Un pentest agéntico es un test de intrusión ejecutado por agentes de IA que persiguen un objetivo definido — no solo ejecutan pasos programados. El agente mantiene el contexto, formula hipótesis, encadena fallas y busca evidencia hasta el activo crítico, siempre dentro de un alcance aprobado y bajo la dirección de un especialista humano.
El término "autónomo" genera confusión porque describe tanto un escáner que corre solo como un agente que decide qué hacer a continuación. Son cosas distintas. Un escáner ejecuta una batería fija de verificaciones y devuelve una lista. Un agente recibe una misión — el activo que no puede comprometerse — e investiga las rutas que llevan a él, ajustando el camino a medida que observa el objetivo. Este texto explica qué cambia en la práctica, qué fases recorre un agente, cómo Berghem opera el modelo y dónde todavía depende del juicio humano.
¿Qué es un pentest agéntico?
Un pentest agéntico es la aplicación de agentes de IA — no un único prompt, sino un sistema que observa, decide y actúa en ciclo — a un test de intrusión. La diferencia central frente a la automatización tradicional es la agencia: el agente mantiene un objetivo, selecciona herramientas, interpreta el resultado de cada acción y reformula la hipótesis siguiente, en lugar de correr una secuencia preprogramada de verificaciones.
En la práctica, esto significa que el agente preserva el estado. Mantiene la misma identidad y sesión al atravesar una aplicación web, una llamada de API y el regreso a la capa web; compara respuestas entre perfiles de usuario; recuerda lo que ya probó; y correlaciona señales que, aisladas, no significarían nada. Esa memoria de trabajo a lo largo de la investigación es lo que acerca el comportamiento al de un profesional y lo que distingue a un agente de un "web agent" genérico que solo hace clic en una página.
Conviene separar dos conceptos que suelen confundirse. Hacer pentest con agentes de IA — el tema de este texto — es usar agentes como herramienta ofensiva contra sistemas convencionales. Hacer pentest de sistemas de IA es lo opuesto: probar la seguridad de los propios agentes, modelos y pipelines de una organización, tema que tratamos en seguridad en agentes de IA. Ambos se apoyan en las mismas técnicas, pero resuelven problemas distintos.
Pentest agéntico, escáner o pentest manual: ¿cuál es la diferencia?
La diferencia está en quién decide el próximo paso. Un escáner sigue un guion fijo y no encadena hallazgos; un pentest manual encadena, pero está limitado por el tiempo de una persona; un pentest agéntico encadena con el alcance de una máquina, manteniendo al especialista como quien define la misión y valida el resultado. La tabla resume los ejes que más importan en la decisión.
| Criterio | Escáner automatizado | Pentest manual | Pentest agéntico |
|---|---|---|---|
| Decide el próximo paso | Guion fijo | Especialista | Agente, dentro de los límites de la misión |
| Encadena vulnerabilidades | No | Sí | Sí |
| Mantiene identidad y estado entre superficies | Rara vez | Sí | Sí |
| Alcance / cobertura | Amplio, superficial | Profundo, limitado por el tiempo | Amplio y profundo |
| Contexto de negocio | Ninguno | Alto | Definido por el especialista, ejecutado por el agente |
| Evidencia reproducible | Parcial | Sí | Sí, con replay y logs |
| Costo por hora de prueba | Bajo | Alto | Intermedio |
Ninguno de los tres enfoques reemplaza a los otros en todos los escenarios. Un escáner sigue siendo útil para higiene continua y cobertura de bajo costo. El pentest manual es insustituible para lógica de negocio ambigua y para el juicio final. El pentest agéntico ocupa el espacio entre ambos: le da al especialista el alcance para investigar muchas más rutas de las que exploraría a mano, sin renunciar al encadenamiento que un escáner nunca produce.
¿Qué fases recorre un agente en una investigación?
