Ciberseguridad con agentes de IA_

Pues llevo un año largo construyendo con agentes de IA al lado, y ahora que ha pasado el suficiente tiempo puedo mirar atrás y decir qué cambió de verdad y qué me sigue costando lo mismo. No vengo a decir que la IA lo cambia todo, que eso ya lo dice cualquiera, vengo a contar lo que medí en mis propios proyectos, que es lo único de lo que puedo hablar sin inventarme nada.

De dónde salió Talos#

Talos es una herramienta de auditoría de bastionado (el proceso de dejar un servidor con la menor superficie de ataque posible) que audita Linux y Windows y termina un servidor entero en menos de diez segundos. Lleva 147 comprobaciones escritas como fichas de datos, cada una con su severidad, su peso y los controles del Esquema Nacional de Seguridad que cubre, y solo lee, nunca toca nada del servidor que analiza. Salió de una plataforma mayor y la publiqué aparte porque se sostenía sola.

Lo que hizo el agente ahí fue el volumen. Las 147 comprobaciones son 147 fichas casi iguales entre sí, con el mismo esqueleto y datos distintos, y escribir eso a mano es lo más aburrido que hay. El criterio de qué comprueba cada una, qué peso lleva y contra qué control del ENS la trazo, eso lo puse yo, porque es lo que hace que la herramienta sirva para algo. El agente rellena el molde, yo decido cuál es el molde.

El fin de semana de Metabase#

Metabase publicó en agosto de 2026 un aviso de puntuación máxima, el GHSA-vwf4-m7j8-wcjf, y el aviso no explicaba el mecanismo, solo daba dos frases y una firma para buscar en registros. Me pareció el plan perfecto para un fin de semana, así que monté tres contenedores en Docker, dos versiones vulnerables y una parcheada, para comparar peticiones idénticas y ver cuál ejecutaba algo que la otra no.

Empecé por la versión equivocada por leer mal el rango afectado, y perdí la tarde entera del sábado antes de darme cuenta. Cuando bajé al tag correcto, el fallo apareció comparando las dos instancias: la vulnerable ejecutaba una consulta con un valor que yo no había puesto por ningún sitio. Con quince euros en OpenRouter orquesté seis modelos a la vez, unos decompilando cuatro versiones porque Metabase retiró el código fuente de las recientes, otros lanzando consultas, y yo mirando registros y descartando hipótesis. Fueron más de quince horas.

Esto lo hizo alguien con conocimientos base, desde su casa, en dos días. Una búsqueda en Shodan me dio más de cinco mil instancias de Metabase expuestas. Si yo he podido, la pregunta incómoda es qué hay ahí fuera y quién más está mirando.

Copy Fail#

Copy Fail es el CVE-2026-31431, una escalada local en el módulo criptográfico del kernel de Linux, divulgada el 29 de abril de 2026 y ya parcheada. Me pareció tan al nivel de Dirty COW que el mismo día tenía que replicarlo, así que pasé la jornada estudiándolo, probándolo y escribiendo variantes en varios lenguajes, incluida una en C sin dependencias que compila con gcc en cualquier distribución.

Lo cuento por lo que no fue. No lo descubrí yo, ni encontré nada nuevo, lo que hice fue entender un fallo que había demostrado otro equipo y portarlo para trastear con él y meterlo en Talos como comprobación. Con un agente al lado, pasar de leer el aviso a tener las variantes funcionando fue cuestión de horas y no de días, y esa es la parte que de verdad cambió: la distancia entre leer sobre algo y tenerlo funcionando delante se ha acortado muchísimo.

El límite del agente#

En Argos, que es la plataforma de la que salió Talos, hay 172 guardianes cuyo único trabajo es ponerse rojos cuando alguien se salta una convención. En una ronda en la que me puse a romper cosas a propósito me encontré con cuatro que estaban en verde sin medir absolutamente nada, guardianes que un agente había escrito, que parecían correctos y que no comprobaban lo que decían comprobar. Desde entonces cada guardián se rompe a propósito antes de darlo por bueno.

Ese es el patrón que me repito. El SecOps que hace un año me llevó semanas, con Jenkins, SonarQube y Trivy en contenedores, esta vez fue una tarde de sábado con Claude y Antigravity al lado, y el CI que salió aquella primera vez era arcaico pero bueno, funcionaba. La velocidad es real, y estas son las tres veces que la he medido contra mi propia versión anterior, que es el único término de comparación que me sirve.

Lo mismo, hecho dos veces	Antes	Ahora
Montar el flujo de SecOps entero	dos semanas de conceptos y dos días de pipelines	una tarde de sábado
Reconocimiento de un laboratorio de destino con un modelo local	35 minutos	6 minutos
Lo que tardaba el modelo local en empezar a escribir	10 minutos por mensaje	de 10 a 20 segundos

Lo que no cambia es que hay que verificar lo que sale, porque un agente te entrega con la misma cara un guardián que mide y uno que no, y el que no mide es peor que no tener guardián, porque te da una garantía falsa.

La sensación de fondo#

Hay una sensación que no me quito. En el análisis de vulnerabilidades, en el GRC, en el pentesting, cada vez más me pasa que entiendo lo que se está haciendo, sabría hacerlo yo mismo o gran parte, y aun así hay alguien o algo que lo hace antes y mejor que yo. Disfruto la velocidad, de verdad que sí, y a la vez no termino de quitarme la idea de que el trabajo, en el fondo, no es del todo mío.

No soy senior pero tampoco soy tan nuevo en esto, y sigo pensando que la única defensa que tengo ahí es el criterio: saber qué le pido, saber leer si lo que me devuelve está bien, y romperlo cuando dice que funciona. El agente hace, yo decido y compruebo, y mientras esa parte siga siendo mía me quedo tranquilo. A alguno más de por aquí le pasa lo mismo, o soy el único que le da vueltas a esto?