La IA acelera la búsqueda. Un pentester prueba el impacto y firma la evidencia. AI accelerates the search. A pentester proves the impact and signs off the evidence.
Un sistema ofensivo amplía la búsqueda. Una persona controla la intrusión y firma la evidencia. An offensive system expands the search. A person controls the intrusion and signs the evidence.
scope.auth / account_a
Gray-box, con cuentas de prueba y reglas firmadas. Producción solo entra con autorización escrita y una ventana acordada.Gray-box, with test accounts and signed rules. Production is included only with written authorization and an agreed window.
account_a → account_b
La IA relaciona señales en sesión, roles, dinero, datos y lógica de negocio. El operador elige la cadena, limita el impacto y autoriza la ejecución.AI connects signals across sessions, roles, money, data and business logic. The operator chooses the chain, limits the impact and authorizes execution.
request → response → impact
Guardamos la petición, la respuesta y la captura. Si el control negativo no falla como debe, el hallazgo no se reporta como confirmado.We preserve the request, response and capture. If the negative control does not fail as expected, the finding is not reported as confirmed.
fix → retest_90d → attestation
El retest a 90 días está incluido. Corre sobre el mismo alcance y deja por escrito qué cerró, qué sigue abierto y qué no pudo verificarse.The 90-day retest is included. It runs against the same scope and records what closed, what remains open and what could not be verified.
§ OPERATOR GATE
El humano autoriza. The human authorizes.
Cada acción intrusiva pasa por gate humano antes de ejecutarse. Shells, persistencia, exfiltración, phishing y acciones destructivas: el sistema propone; el operador autoriza. Every intrusive action passes through a human gate before execution. Shells, persistence, exfiltration, phishing and destructive actions: the system proposes; the operator authorizes.
Sin auto-pwn. Sin reportes de IA sin revisar. No auto-pwn. No unreviewed AI reports.
candidate / 01
Relaciona la superficie identificada y propone payloads y cadenas posibles. Todavía no ejecuta.It connects the identified surface and proposes possible payloads and chains. It does not execute yet.
review / 02
Valida encaje, alcance, blast radius y señal esperada antes de permitir cualquier ejecución.They validate fit, scope, blast radius and expected signal before allowing any execution.
authorized / 03
Se ejecuta con la huella mínima necesaria. Tu sistema no recibe un payload que un operador no haya aprobado.It runs with the minimum necessary footprint. Your system receives no payload an operator has not approved.
Dirección recibe una decisión. Ingeniería recibe una reproducción. Ambos leen el mismo hallazgo. Leadership gets a decision. Engineering gets a reproduction. Both read the same finding.
Engagement · PT-DEMO-2026-03 Engagement · PT-DEMO-2026-03
Informe de
evaluación de
seguridad Security
assessment
report
ACME S.A.
Evaluación gray-box de demo.example.tld: aplicación web y APIs de primer partido. Template ilustrativo — no describe un caso real. Gray-box assessment of demo.example.tld: web application and first-party APIs. Illustrative template — not a real engagement.
Hallazgos · 2.3.1 Findings · 2.3.1
El webhook alcanza la red interna de la nube The webhook reaches the cloud’s internal network
Identificado el 6 de marzo de 2026 Identified 6 March 2026
Descripción. La dirección de callback se escribe a mano y no se contrasta contra ninguna lista. El servidor va donde le digan, incluida la red que sólo él ve desde adentro. Description. The callback address is typed by hand and checked against no list. The server goes wherever it is told, including the network only it can see from the inside.
callback = http://<metadatos-internos>/… POST /hooks/callback → 202 reintento #1 → credencial temporal
Remediación. Lista blanca de destinos de salida; metadatos con token obligatorio y salto de red limitado a uno. Retest incluido a 90 días. Remediation. An egress allow-list; metadata service token-required, network hop limited to one. Retest included at 90 days.
Nada queda a criterio durante la prueba. Lo que entra, lo que queda afuera y lo que no se ejercita se firma antes. Nothing is left to judgment during testing. What is in, what is out and what will not be exercised is signed first.
Login, sesión, roles, datos y flujos de negocio definidos por escrito. Preferimos staging con paridad documentada.Login, session, roles, data and business flows defined in writing. We prefer staging with documented parity.
Los terceros se observan desde la integración, no se atacan. Denegación de servicio e ingeniería social quedan afuera por defecto.Third parties are observed from the integration, not attacked. Denial of service and social engineering are out by default.
Si una cadena no se completa o no existe un objeto seguro contra el cual probarla, el informe lo declara. No se infla como hallazgo confirmado ni se omite.If a chain is not completed or there is no safe target against which to test it, the report says so. It is neither inflated into a confirmed finding nor omitted.
Depende del alcance. La ventana se fija por escrito antes de empezar; no publicamos un número genérico.It depends on scope. The window is fixed in writing before work starts; we do not publish a generic number.
NDA bilateral previo, cuentas y reglas por escrito y canal acordado.Mutual NDA first, accounts and rules in writing, and an agreed channel.
Trabajamos con superficie, no con facturación. Una aplicación y dos cuentas ya forman un alcance válido.We work with attack surface, not revenue. One application and two accounts already form a valid scope.
Analicemos el entorno y el alcance. Con eso definimos el trabajo. Let’s review the environment and scope. From there, we define the work.
hello@rekon.shEl alcance y el plazo se fijan en el acuerdo. No constituye oferta.Scope and timing are fixed in the agreement. This is not an offer.
