra, y puede igualar o superar a un modelo avanzado que pruebe tu aplicación desde el exterior.
- Un entorno de pruebas real: Autenticación simple o multifactor, gestión de sesiones, una capa de proxy y aplicación de alcances. Esa estructura es lo que permite a la máquina de Aikido realizar pruebas detrás de flujos de inicio de sesión reales y mantenerse dentro de los objetivos que defines.
- Pruebas: Cada hallazgo incluye un exploit funcional, para que tu equipo pueda centrarse en los problemas confirmados. Aikido Machine también ofrece solicitudes de extracción (pull requests) listas para fusionar y reevaluaciones sobre el mismo ámbito.
- En funcionamiento desde el primer día: Un ingeniero de Aikido Security se desplaza in situ, conecta la alimentación y la red, y pone en marcha tu primer pentest antes de marcharse.
pentesting de IA y análisis de código con IA ya están disponibles en Aikido Machine, y aún quedan muchas más funciones del ecosistema de Aikido Security por llegar.
Un banco europeo con 192.800 millones de euros en activos ya lo ha desplegado
Belfius, el banco y aseguradora propiedad del gobierno federal belga, con 192.800 millones de euros en activos, se encuentra entre los primeros en ejecutar la máquina de Aikido dentro de su propio centro de datos. Más de 200 agentes de IA analizan ahora los sistemas del banco las 24 horas del día, desde el interior de la propia infraestructura de Belfius. Belfius aporta la complejidad operativa y la experiencia de una gran institución financiera a la pila tecnológica de Aikido. El banco ayudará a refinar el producto para cumplir con los estrictos requisitos normativos y de seguridad.
"La ciberseguridad ya no es un ejercicio periódico. Se ha convertido en una misión continua. Al implementar agentes de IA que analizan nuestros sistemas sin interrupción, podemos identificar riesgos con mayor rapidez, reforzar nuestra residencia de forma continua y mejorar aún más la confianza que millones de clientes depositan en Belfius cada día. La IA se está convirtiendo en uno de nuestros mejores aliados para proteger lo que más importa".
Fabian Delava, director de tecnología en Belfius
Por qué el pentesting en las instalaciones (on-prem) es importante ahora
La IA está acelerando simultáneamente el desarrollo de software y proporcionando a los atacantes formas más sencillas y económicas de atacar a las organizaciones. Esto significa que pueden hacerlo con mayor frecuencia. Para mantenerse al día, las organizaciones deben poder probar sus sistemas con la mayor frecuencia posible. Sin embargo, sabemos que existe una brecha: el 76 % implementa cambios importantes semanalmente o con mayor rapidez, y el 21 % valida la seguridad en cada lanzamiento.
Hasta hoy, las mejores pruebas de seguridad basadas en IA solo estaban al alcance de los equipos que podían enviar todo a la nube. Las organizaciones con las normativas más estrictas y, a menudo, con más en juego, eran las que se quedaban fuera, a menos que desarrollasen su propia solución internamente. La Aikido Machine cierra esa brecha.
Una cálida bienvenida a Tiburce y Selim. La implementación del pentesting de IA on-premise ya estaba en marcha y su trabajo nos proporcionó la base necesaria para ofrecer un producto que va un paso por delante.
Si diriges la seguridad en un sector altamente regulado y la frase "no puede salir de nuestra red" ha puesto fin a todas tus conversaciones sobre pentesting de IA, es hora de conocer la Aikido Machine.
{{cta}}