Un agente no improvisa desde cero: opera dentro de un ciclo que va de la definición de la misión a la entrega de evidencia. Las fases se repiten y se retroalimentan — una hipótesis confirmada genera nuevas hipótesis, una ruta bloqueada lleva a otra. Describimos el ciclo en siete etapas:
- Misión y límites. El especialista define el objetivo, el crown jewel (el activo crítico), las superficies en alcance, las acciones permitidas y el criterio de parada. Nada empieza sin ese encuadre.
- Reconocimiento. El agente enumera la superficie: endpoints, flujos de autenticación, reglas de negocio expuestas, integraciones y lo que la sesión realmente alcanza.
- Hipótesis. A partir de lo observado, el agente formula y prioriza hipótesis de ataque — qué falla, si existe, acerca al objetivo.
- Acción. El agente ejecuta la prueba: manipula un parámetro, intenta un bypass de autorización, encadena una condición. Las acciones sensibles pasan por aprobación.
- Verificación. El resultado se confirma. Un falso positivo se descarta; un hallazgo real se reejecuta para garantizar la reproducibilidad.
- Correlación. El agente cruza superficies — web, API, regreso a la web — manteniendo la misma identidad y estado para demostrar no solo que la falla existe, sino que llega al core business.
- Decisión. El agente cambia de ruta, profundiza o se detiene según el criterio definido, y registra evidencia, logs y replay de cada paso.
Es la fase 6 la que separa el pentest agéntico de una lista de vulnerabilidades aisladas. Probar que un endpoint de API expone una autorización rota es un hallazgo; demostrar que esa falla, encadenada a una sesión web legítima, lleva a la manipulación de un flujo financiero es una ruta de ataque con impacto de negocio — y eso es lo que orienta el orden de corrección.
¿Qué tipos de prueba cubre un agente?
Un único agente cubre múltiples superficies porque mantiene el contexto al cruzar de una a otra, en lugar de tratar cada una como una prueba separada. Los frentes que más se benefician de este modelo:
- Aplicaciones web y APIs — el par donde la correlación de identidad y estado entre superficies rinde más, del login a la regla de negocio.
- Pentest de cloud — enumeración de permisos, configuraciones y rutas de escalamiento en entornos elásticos.
- Pentest de red — movimiento entre hosts y servicios internos desde un punto de apoyo.
- Pentest mobile — en alcances limitados, evaluando la app y sus integraciones de backend.
- Ejercicios de Red Team — el agente amplía el alcance de reconocimiento y encadenamiento, mientras el equipo humano conduce la estrategia y el objetivo.
En todos los casos, el valor no está en reemplazar la herramienta específica de cada superficie, sino en mantener una única misión viva a través de ellas — algo que un conjunto de escáneres independientes no hace.
¿Cómo ejecuta Berghem el pentest agéntico?
Berghem opera este modelo a través de Berghem Agents, un producto de EHT agéntico con arquitectura multimodelo. En lugar de depender de un único modelo, el sistema elige la ruta de inteligencia según la tarea, la sensibilidad de los datos y las restricciones del cliente — usando modelos especializados, privados, de terceros autorizados o modelos dentro del propio tenant del cliente cuando el dato no puede salir del entorno.
La operación se organiza en cuatro capas. La capa de misión y límites fija objetivo, core business, superficies, acciones permitidas y criterio de parada. La capa de inteligencia decide qué modelo procesa qué. La capa de ejecución acciona el browser, las APIs y herramientas especializadas. La capa de control y evidencia gestiona identidades, aprobaciones, logs, circuit breaker, replay y reporte. La autonomía es proporcional al riesgo: el alcance y el acceso se definen antes de la ejecución, las acciones sensibles exigen aprobación y las operaciones irreversibles pueden bloquearse.
Lo que Berghem no cede es la dirección humana. El especialista sigue en el centro: define la misión y el crown jewel, interpreta ambigüedades, autoriza acciones sensibles y responde técnicamente por el resultado. El agente amplía el alcance; el especialista preserva el juicio. Dos décadas de pentest para instituciones financieras de América Latina sustentan la metodología — la experiencia que informa qué rutas vale la pena investigar y qué hallazgos importan al negocio.
¿Dónde entra el humano en el loop?
