Pentesting agéntico: qué es, qué hace bien y dónde necesita a un humano

Por Kike Gandia · Co-Fundador y CEO, OSCP · Última actualización: noviembre de 2026

El pentesting agéntico usa agentes de IA que planifican, lanzan herramientas, leen el resultado y deciden el siguiente paso sin que nadie escriba cada orden. Es más que un escáner y más que un chat que responde preguntas: el agente actúa. Eso le da velocidad y cobertura, y también abre preguntas que una empresa debe hacerse antes de dejar que un agente ataque sus sistemas. Esta guía explica qué es, qué niveles de autonomía existen, qué hacen bien los agentes, dónde fallan y qué exigir al proveedor.

Qué es un agente y en qué se diferencia de un escáner

Un agente de IA es un modelo de lenguaje conectado a herramientas y metido en un bucle: recibe un objetivo, decide qué herramienta usar, lee lo que devuelve y elige el siguiente paso. En un pentest, esas herramientas son las de siempre (enumeración de subdominios, fuzzers, clientes HTTP, explotación de vulnerabilidades conocidas), pero quien las encadena es el agente.

Un escáner sigue reglas fijas: comprueba firmas y devuelve una lista de avisos, sin explotarlos. Un asistente de chat sugiere, pero no actúa. El agente sí actúa: puede intentar una explotación, ver que falla, cambiar el payload y volver a intentarlo. Esa capacidad es lo que lo hace útil, y lo que obliga a ponerle límites.

Cuatro niveles de autonomía

Detrás de «pentesting con IA» se venden cosas muy distintas. La pregunta útil no es si hay IA, sino quién decide qué se lanza contra tus sistemas.

Nivel	Quién decide	Qué hace la máquina	Riesgo principal
Escáner automático	Reglas y firmas	Detecta fallos conocidos sin explotarlos	Ruido: muchos avisos sin validar
Asistente o copiloto	El pentester	Sugiere comandos y payloads; no ejecuta nada solo	Bajo, depende de quien lo use
Agente con humano en el bucle	El pentester aprueba cada acción intrusiva	Reconocimiento, correlación, preparación de pruebas y re-test	Bajo si las reglas están por escrito
Agente autónomo	El agente, de principio a fin	Todo, incluida la explotación	Alcance, estabilidad y decisiones sin contexto de negocio

El nivel adecuado depende de lo que haya en juego. En una superficie enorme y poco sensible, más autonomía puede tener sentido. En producción, en entornos regulados o con datos de clientes, lo razonable es que las acciones que pueden romper algo las apruebe una persona.

Qué hacen bien los agentes

Los agentes son muy buenos en el trabajo sistemático y repetitivo, justo el que más horas consume en un pentest:

Reconocimiento a escala: mapear subdominios, rutas, parámetros y APIs sin saltarse rincones.
Explotar lo que ya está descrito: en un estudio de la Universidad de Illinois, un agente con GPT-4 explotó el 87 % de 15 vulnerabilidades reales cuando tenía su descripción (Fang y otros, 2024).
Repetir pruebas: si un hallazgo está bien documentado (punto afectado, petición y payload), el agente puede repetirlo idéntico para comprobar si se ha corregido.
Ordenar evidencias: agrupar señales y preparar borradores de informe.

El mercado lo está viendo: en 2025, XBOW, una plataforma de pentesting autónomo, llegó al primer puesto del ranking de Estados Unidos de HackerOne, según la propia empresa.

Dónde fallan

El mismo estudio de Illinois marca el límite: sin la descripción de la vulnerabilidad, el agente solo explotó el 7 %. Encontrar lo que no está escrito sigue siendo difícil para una máquina. En la práctica, los agentes fallan en:

Lógica de negocio: un cupón que deja el pedido a cero o un usuario que ve facturas de otra empresa no tienen firma. Hay que entender a qué se dedica la empresa.
Encadenar con criterio: dos fallos «medios» que juntos dan un impacto crítico.
Severidad en contexto: un fallo teóricamente alto puede ser irrelevante en tu entorno, y al revés.
Alucinaciones: vulnerabilidades que no existen o que el código nunca alcanza. Un informe con falsos positivos hace que el equipo de desarrollo deje de leerlo.
Saber cuándo parar: qué prueba es segura en producción y cuál puede tumbar un servicio.

