Ciberseguridad · 14 de octubre de 2026 · 11 min de lectura
Pentesting con IA: qué puede demostrar y cuáles son sus límites
Imagina que tu organización identifica una vulnerabilidad crítica en uno de sus sistemas. El equipo de seguridad comienza a evaluar su impacto, revisa los activos afectados y coordina las medidas necesarias para corregirla. Sin embargo, mie…
La velocidad de los ataques está cambiando las reglas de la seguridad
Imagina que tu organización identifica una vulnerabilidad crítica en uno de sus sistemas. El equipo de seguridad comienza a evaluar su impacto, revisa los activos afectados y coordina las medidas necesarias para corregirla. Sin embargo, mientras se desarrolla este proceso, un atacante podría estar buscando la manera de aprovechar esa misma debilidad.
Esta situación refleja uno de los principales desafíos de la ciberseguridad actual: reducir la distancia entre descubrir una vulnerabilidad y comprobar qué tan peligrosa es realmente para el negocio.
Durante años, las pruebas de penetración han permitido evaluar las defensas de una organización mediante la simulación controlada de técnicas utilizadas por los atacantes. Estas evaluaciones ayudan a identificar debilidades, comprobar configuraciones y descubrir posibles rutas de acceso a información o sistemas críticos.
El desafío aparece cuando la infraestructura cambia constantemente, se incorporan nuevos servicios y las vulnerabilidades se descubren a un ritmo cada vez mayor. Una evaluación realizada hace semanas puede dejar de representar con precisión el estado actual del entorno.
En este escenario, el pentesting basado en agentes de inteligencia artificial comienza a ganar relevancia. Su propuesta consiste en automatizar distintas etapas de una evaluación de seguridad y ayudar a descubrir, comprobar y relacionar posibles vías de ataque.
Pero existe una diferencia importante entre ejecutar pruebas de forma autónoma y comprender la exposición real de una organización. Para evaluar el valor de estas herramientas, es necesario mirar más allá de su capacidad para encontrar vulnerabilidades.
¿Qué es el pentesting con agentes de inteligencia artificial?
El pentesting con agentes de inteligencia artificial, también conocido como agentic penetration testing, utiliza agentes capaces de ejecutar y coordinar distintas tareas de una evaluación de seguridad dentro de un alcance definido.
En lugar de limitarse a entregar una lista de posibles vulnerabilidades, estas herramientas pueden encadenar etapas de análisis para investigar cómo una debilidad podría relacionarse con otras y qué consecuencias tendría sobre los sistemas evaluados.
Un proceso puede comenzar identificando los puntos de acceso disponibles, continuar con la enumeración de servicios y permisos, y avanzar hacia la comprobación de posibles rutas de ataque. Cuando las condiciones lo permiten, el sistema puede validar si una vulnerabilidad es explotable y determinar hasta dónde podría llegar un atacante dentro del entorno autorizado.
La diferencia está en el tipo de respuesta que se busca obtener. Detectar una vulnerabilidad permite conocer una debilidad potencial; demostrar que puede explotarse aporta evidencia más concreta sobre el riesgo que representa.
Por ejemplo, una configuración incorrecta podría parecer preocupante en un informe técnico. Sin embargo, su impacto dependerá de factores como los permisos asociados, la exposición del activo, las medidas de protección existentes y la posibilidad de utilizar esa debilidad para alcanzar otros sistemas.
El pentesting con agentes busca conectar esos elementos y ofrecer una perspectiva más cercana a las condiciones reales de un ataque.
Esto no significa que todos los agentes funcionen de la misma manera ni que puedan evaluar cualquier infraestructura sin restricciones. Sus capacidades dependen de las herramientas utilizadas, los permisos disponibles, el alcance autorizado y los métodos de validación que puedan ejecutar.
Detectar una vulnerabilidad no es lo mismo que demostrar un ataque
Uno de los principales aportes del pentesting con agentes es su capacidad para generar evidencia sobre la explotabilidad de determinadas vulnerabilidades y las posibles rutas de ataque que pueden construirse a partir de ellas.
Esta distinción es importante porque los resultados de una evaluación no siempre tienen el mismo significado.
Una vulnerabilidad identificada mediante un análisis puede indicar que un componente presenta una versión afectada o una configuración potencialmente insegura. Sin embargo, esa información por sí sola no demuestra que la debilidad pueda utilizarse para comprometer un activo en las condiciones concretas de la organización.
La validación busca responder una pregunta más precisa: ¿es posible aprovechar esta vulnerabilidad en nuestro entorno y qué impacto podría tener?
