Área de investigación · Seguridad ofensiva Agentic
Agentic Offensive Security: la autonomía requiere verificabilidad y control
Los agentes de IA transforman las pruebas de seguridad ofensivas: cartografían superficies de ataque, rastrean aplicaciones y comprueban vulnerabilidades en paralelo. Vami Research investiga en qué condiciones es responsable hacerlo — con verificación del alcance antes de cada acción, aprobaciones escalonadas y una evidencia trazable — y lo vincula con el pentest, el Red Teaming y el AI Red Teaming.
- Pentests agénticos
- Scope Enforcement
- OWASP APTS
- Pentests de MCP
- AI Red Teaming
- Red Teaming basado en TTP
- EASM
- Deep Dives
- 13
- Whitepapers
- 4
- Soluciones
- 1
Cuando los agentes están autorizados a atacar: alcance, supervisión y prueba
Las pruebas ofensivas se vuelven agénticas. Las plataformas de pentesting controladas por IA ejecutan cadenas de ataque de forma cada vez más autónoma: según el nivel de autonomía, proponen pasos, los planifican para su aprobación o los ejecutan ellas mismas bajo supervisión. Para los clientes, la pregunta cambia. No solo importa qué se encontró, sino cómo se comportó la plataforma: si se mantuvo dentro del alcance autorizado, quién aprobó qué acción y si cada hallazgo está respaldado por evidencias.
El OWASP Autonomous Penetration Testing Standard (APTS) describe precisamente estas propiedades de la plataforma: 173 requisitos en ocho dominios — desde Scope Enforcement, pasando por Human Oversight y Manipulation Resistance, hasta Reporting —, tres tiers de cumplimiento y cuatro niveles de autonomía. Está disponible en la versión 0.1.0 y no sustituye a ninguna metodología de pruebas. Si el objetivo es la propia infraestructura de agentes, un pentest de MCP examina la interacción entre servidor, cliente o host y pasarela, con el OWASP MCP Top 10 (v0.1, Beta) como marco de estructuración, no como norma de auditoría.
La plataforma agéntica de pruebas de penetración VamiRedteam sigue el principio de que el control permanece en manos del cliente: tres agentes de IA (Recon, Smart Crawler y Pentester) prueban aplicaciones web, API, hosts y redes exclusivamente dentro del alcance autorizado, y cada acción se verifica antes de ejecutarse y queda registrada. Junto a ello siguen vigentes las disciplinas clásicas: pentest, Red Teaming según MITRE ATT&CK, EASM, pentests físicos y de IoT, Bug Bounty, auditorías y due diligence de M&A.
Preguntas abiertas de la práctica
- 01
¿Cómo se reconoce si una plataforma de pentesting autónoma se mantiene de forma fiable dentro del alcance autorizado?
Nuestro enfoque
Por su comportamiento durante la ejecución. OWASP APTS exige imponer los límites del alcance de forma técnica y no solo contractual, además de un kill switch operativo, la clasificación de impacto por acción y pistas de auditoría firmadas y aisladas de la plataforma. En compras se recomienda una autodeclaración de tier con respuestas concretas sobre el scope enforcement y el kill switch; las pruebas del kill switch forman parte de cada engagement.
- 02
¿Cómo se auditan los servidores MCP cuando las herramientas están controladas por el modelo y las descripciones actúan como instrucciones?
Nuestro enfoque
Como interacción entre servidor, cliente o host y pasarela, no como un endpoint aislado. Generamos un hash de cada definición de herramienta como línea base, probamos rug pull y shadowing e introducimos marcadores inocuos en respuestas de herramientas, documentos o tickets para observar si el agente los trata como instrucciones. Los hallazgos de configuración los demostramos de forma determinista; los de comportamiento, con repeticiones, tasa de aciertos, modelo y cliente.
- 03
¿Qué diferencia al AI Red Teaming de un test de penetración clásico?
Nuestro enfoque
El pentest muestra qué vulnerabilidades presenta un sistema definido. El AI Red Teaming examina el comportamiento del propio sistema de IA: jailbreaks, prompt injection directa e indirecta, extracción de datos y abuso de herramientas. Las referencias son la OWASP GenAI Red Teaming Guide y NIST AI 100-2; a los proveedores de modelos de IA de uso general con riesgo sistémico, el AI Act les exige adversarial testing desde el 2 de agosto de 2025.
- 04
¿Cómo encajan entre sí las pruebas agénticas y las disciplinas ofensivas clásicas?