Los riesgos de dejar a un agente atacar tus sistemas

Muchas empresas recelan de exponer sus sistemas a agentes, y tienen motivos. Un agente sin límites puede:

Salirse del alcance y probar un host que no estaba autorizado.
Saturar un servicio con demasiadas peticiones.
Lanzar un payload destructivo o escribir datos reales.
Ser manipulado por lo que lee: el agente procesa el contenido de la aplicación que ataca, y ese contenido puede llevar instrucciones escondidas. Es una forma de inyección de prompts, y el objetivo de un pentest es, por definición, un entorno que no controla quien prueba.
Filtrar información: si el agente usa un modelo de terceros, tus evidencias, tu código o tus credenciales de prueba pasan por él.

OWASP publicó en diciembre de 2025 su Top 10 for Agentic Applications, con riesgos como el secuestro del objetivo del agente o el mal uso de herramientas. Su idea central sirve también aquí: cada capacidad que el agente no necesita es superficie de ataque.

Qué exigir al proveedor antes de firmar

Reglas de compromiso por escrito: lista cerrada de hosts, ventanas horarias y límite de peticiones por segundo.
Aprobación humana de cada acción intrusiva: explotar, escribir datos o escalar privilegios.
Controles que no dependan del propio modelo: el alcance y los límites deben aplicarse por código, no confiando en que el agente obedezca una instrucción.
Qué modelos se usan y dónde se procesan tus datos, también por escrito.
Trazabilidad: registro de lo que hizo el agente y de quién aprobó cada paso.
Validación manual: ningún hallazgo en el informe sin reproducirse a mano.
Un informe firmado por una persona, con un anexo de qué partes asistió la IA. Es lo que podrás defender ante un auditor de DORA, NIS2, ENS o ISO 27001.
Cómo se hace el re-test y qué incluye.

El re-test, donde más rinde un agente

El re-test es la parte más mecánica de un pentest: comprobar, uno por uno, que lo corregido está corregido. Si cada hallazgo se documenta de forma estructurada, con su descripción, el punto afectado y la petición y el payload exactos, un agente puede repetir cada prueba tal como se hizo. El pentester revisa el resultado antes de cerrarla.

El resultado es un re-test más rápido y un antes y un después documentado, útil cuando hay que enseñárselo a un cliente o a la entidad que te certifica.

Cómo lo hacemos en QuantumSec

Trabajamos con agentes de IA y un humano siempre en medio. Los agentes hacen el reconocimiento, la correlación, la preparación de pruebas y el re-test. Un pentester aprueba cada acción intrusiva, reproduce a mano cada hallazgo y dedica el tiempo que le liberan los agentes a la lógica de negocio. No lo planteamos como una versión barata del pentest: el precio es el de un pentest completo, y la IA sirve para cubrir más superficie con el mismo presupuesto.

El detalle del servicio, con su metodología y sus controles, está en la página de pentesting asistido por IA.

FAQ

¿Es lo mismo pentesting agéntico que pentesting con IA?

El pentesting con IA es el término amplio: cualquier uso de IA en un pentest, desde un asistente que sugiere comandos hasta un agente autónomo. El pentesting agéntico es el que usa agentes que actúan y encadenan tareas. Dentro de él, la diferencia importante es si hay un humano aprobando las acciones intrusivas o si el agente decide solo.

¿Puede un agente de IA sustituir a un pentester?

Hoy no. Los agentes cubren muy bien lo sistemático y lo que ya está descrito, pero fallan en la lógica de negocio, en encadenar fallos con criterio y en ajustar la severidad al contexto. Donde más valor dan es liberando horas del pentester para eso.

¿Sirve un pentest agéntico para DORA, NIS2, ENS o ISO 27001?

Sí, si se puede defender ante un auditor: alcance y metodología documentados, cualificación de quien prueba y trazabilidad de qué se hizo y quién lo decidió. Un pentest totalmente autónomo, sin decisión humana trazable, es difícil de defender. Las pruebas TLPT de DORA tienen requisitos propios y se plantean aparte.

¿Qué herramientas de pentesting agéntico existen?

Hay plataformas comerciales de pentesting autónomo y frameworks de código abierto que conectan un modelo de lenguaje a herramientas de seguridad. Antes que la herramienta, conviene mirar los controles: alcance aplicado por código, aprobación humana, dónde se procesan los datos y validación manual de los hallazgos.

¿Es más barato un pentest agéntico?

Depende de cómo se use la IA. Algunas ofertas bajan el precio dejando trabajar solo a los agentes, y encuentran sobre todo fallos conocidos. Nosotros cobramos el pentest completo y usamos los agentes para cubrir más superficie y dejar más horas del pentester a lo que solo una persona encuentra.