WEBKIT · SAFARIMAR 2026
Source audit con IA: 17.773 archivos en una sola sesión AI source audit: 17,773 files in a single session
JavaScriptCore · WebCore · WTF · bmalloc · 3
bugs confirmados confirmed bugs
21 FINDINGS
IA propia. Hecha y supervisada por humanos. Detección de 0-days. Reporte desde 24h, desde $990. Nuestros pentesters dirigen el engagement; la IA propone y acelera, el operador decide qué explotar y valida cada hallazgo. Our AI. Built and supervised by humans. 0-day detection. Report from 24h, from $990. Our pentesters drive the engagement; AI proposes and accelerates, the operator decides what to exploit and validates every finding.
Elegí el plan que se ajuste a tu superficie de ataque. Todos incluyen reporte con evidencia reproducible, CVSS v3.1 y retest gratuito. Sin suscripción, sin sorpresas. Pick the plan that fits your attack surface. All include a report with reproducible evidence, CVSS v3.1 and a free retest. No subscription, no surprises.
Arrancamos en 2 horas. Contenemos el ataque, limpiamos el perímetro y te dejamos operando. Un pentester senior entra a tu Slack con tu equipo hasta el cierre formal con tu CSIRT. Sin formularios, sin propuestas. We start in 2 hours. We contain the attack, clean the perimeter and get you back online. A senior pentester joins your Slack with your team until formal CSIRT closure. No forms, no proposals.
Nuestros pentesters dirigen el engagement; la IA acelera, ejecutando 300+ módulos en paralelo. El operador decide qué cadena explotar, valida cada hallazgo y firma el reporte. Retest a 30 días incluido, sin costo extra. Our pentesters drive the engagement; AI accelerates, running 300+ modules in parallel. The operator decides which chain to exploit, validates every finding and signs off the report. 30-day retest included, no extra cost.
Shells, persistencia, exfiltración, phishing, ataques destructivos. El Rekon Framework propone, el operador autoriza. Tu sistema nunca recibe un payload que un pentester no haya aprobado. Sin auto-pwn. Sin reportes de IA sin revisar. Shells, persistence, exfiltration, phishing, destructive attacks. The Rekon Framework proposes, the operator authorizes. Your system never receives a payload a pentester didn't approve. No auto-pwn. No unreviewed AI reports.
Un informe que no leen los ingenieros, no existe. Escribimos para ser accionados, no para decorar una auditoría. A report engineers don't read doesn't exist. We write to be acted on, not to decorate an audit.
Publicamos un caso cada trimestre con permiso explícito del cliente. Los nombres se censuran; las técnicas, cronología y hallazgos se conservan íntegros. We publish one case per quarter with explicit client permission. Names redacted; techniques, timeline and findings preserved intact.
El scanner interno del cliente cargó 5.155 reglas y reportó 0 hallazgos. Nuestros pentesters, asistidos por el Rekon Framework — nuestro motor ofensivo impulsado por IA —, identificaron 87 vulnerabilidades reales, 3 de ellas zero-days, y construyeron 9 cadenas de ataque completas. Dos findings críticos: OAuth Token Hijack → Admin Takeover (CVSS 9.8) y SSRF → Cloud Metadata → IAM Keys (CVSS 9.4). Entrega completa en 48h, retest a 30 días validó los fixes. The client's internal scanner loaded 5,155 rules and reported 0 findings. Our pentesters, assisted by the Rekon Framework — our AI-driven offensive engine —, identified 87 real vulnerabilities, 3 of them zero-days, and built 9 full attack chains. Two critical findings: OAuth Token Hijack → Admin Takeover (CVSS 9.8) and SSRF → Cloud Metadata → IAM Keys (CVSS 9.4). Full delivery in 48h, 30-day retest validated the fixes.
Encontraron lo que tres auditorías anteriores no vieron. El reporte se leyó entero en la reunión de dirección. They found what three prior audits missed. The report was read end-to-end in the leadership meeting.
— CTO · Cliente bajo NDA · 3 industrias — CTO · Client under NDA · 3 industries
Divulgación responsable con ventana de 90 días. Todo lo que publicamos ha sido notificado al vendor y tiene CVE asignado o referencia de advisory. 47 entradas desde 2021. Responsible disclosure with a 90-day window. Everything we publish has been notified to the vendor and has an assigned CVE or advisory reference. 47 entries since 2021.
Si falta la tuya, escríbenos por PGP. Respondemos todas en menos de 24h hábiles. If yours is missing, write to us via PGP. We answer all of them in under 24 business hours.
Sin formularios inflados ni cadenas de ventas. Escribinos por email o agendá un kickoff — NDA firmado en 24h, reporte reproducible, sin letra chica. No bloated forms or sales chains. Email us or book a kickoff — NDA signed in 24h, reproducible report, no fine print.
hello@rekon.sh →