PentDEM es un framework de pentesting que automatiza el proceso de razonamiento del auditor mediante un motor de IA basado en el ciclo OODA, permitiendo una planificación adaptativa y el uso de agentes autónomos para ejecutar estrategias ofensivas en tiempo real.

PentDEM: La evolución hacia frameworks de pentesting con capacidad de razonamiento

A diferencia de la automatización tradicional, que se limita a ejecutar herramientas en secuencia, PentDEM propone un cambio de paradigma al intentar automatizar el proceso de razonamiento del auditor. Mediante la integración de inteligencia artificial, el sistema no solo lanza escaneos, sino que toma decisiones basadas en el contexto.

Su funcionamiento se basa en el ciclo OODA (Observar, Orientar, Decidir y Actuar), lo que permite que el reconocimiento sea un proceso constante y adaptable. El framework combina dos motores principales: un Pipeline Engine para tareas deterministas y un Autonomous Agent, que utiliza un motor de decisión por IA para priorizar acciones y generar hipótesis en tiempo real.

Entre sus características más destacadas se encuentran:

• Skills: Una capa de abstracción que separa la acción (como "analizar un JWT") de la herramienta específica utilizada, facilitando la extensibilidad del sistema.
• Capacidad de Correlación: No se limita a encontrar fallos aislados, sino que es capaz de construir Kill Chains para trazar rutas completas de compromiso.
• Memory Engine: Un sistema de memoria que almacena conocimientos operativos y semánticos, permitiendo que el agente "aprenda" de auditorías previas.
• Quality Gate: Un filtro de validación que reduce los falsos positivos antes de que estos afecten la cadena de razonamiento.
• OPSEC: El framework ajusta su intensidad y velocidad al detectar protecciones como WAF o CDNs para evitar ser detectado.

Uno de los aspectos más interesantes del proyecto es la coexistencia de dos motores de ejecución. Por un lado, un Pipeline Engine ofrece un flujo determinista y reproducible, ideal para auditorías repetibles y entornos CI/CD. Por otro, el Autonomous Agent abandona el pipeline clásico para tomar decisiones dinámicas mediante un AI Decision Engine, que prioriza acciones, selecciona herramientas y genera hipótesis a partir del contexto acumulado. Esta separación permite combinar estabilidad con razonamiento adaptativo, una decisión arquitectónica especialmente acertada.

PentDEM introduce además una abstracción denominada Skills, que desacopla completamente las capacidades ofensivas de las herramientas concretas. El agente no decide ejecutar una utilidad específica, sino realizar una acción como "analizar un JWT", "enumerar GraphQL" o "buscar secretos en JavaScript". Esto permite sustituir o ampliar herramientas sin modificar el motor de planificación, convirtiendo la plataforma en un sistema altamente extensible.

El framework integra más de una treintena de herramientas y cubre un amplio abanico de dominios ofensivos: reconocimiento web, fingerprinting, análisis de JavaScript, APIs REST y GraphQL, OAuth, JWT, SSRF, XXE, SSTI, SQL Injection, XSS, Mass Assignment, Race Conditions, Cloud Metadata o bypass de WAF, entre otros. Sin embargo, su verdadero valor no reside en el número de utilidades integradas, sino en la capacidad para correlacionar sus resultados y construir automáticamente Kill Chains que enlazan hallazgos aparentemente independientes hasta formar rutas completas de compromiso.

Otro componente especialmente relevante es el Memory Engine, encargado de conservar conocimiento entre ejecuciones. En lugar de limitarse a almacenar resultados, mantiene información episódica, semántica y operacional sobre tecnologías, relaciones entre activos, credenciales, patrones de infraestructura y ataques previos. Esta memoria convierte cada auditoría en una fuente de conocimiento reutilizable y aproxima el comportamiento del sistema al de un agente cognitivo con experiencia acumulada.

La incorporación de un Quality Gate constituye otra de las decisiones más acertadas del diseño. Antes de que un hallazgo influya en el razonamiento del agente, pasa por un proceso de validación, correlación y puntuación que reduce la propagación de falsos positivos. En un sistema donde cada decisión condiciona las siguientes, evitar que una hipótesis errónea contamine toda la cadena de razonamiento resulta fundamental.

PentDEM también demuestra una preocupación poco habitual por el Operational Security (OPSEC). El framework adapta su comportamiento cuando detecta WAF, mecanismos de rate limiting, CDN o protecciones cloud, modificando la velocidad, el orden y la intensidad de las pruebas para reducir su huella. Aunque todavía existe margen de mejora en este ámbito, supone un paso importante frente a otros agentes autónomos que priorizan la cobertura frente a la discreción.

Tras analizar su arquitectura y código fuente, la conclusión es clara: PentDEM no debe entenderse como un competidor de Nmap, Burp Suite, ffuf o nuclei. Se sitúa un nivel por encima de ellos, utilizándolos como simples actuadores dentro de un sistema de planificación inteligente. Su principal aportación no es incorporar nuevas técnicas de explotación, sino demostrar que el futuro del pentesting automatizado probablemente dependerá menos del número de herramientas disponibles y más de la calidad de los motores capaces de decidir cuándo utilizarlas, cómo correlacionar sus resultados y cómo adaptar continuamente la estrategia ofensiva.

PentDEM todavía se encuentra en una fase temprana de madurez, pero las decisiones arquitectónicas que incorpora —agentes autónomos, planificación adaptativa, memoria persistente, validación integrada y abstracción mediante Skills— anticipan con bastante claridad la dirección que está tomando la investigación en Autonomous Offensive Security. Más que un simple framework de pentesting, representa una de las aproximaciones open source más interesantes hacia una nueva generación de plataformas ofensivas capaces de observar, razonar, aprender y actuar de forma cada vez más autónoma.

En conclusión, PentDEM no busca sustituir a herramientas clásicas como Nmap o Burp Suite, sino actuar como un cerebro coordinador que las utiliza de forma inteligente. Representa un avance significativo hacia la Seguridad Ofensiva Autónoma, donde el valor reside en la capacidad de decisión y adaptación del sistema.

Proyecto: https://github.com/Gabson0x/pentdem