Cuando una prueba autorizada consigue demostrar una ruta de ataque, el equipo de seguridad dispone de evidencia para comprender mejor la exposición, priorizar las correcciones y comprobar posteriormente si las medidas implementadas han sido efectivas.
Además, analizar cómo pueden encadenarse distintas debilidades permite identificar escenarios que una revisión aislada podría pasar por alto. Una vulnerabilidad aparentemente secundaria puede adquirir mayor relevancia si facilita el acceso a otro sistema o contribuye a alcanzar un activo de mayor criticidad.
Aun así, es importante interpretar los resultados con criterio. No demostrar que una vulnerabilidad es explotable durante una prueba no significa necesariamente que sea imposible aprovecharla. El resultado puede depender de las condiciones evaluadas, las técnicas disponibles y las restricciones del ejercicio.
Por eso, la evidencia obtenida debe interpretarse junto con el contexto técnico y de negocio, no como una garantía absoluta de seguridad.
El factor tiempo: ¿con qué rapidez se puede validar el riesgo?
La velocidad se ha convertido en una variable fundamental para la gestión de vulnerabilidades.
El artículo de referencia publicado por The Hacker News el 7 de octubre de 2026 presenta cifras que ilustran esta presión: señala un aumento del 49,5 % en las CVE detectadas durante el primer semestre de 2026 respecto del mismo periodo del año anterior y estima que el tiempo medio entre la divulgación de una vulnerabilidad y su explotación se redujo a ocho horas durante 2026.
Estas cifras deben entenderse dentro del contexto y la metodología de la fuente original, pero reflejan un desafío relevante: los equipos de seguridad necesitan evaluar los cambios con mayor rapidez.
Una prueba de penetración tradicional puede ofrecer un análisis profundo, aunque requiere planificación, recursos especializados y tiempo de ejecución. Las herramientas automatizadas pueden acortar determinadas etapas, mientras que los agentes permiten coordinar pruebas y explorar posibles rutas de ataque de forma más autónoma.
Sin embargo, automatizar un proceso no significa que cualquier evaluación pueda completarse en minutos. El tiempo necesario depende del tamaño de la infraestructura, la complejidad de los sistemas, las restricciones de acceso y la profundidad del análisis.
En entornos extensos, una evaluación puede prolongarse mientras la infraestructura continúa cambiando. Esto introduce una dificultad adicional: parte de los resultados podría describir condiciones que ya no existen cuando termina el análisis.
Por este motivo, el objetivo no debería ser únicamente ejecutar pruebas más rápido. También es necesario definir cuándo repetirlas y qué cambios deberían activar una nueva validación.
La incorporación de un activo, una modificación de permisos o la aparición de una vulnerabilidad relevante pueden justificar una evaluación específica. De esta forma, las pruebas de seguridad se acercan a la dinámica real de la infraestructura y dejan de depender exclusivamente de calendarios preestablecidos.
El límite de la automatización: la cobertura del entorno
La velocidad no es el único factor que determina la utilidad de una evaluación. También importa qué parte de la infraestructura puede examinarse y qué métodos están disponibles para hacerlo.
Las pruebas de penetración basadas en agentes pueden validar rutas de ataque mediante técnicas activas, pero existen situaciones en las que ejecutar un exploit no resulta apropiado o seguro.
Entre ellas se encuentran los sistemas críticos para la continuidad del negocio, los entornos aislados, determinados segmentos de gran tamaño y los activos cuyo funcionamiento podría verse afectado por una prueba invasiva.
También hay vulnerabilidades para las que todavía no existe un exploit funcional que pueda ejecutarse de forma segura. En esos casos, una herramienta que dependa de la explotación activa tendrá limitaciones para demostrar el escenario mediante ese método.
El resultado es una diferencia entre la parte del entorno que puede someterse a pruebas activas y la exposición total que necesita gestionar una organización.
La publicación original estima que las herramientas autónomas de pentesting pueden detectar entre el 20 % y el 30 % de la vulnerabilidad real en una empresa típica. Esa cifra corresponde a la estimación presentada por su fuente y no debe interpretarse como un porcentaje universal aplicable a todas las soluciones, infraestructuras o metodologías.
La conclusión importante es otra: ningún resultado debería interpretarse como una representación completa del riesgo si existen activos o escenarios que quedaron fuera de la evaluación.
Una estrategia sólida necesita reconocer esos límites, documentar las áreas sin validar y determinar qué método resulta más adecuado para cada escenario.
Tres métodos para construir una visión más completa de la seguridad
El pentesting con agentes puede aportar evidencia valiosa, pero no responde por sí solo a todas las preguntas que surgen durante la gestión de vulnerabilidades y la validación de defensas.
