¿La IA reemplaza al pentester?

No. Acelera reconocimiento, enumeración y generación de PoC; no firma autorizaciones ni asume responsabilidad. El juicio —qué explotar, qué reportar, qué callar— sigue siendo de una persona que responde por el trabajo.

¿Qué gana el cliente con un pentest asistido por IA?

Cobertura más ancha en el mismo plazo y hallazgos con más contexto, porque los agentes recorren más superficie y el especialista pasa su tiempo en lo que requiere criterio. La ventana de entrega se fija en contrato; la IA no la promete, la hace posible.

¿Qué riesgo introduce la IA en un engagement?

Si corre sin gate, el riesgo es actuar fuera de alcance o contra objetivos prohibidos. Por eso cada acción intrusiva de la plataforma pasa por autorización humana explícita y queda registrada. La IA propone; una persona dispone.

← Learn

IA + ofensiva

Pentesting con IA

Qué puede hacer la IA en un pentest real y qué no: aceleración con gate humano. Diferencia entre automatizar reconocimiento y automatizar juicio.

Rekon — seguridad ofensiva híbrida · 2026-09-17

Toda la industria vende “pentesting con IA” y casi nadie explica qué hace la IA. Acá va la versión honesta: la IA es buena recorriendo superficie, enumerando y proponiendo caminos de ataque; es mala decidiendo cuándo vale la pena romper algo y respondiendo por las consecuencias. Por eso el modelo que funciona es híbrido: agentes que proponen, personas que autorizan y firman.

Qué hace la IA en un engagement real

Recon continuo de superficie externa. Enumeración de subdominios, servicios y versiones. Correlación de hallazgos en caminos de ataque candidatos. Borradores de PoC que el especialista valida y ajusta. Eso es un multiplicador de cobertura: el especialista gasta su tiempo en juicio, no en recorrer de nuevo lo que los agentes ya enumeraron.

Qué no hace la IA — y por qué no debe hacer

No decide qué entra al alcance. No ejecuta acción intrusiva sin autorización humana. No interpreta impacto de negocio: un SQLi en un panel de marketing no pesa lo mismo que uno en el procesador de pagos. Y no firma: el informe lo firma la persona que supervisó, porque la responsabilidad no se delega en un modelo.

Cómo distinguir marketing de método

Preguntá dos cosas: quién autoriza cada acción intrusiva, y qué pasa cuando la IA se equivoca. Si la respuesta es “la plataforma tiene guardas”, exigí verlas por escrito. El gate humano explícito es la diferencia entre aceleración y teatro. Para el contraste directo con el enfoque automático puro: PTAI vs pentest automático. Para llevarlo a tu contexto: #contacto.

Preguntas directas

¿La IA reemplaza al pentester?: No. Acelera reconocimiento, enumeración y generación de PoC; no firma autorizaciones ni asume responsabilidad. El juicio —qué explotar, qué reportar, qué callar— sigue siendo de una persona que responde por el trabajo.
¿Qué gana el cliente con un pentest asistido por IA?: Cobertura más ancha en el mismo plazo y hallazgos con más contexto, porque los agentes recorren más superficie y el especialista pasa su tiempo en lo que requiere criterio. La ventana de entrega se fija en contrato; la IA no la promete, la hace posible.
¿Qué riesgo introduce la IA en un engagement?: Si corre sin gate, el riesgo es actuar fuera de alcance o contra objetivos prohibidos. Por eso cada acción intrusiva de la plataforma pasa por autorización humana explícita y queda registrada. La IA propone; una persona dispone.

¿Es el momento de probar puertas?

Contanos qué hay que validar. Respondemos con alcance propuesto, no con brochure.

Hablar con Rekon Más en Learn