Introducción
Entre una prueba de penetración tradicional y la siguiente, las aplicaciones pueden cambiar muchas veces. Nuevas funcionalidades, API, dependencias, flujos de autenticación y cambios de configuración pueden alterar la superficie de ataque, mientras que las pruebas manuales profundas suelen reservarse para evaluaciones periódicas. Esto genera una brecha de cobertura.
Las pruebas dinámicas de seguridad de aplicaciones (DAST) permiten realizar pruebas continuas y repetibles en grandes portafolios de aplicaciones, pero algunas vulnerabilidades y rutas de ataque requieren una exploración más adaptativa de lo que pueden ofrecer las comprobaciones predefinidas. Las pruebas de penetración manuales aportan esa adaptabilidad, pero resultan difíciles de realizar de forma continua o a escala empresarial.
El pentesting agéntico surge como una alternativa: mediante agentes autónomos de inteligencia artificial que razonan sobre el comportamiento de la aplicación, adaptan las pruebas y persiguen rutas de ataque prometedoras, puede aportar mayor profundidad, propia de un pentest, a las evaluaciones automatizadas.
Sin embargo, "agéntico" se ha convertido en una etiqueta cada vez más laxa. Un informe generado por IA o un gran número de llamadas al modelo no se traducen necesariamente en mejores pruebas de seguridad. Los equipos empresariales necesitan evaluar qué hace realmente un sistema de pentesting agéntico, cómo valida sus conclusiones y si sus resultados pueden convertirse de forma segura en remediación. Como ocurre con otras herramientas de pentesting agéntico, las capacidades reales de prueba importan más que la etiqueta.
Este documento ofrece un marco práctico para evaluar si una plataforma de pentesting agéntico proporciona la profundidad de pruebas, la validación, el control y la evidencia necesarios para un uso empresarial.