Según un informe de Cobalt, el pentesting totalmente automatizado ha decepcionado a los expertos debido a su incapacidad para detectar fallos críticos y lógicos, especialmente en entornos de IA. Esto ha provocado que las empresas reduzcan su confianza en los bots y prefieran un enfoque híbrido. Se concluye que, aunque la IA ayuda en la eficiencia, el criterio humano sigue siendo indispensable para garantizar la seguridad real.

Quizás los bots no sean la respuesta para todo cuando se trata de encontrar fallos.
El pentesting totalmente automatizado ha sido una decepción para muchos equipos de seguridad, según la firma de seguridad ofensiva Cobalt, ya que el apoyo a este enfoque ha caído drásticamente durante el último año.

El reciente informe State of Pentesting 2026 de Cobalt [https://www.cobalt.io/blog/the-ai-pentesting-pulse-decoding-the-2.7x-risk-multiplier-in-llm-deployments] reveló, entre otras cosas, que los profesionales de la seguridad están abandonando rápidamente las herramientas de pentesting autónomas, en gran parte porque están fallando sencillamente en la detección de vulnerabilidades críticas. Cobalt informó que el 78 por ciento de los encuestados para su informe de 2026 experimentaron "falsos negativos críticos" con las herramientas de escaneo automatizado, siendo estas muy deficientes al detectar el tipo de vulnerabilidades que la propia IA provoca en los entornos donde predomina.

“Los escáneres automatizados son brillantes para encontrar vulnerabilidades conocidas y basadas en firmas. Pero fracasan miserablemente en la seguridad de la IA”, afirmó la empresa en un comunicado que resume los hallazgos del informe.

“Los exploits de inyección de prompts y los fallos de agencia excesiva requieren cadenas de interacción creativas de varios turnos [y] psicología adversarial”, continuó Cobalt. “Estos fallos de lógica son totalmente invisibles para las herramientas que prueban mediante consultas automatizadas de un solo disparo”.

Un año de decepción con las herramientas de escaneo automatizado ha provocado un descenso considerable en el número de organizaciones que consideran un enfoque de escaneo de seguridad puramente automatizado, con solo un 9 por ciento de los encuestados diciendo que estaban abiertos a la idea, frente al 29 por ciento del año pasado.

Cabe señalar que el número de encuestados en la encuesta de Cobalt fue pequeño —solo 450 personas—, pero incluso con tan pocos puntos de datos, las cifras siguen siendo malas noticias para los proveedores de pentesting automatizado, pero buenas noticias para los profesionales de la infosec, afirma Cobalt.

“La caída de la dependencia del pentesting totalmente automatizado es, en realidad, una señal saludable”, dijo la empresa en el resumen de su informe. “Demuestra que los profesionales están viendo a través del despliegue publicitario de los proveedores y exigen una garantía real en lugar de una simple cobertura”.

Es posible que dichos profesionales también estén simplemente abrumados por la cantidad de vulnerabilidades que las herramientas de IA no relacionadas con la seguridad están introduciendo en sus espacios: Según Cobalt, alrededor del 12 por ciento de las vulnerabilidades detectadas en entornos tradicionales se clasifican como de gravedad alta o crítica. En los entornos de IA y LLM, esa cifra asciende al 32 por ciento, y tampoco es un dato nuevo.

Esa cifra del 32 por ciento se ha mantenido durante los dos últimos años, señaló Cobalt sobre sus datos de pentesting, lo que sugiere que la IA está introduciendo muchas más vulnerabilidades. Combinar esas mayores probabilidades de gravedad con bots de pentesting automatizados que pasan por alto el tipo de vulnerabilidades que la IA suele introducir es una receta para el desastre.

Cobalt afirma que la solución es la seguridad híbrida, en la que la mayoría de los sistemas pueden ser escaneados automáticamente por la IA, mientras que los sistemas más críticos quedan en manos de humanos para su protección y gestión. La empresa vende una solución así, naturalmente, pero cabe señalar que sus conclusiones sobre el aumento de las vulnerabilidades introducidas por la IA no son precisamente una afirmación única.

La empresa de seguridad de aplicaciones Veracode informó a principios de este año que el desarrollo de software asistido por IA está creando más vulnerabilidades de las que los equipos de seguridad pueden gestionar, dejando más vulnerabilidades sin resolver durante períodos más largos. Según Veracode, aproximadamente el 82 por ciento de las empresas dejan vulnerabilidades conocidas sin resolver durante más de un año, mientras que la proporción de vulnerabilidades de alto riesgo sobre el total de descubiertas también está aumentando.

Dicho esto, no todo el mundo es tan escéptico con el pentesting automatizado como Cobalt y los encuestados de su estudio. Según el jefe de seguridad de Amazon, CJ Moses, las herramientas de pentesting de IA han hecho que los equipos de seguridad de Amazon sean un 40 por ciento más eficientes, aunque la medida de Moses para esa cifra no está clara.

Sin embargo, Moses tampoco estaba dispuesto a delegar todo el proyecto de seguridad a la IA. Nos comentó en la Conferencia RSA de abril que el pentesting de IA todavía necesita a un humano en el proceso para asegurar que no se estropee nada.

"La IA es muy buena haciendo cosas, especialmente cuando tienes grandes cantidades de datos y necesitas esa visión global", dijo Moses en una entrevista de abril. "Pero en cuanto a la capacidad de toma de decisiones, no es algo en lo que estemos preparados para confiar".

Fuente:
TheRegister