Una estrategia más completa puede combinar tres enfoques complementarios.
1. Validación de la explotabilidad
Permite evaluar si una vulnerabilidad representa un riesgo concreto para los activos afectados. Según el método empleado, esta validación puede utilizar técnicas de comprobación que no requieren ejecutar un exploit funcional, ampliando las posibilidades de análisis en escenarios donde una prueba invasiva no resulta apropiada.
2. Validación de los controles de seguridad
Busca determinar si las defensas existentes consiguen prevenir o detectar técnicas de ataque relevantes. En lugar de centrarse únicamente en la vulnerabilidad, evalúa la respuesta de los controles que deberían proteger el entorno.
Esto permite identificar diferencias entre tener una medida de seguridad implementada y comprobar que funciona frente a escenarios específicos.
3. Pentesting con agentes
Permite investigar y validar rutas de ataque mediante pruebas activas autorizadas, incluyendo la posibilidad de encadenar debilidades para demostrar cómo podría alcanzarse un activo crítico.
Su valor aumenta cuando las pruebas pueden ejecutarse de forma segura, dentro de un alcance definido y con evidencia suficiente para respaldar los resultados.
Estos métodos no compiten necesariamente entre sí. Cada uno responde a preguntas diferentes y puede complementar las limitaciones de los demás.
Para que la combinación resulte efectiva, sus hallazgos deben relacionarse con los activos afectados, evitar duplicidades y mantener un seguimiento claro de las exposiciones pendientes y las correcciones realizadas.
El propósito no es acumular más alertas en distintas plataformas, sino construir una visión coherente que ayude a decidir qué corregir primero y cómo comprobar que el riesgo ha disminuido.
De las evaluaciones puntuales a la validación continua
La evolución de las infraestructuras empresariales está impulsando una transición hacia modelos de evaluación más frecuentes y vinculados a los cambios del entorno.
En este contexto, las pruebas continuas de seguridad ofensiva, conocidas como Continuous Offensive Security Testing (COST), buscan complementar las evaluaciones puntuales mediante validaciones activadas por cambios, eventos de seguridad o niveles de riesgo.
Esto permite adaptar las pruebas a situaciones concretas. Una vulnerabilidad recién divulgada puede activar una evaluación de los activos afectados; una nueva campaña de amenazas puede motivar la comprobación de los controles defensivos; y un cambio en la infraestructura puede justificar la revisión de posibles rutas de ataque.
La frecuencia de las pruebas, por sí sola, no garantiza mejores resultados. Para que la validación continua aporte valor, debe estar acompañada de una definición clara del alcance, controles que reduzcan el riesgo de afectar sistemas productivos, criterios de priorización y procesos de remediación verificables.
También es importante mantener la supervisión humana. Los resultados automatizados necesitan interpretación, las acciones deben respetar las autorizaciones establecidas y las decisiones sobre sistemas críticos deben considerar su impacto operativo.
De esta manera, la automatización puede ayudar a reducir el tiempo entre la identificación de una exposición y la toma de decisiones, sin convertir la velocidad en un sustituto del criterio técnico.
Conclusión: la seguridad se demuestra con evidencia
El pentesting con agentes de inteligencia artificial abre nuevas posibilidades para evaluar la seguridad de las organizaciones. Permite automatizar tareas, explorar rutas de ataque y obtener evidencia sobre determinadas vulnerabilidades en condiciones controladas.
Sin embargo, su utilidad depende de algo más que su capacidad para ejecutar pruebas. También es necesario comprender qué activos puede evaluar, cuánto tarda en completar el análisis y qué escenarios requieren métodos diferentes.
Una estrategia de ciberseguridad madura combina la detección de vulnerabilidades, la validación de su explotabilidad, la comprobación de los controles defensivos y las pruebas activas cuando resultan apropiadas. Además, mantiene una visión compartida de los hallazgos y verifica que las medidas correctivas produzcan el resultado esperado.
Para las organizaciones, el desafío consiste en pasar de preguntarse cuántas vulnerabilidades han identificado a comprender cuáles representan una exposición real, qué impacto podrían tener y qué evidencia demuestra que el riesgo se ha reducido.
Porque en ciberseguridad, identificar una debilidad es un primer paso. Comprender su impacto, validar las defensas y comprobar las correcciones es lo que permite convertir esa información en decisiones de seguridad más efectivas.
Fuentes y referencias
-
The Hacker News. (7 de octubre de 2026). What Is Agentic Pentesting? What It Proves and Where It Stops. Artículo de referencia utilizado para desarrollar este contenido.