Agentes de IA para el pentesting: potencia con un control imprescindible

Como explican desde Synack, los agentes de IA tienen un enorme potencial para la realización de pruebas de penetración. Entre otras cosas, pueden aprender de intentos fallidos, generando pruebas adaptativas, además de su escalabilidad y mayor cobertura, la reducción de ruido con el triaje automatizado o los ciclos de prueba más rápidos que mejoran la detección temprana.

Eso sí, la intervención de la IA requiere extremar las medidas de control, empezando por la supervisión humana en tiempo real. La compañía destaca la importancia de verificar las certificaciones del proveedor (como SOC 2 o ISO 27001), asegurándose de que “los contratos y seguros cubren explícitamente las acciones autónomas de la IA y el uso de los datos”. También hay que auditar los datos de entrenamiento de los modelos y las metodologías empleadas.

Desde un punto de vista técnico, es necesario incorporar bloqueos para los comandos destructivos, con “límites de velocidad estrictos y filtros que impidan que la IA actúe fuera del alcance autorizado”, así como disponer de un “botón de parada de emergencia”. Y, por supuesto, desde un enfoque Zero Trust, “con enmascaramiento de datos sensibles, políticas claras de retención y opciones de exclusión del uso de datos”. Por último, hay que validar paso a paso las pruebas y llevar un registro de auditoría inmutable.

Sergio Rubio, director comercial de Synack para España, señala que “la IA agéntica aplicada al pentesting ya está redefiniendo los estándares del sector. La clave no es solo adoptar esta tecnología, sino hacerlo de forma responsable, segura y alineada con las mejores prácticas. En ese camino, Synack se posiciona como un socio estratégico para las organizaciones que buscan escalar su seguridad al ritmo de las amenazas actuales”.