Nuestro enfoque
Responden a preguntas distintas y no se sustituyen entre sí. El EASM encuentra activos desconocidos, el pentest demuestra la explotabilidad, el Red Teaming mide la detección y la respuesta, y las auditorías comprueban frente a un criterio de referencia definido. Las pruebas agénticas permiten comprobaciones más frecuentes cuando las superficies de ataque cambian con cada release. Los pentests físicos y de IoT cubren edificios y hardware.
Lo que constatamos
- 01
Lo decisivo es la autonomía necesaria, no la posible
OWASP APTS vincula la autonomía a las evidencias: desde L1, en el que la plataforma solo propone, hasta L4, la operación autónoma de extremo a extremo, aumentan los requisitos de aseguramiento; L4 solo es defendible con evidencias de Tier 3. En la práctica, a muchas organizaciones les basta con L2, en el que una persona aprueba cada paso.
Fuente: OWASP APTS
- 02
Los casos de prueba clásicos solo cubren en parte los riesgos de MCP
MCP rompe la premisa de un comportamiento determinista: según la especificación, las herramientas están controladas por el modelo, operan con permisos de usuario delegados y abren rutas arbitrarias de acceso a datos y de ejecución. Un estudio sobre 1.899 servidores MCP de código abierto identificó ocho clases de vulnerabilidad, de las que solo tres se solapan con las vulnerabilidades de software clásicas. Los pentests de MCP necesitan casos de prueba propios.
Fuente: Pentesting de MCP
- 03
Los sistemas de IA en constante cambio necesitan pruebas repetidas
Un ataque a un modelo de lenguaje puede tener éxito solo tras varios intentos, y las actualizaciones del modelo, los nuevos prompts de sistema, las herramientas y las fuentes de datos desplazan continuamente el panorama de riesgos. Por eso, el AI Red Teaming combina pruebas automatizadas para la amplitud con cadenas de ataque manuales y específicas del contexto, y con pruebas de regresión ante cada cambio relevante.
Fuente: AI Red Teaming
- 04
El Red Teaming mide la defensa, no el número de hallazgos
Son significativos el tiempo hasta la detección, el tiempo hasta la contención y la cuestión de qué tácticas y técnicas ejecutadas llegaron a activar alertas. Mediante la asignación de las acciones de los atacantes a MITRE ATT&CK, las brechas de detección se hacen visibles de forma sistemática: una conclusión sólida en lugar de una instantánea.
Fuente: Red Teaming
Cómo procedemos
Realizamos pruebas ofensivas y documentamos de forma que cada afirmación sea verificable: alcance fijado por escrito y técnicamente, autonomía elegida de forma consciente, evidencia por hallazgo y, en los hallazgos de comportamiento, con tasa de aciertos.
Pentests agénticos
VamiRedteam contrasta cada acción de los agentes con los objetivos autorizados antes de ejecutarla y, si lo desea, con aprobación por comando.
Pentests de MCP
Auditar servidor, cliente y pasarela según el OWASP MCP Top 10 (v0.1, Beta): definiciones de herramientas mediante hash de línea base, marcadores en contenidos ajenos, reconstrucción a partir de los registros.
AI Red Teaming
Jailbreaks, prompt injection directa e indirecta, extracción de datos y abuso de herramientas según la OWASP GenAI Red Teaming Guide y NIST AI 100-2.
Red Teaming basado en TTP
Simulación de ataques según MITRE ATT&CK con objetivos acordados, medición de la detección y la contención, Purple Teaming como ciclo de aprendizaje.
Superficie de ataque externa e in situ
EASM para activos desconocidos y shadow IT; pentests físicos y de IoT allí donde los edificios, el hardware y las comunicaciones inalámbricas forman parte de la superficie de ataque.
Análisis de brechas según APTS
Evaluar plataformas de pentesting autónomas frente a los ocho dominios de APTS, incluida la due diligence de proveedores y el mapeo regulatorio.
Cómo empezar
- 1Definir alcance y autonomíaAcordar por escrito objetivos, exclusiones, ventanas de prueba y contactos de emergencia, y definir para cada objetivo qué pasos requieren aprobación.
- 2Probar y demostrarExplotar vulnerabilidades de forma controlada, documentar cada hallazgo con evidencia, reproducción y prueba, y registrar cada paso.
- 3Evaluar y volver a probarPriorizar los hallazgos, acompañar las medidas y verificar la corrección mediante un retest, como evidencia para auditorías, NIS2 y DORA.
Deep Dives, whitepapers y análisis
Deep Dives 13
Whitepapers 4
Otras páginas
Del área a la implantación
Servicios
Áreas de investigación relacionadas
¿Tests autónomos, con alcance, supervisión y prueba?
En la primera consulta aclaramos el alcance, la supervisión y el marco regulatorio — desde el pentest clásico, pasando por el AI Red Teaming, hasta las pruebas agénticas con VamiRedteam.