Las pruebas de penetración suelen realizarse en momentos concretos: antes de una auditoría, después de un cambio importante o como parte de una revisión anual. Aikido Security propone convertirlas en un proceso continuo y ejecutado dentro de la propia infraestructura de la empresa. Su nuevo equipo, Aikido Machine, utiliza agentes de inteligencia artificial para buscar vulnerabilidades sin enviar el código, los modelos ni los resultados a un servicio externo.
El primer despliegue anunciado se encuentra en Belfius, el banco y asegurador belga participado por el Estado. Más de 300 agentes analizan sus sistemas desde el centro de datos de la entidad. El proyecto combina automatización, pruebas ofensivas y aislamiento operativo para responder a una demanda creciente: aprovechar la velocidad de la inteligencia artificial manteniendo el control sobre la información más sensible.
Un servidor de pentesting dentro de la red corporativa
Aikido Machine se instala como un servidor dedicado en la infraestructura del cliente. Desde allí ejecuta pruebas contra aplicaciones y servicios autorizados, conserva localmente los datos obtenidos y evita que el código fuente o las evidencias de seguridad salgan del entorno corporativo.
Este diseño está dirigido principalmente a organizaciones que no pueden utilizar plataformas de pentesting alojadas en la nube. Entidades financieras, Administraciones públicas, operadores de infraestructuras críticas y empresas sometidas a requisitos estrictos de residencia del dato suelen necesitar controles específicos antes de permitir que una herramienta externa examine sus sistemas.
La solución se apoya en agentes especializados capaces de explorar una aplicación, formular hipótesis de ataque, comprobarlas y documentar los resultados. La ejecución paralela permite ampliar la cobertura sin reproducir exactamente el esfuerzo de un equipo humano. Aikido presenta este enfoque como una forma de mantener una vigilancia ofensiva constante, complementaria a los análisis de código, la monitorización y las auditorías tradicionales.
Belfius prueba el modelo con más de 300 agentes
Belfius gestiona activos valorados en 192.800 millones de euros y opera bajo las exigencias regulatorias propias del sector financiero europeo. Según Aikido, la entidad ha desplegado más de 300 agentes que trabajan permanentemente desde su infraestructura interna.
La participación del banco tiene una segunda función: someter el producto a condiciones operativas complejas y ayudar a adaptarlo a los requisitos de seguridad y cumplimiento de una gran entidad financiera. La experiencia puede resultar especialmente valiosa para revisar la trazabilidad de las pruebas, la gestión de permisos, la conservación de evidencias y la integración con los procesos internos de resolución de vulnerabilidades.
El número de agentes es llamativo, aunque no equivale automáticamente a 300 especialistas humanos. El valor real dependerá de la calidad de las pruebas, la tasa de falsos positivos, la capacidad para reproducir los hallazgos y la utilidad de las recomendaciones generadas. Estos indicadores serán determinantes para evaluar el rendimiento de cualquier sistema de pentesting automatizado.
Qué aporta frente a una auditoría puntual
Una auditoría ofrece una fotografía del sistema durante un periodo limitado. Las aplicaciones cambian constantemente mediante nuevas versiones, dependencias, configuraciones e integraciones. Una vulnerabilidad puede aparecer pocos días después de finalizar una revisión y permanecer abierta hasta el siguiente ciclo.
El pentesting continuo reduce ese intervalo. Los agentes pueden repetir comprobaciones después de cada despliegue, validar si una corrección funciona y detectar regresiones. También permiten priorizar los análisis sobre activos críticos o componentes que hayan recibido modificaciones recientes.
La ejecución local añade ventajas en materia de confidencialidad. Una prueba ofensiva puede recopilar rutas internas, configuraciones, fragmentos de código, credenciales de prueba y detalles de vulnerabilidades todavía sin corregir. Mantener esa información dentro de la red ayuda a limitar la exposición y simplifica la aplicación de políticas corporativas de acceso y conservación.
El modelo también plantea responsabilidades. Los agentes necesitan límites claros, credenciales controladas y entornos autorizados. Una prueba mal configurada puede afectar a la disponibilidad de un servicio o generar actividad difícil de distinguir de un ataque real. La implantación debe incluir reglas de alcance, ventanas de ejecución, supervisión, registros de auditoría y mecanismos inmediatos de parada.
Implicaciones para la ciberseguridad empresarial
Aikido Machine refleja una evolución más amplia del mercado: las herramientas defensivas están incorporando automatización ofensiva para comprobar vulnerabilidades en condiciones próximas a un ataque. El objetivo pasa de enumerar fallos potenciales a demostrar cuáles pueden explotarse y qué impacto tendrían.
Para los equipos de desarrollo, esta información puede mejorar la priorización. Un listado extenso de alertas consume tiempo y suele incluir problemas poco relevantes. Si una prueba controlada confirma una ruta de explotación, la organización dispone de una evidencia más sólida para asignar urgencia, responsables y recursos.
Las empresas interesadas deberían evaluar la cobertura técnica del producto, su integración con los flujos de desarrollo y la gobernanza de los agentes. También conviene exigir métricas comparables, revisión humana de los hallazgos críticos y procedimientos para evitar acciones destructivas. La automatización amplía la capacidad de análisis, mientras que la responsabilidad sobre el alcance y la corrección de los resultados continúa siendo de la organización.
El despliegue de Belfius servirá como referencia para comprobar si este planteamiento mantiene su eficacia en una infraestructura financiera de gran escala. Si logra combinar profundidad técnica, control local y resultados verificables, el pentesting con agentes puede convertirse en una práctica recurrente dentro de la seguridad empresarial.