El humano entra en tres momentos que la automatización no cubre: al inicio, definiendo la misión y lo que está fuera de los límites; durante, aprobando acciones sensibles e interpretando ambigüedades que exigen contexto de negocio; y al final, validando la evidencia, clasificando la severidad por impacto y firmando el resultado. Este modelo es el human-in-the-loop, y no es una formalidad.
La razón es técnica, no solo de gobernanza. Un agente es excelente en alcance y encadenamiento, pero no carga el contexto de negocio que decide si un hallazgo es crítico o irrelevante — si un flujo expuesto es una falla grave o un comportamiento esperado del producto. Tampoco debe ser quien decide ejecutar una acción irreversible en un entorno de producción. Por eso la arquitectura prevé checkpoints, límite de costo y un circuit breaker que interrumpe la operación cuando un parámetro se sale de lo previsto. El agente propone; el especialista dispone.
Ese equilibrio conecta directamente con la gobernanza de IA. Correr agentes ofensivos con alcance, aprobación y traza de auditoría es exactamente el tipo de control que normas como la ISO 42001 esperan de quien opera IA con responsabilidad — y es como una empresa de seguridad de la información en São Paulo demuestra que la autonomía de la máquina permanece bajo control humano verificable.
¿Cuáles son los límites del pentest agéntico?
El principal límite es el juicio: un agente no reemplaza al especialista en la interpretación de lógica de negocio ambigua, en la priorización final por impacto ni en la responsabilidad técnica por el resultado. Amplía el alcance de la investigación, pero el significado de lo que encuentra sigue siendo decidido por una persona. Reconocerlo es lo que separa un uso maduro de agentes de una promesa de "pentest 100% automático".
Hay otros límites concretos que orientan la expectativa:
- Contexto de negocio. El agente no conoce el valor de un dato o de un flujo si la misión no lo define. Un crown jewel mal descrito produce una investigación mal dirigida.
- Entornos sensibles. Las acciones irreversibles, los sistemas de producción críticos y los datos regulados exigen aprobación humana y, muchas veces, ejecución restringida al tenant del cliente.
- Falsos positivos. Como cualquier sistema automatizado, un agente genera ruido; la fase de verificación y la validación humana existen justamente para filtrarlo antes del reporte.
- La cobertura no es garantía. Alcanzar más rutas que una prueba manual no significa alcanzarlas todas. El agente reduce el punto ciego, no lo elimina.
Tratados como herramienta bajo dirección especializada, y no como sustituto del especialista, los agentes elevan el techo de lo que un test de intrusión cubre en el mismo tiempo. Esa es la propuesta: más alcance, la misma responsabilidad humana.
Preguntas frecuentes
¿El pentest agéntico reemplaza al pentester humano?
No. El agente amplía el alcance de la investigación — cubre más rutas y encadena más condiciones en el mismo tiempo —, pero el especialista sigue definiendo la misión, aprobando acciones sensibles, interpretando lógica de negocio y firmando el resultado. El modelo es human-in-the-loop: la máquina propone, la persona decide.
¿Cuál es la diferencia entre un escáner autónomo y un agente?
Un escáner ejecuta una batería fija de verificaciones y devuelve una lista, sin encadenar hallazgos. Un agente mantiene un objetivo, interpreta el resultado de cada acción y reformula la hipótesis siguiente, preservando identidad y estado entre superficies. La diferencia es la agencia: decidir el próximo paso, no solo ejecutarlo.
¿Es seguro correr un pentest agéntico en producción?
Sí, cuando opera bajo alcance aprobado y con controles adecuados. La autonomía es proporcional al riesgo: las acciones sensibles exigen aprobación, las operaciones irreversibles pueden bloquearse y un circuit breaker interrumpe la ejecución fuera de lo previsto. Cada paso queda registrado con logs, evidencia y replay para auditoría.
El pentest agéntico es el modelo detrás de Berghem Agents y de nuestros ejercicios de Red Team. Para conversar sobre su aplicación en tu entorno, habla con el equipo.