Pruebas sobre sistemas propios o con autorización
Empezamos documentando los dominios, aplicaciones, APIs, cuentas y entornos que nos autorizas a evaluar. Acordamos horarios, límites de peticiones, técnicas permitidas, sistemas excluidos, un contacto de emergencia y condiciones para detener las pruebas. Ser propietario de una aplicación no autoriza automáticamente a evaluar su proveedor de alojamiento ni otros servicios de terceros. Las pruebas en producción necesitan aprobación y límites operativos específicos; preferimos comenzar en un entorno de QA representativo.
Qué puede incluir la evaluación
- Inicio de sesión, recuperación de contraseñas, sesiones, permisos y separación entre usuarios, equipos o cuentas de clientes.
- Tratamiento de entradas en webs y APIs, subida de archivos, configuración expuesta y divulgación involuntaria de datos sensibles.
- Lógica de negocio y procesos de administración, con cuentas de prueba y datos representativos acordados.
- En productos con IA: inyección de instrucciones, permisos de búsqueda documental, filtraciones de datos y acciones de herramientas que excedan la autoridad del usuario.
- Revisión de código y dependencias cuando el acceso esté incluido, recomendaciones de corrección y una nueva comprobación del alcance acordado.
Un modelo privado como apoyo a los ingenieros
Podemos desplegar un modelo en ordenadores físicos dedicados o en tu infraestructura aprobada para ayudar a revisar código, agrupar hallazgos y analizar las evidencias. Elegimos el modelo según el hardware, la carga de trabajo y su evaluación con muestras representativas. Los ingenieros aprueban las acciones de prueba y validan los resultados: la respuesta del modelo por sí sola no demuestra una vulnerabilidad. Documentamos dónde se almacenan código, instrucciones, credenciales, evidencias, registros y copias de seguridad, y acordamos su acceso y eliminación. En un proyecto totalmente local se desactivan las llamadas a modelos externos, la telemetría y la sincronización en la nube; cualquier excepción requiere aprobación previa.
- Alcance por escrito
- Pruebas controladas
- Validación humana
- Informe y correcciones
- Nueva comprobación
Las pruebas respetan los activos autorizados y los límites operativos. Cada hallazgo incluye evidencias y una propuesta práctica de corrección.
Un ejemplo práctico
Para una empresa con un portal de clientes, podríamos evaluar si un usuario de prueba puede acceder a los registros de otra organización de prueba, si la recuperación de cuentas respeta los controles previstos y si un asistente de IA recupera únicamente documentos autorizados. Utilizamos datos de prueba aprobados, recogemos solo la evidencia necesaria y entregamos hallazgos reproducibles sin exponer información real de clientes.
Qué entregamos
- Alcance y plan de pruebas acordados con activos, entornos, restricciones y responsables identificados.
- Informe con hallazgos validados, gravedad e impacto para el negocio, evidencias, condiciones de reproducción y correcciones recomendadas.
- Revisión técnica con tus desarrolladores y una lista de tareas de corrección ordenadas por riesgo.
- Nueva comprobación de los hallazgos acordados, indicando lo resuelto, lo pendiente y lo que quedó fuera de la evaluación.
- Configuración documentada de la IA privada, límites del entorno de datos y traspaso técnico cuando se incluya el despliegue de un modelo dedicado.
Solo white hat. No evaluamos activos sin permiso por escrito, interrumpimos servicios ni accedemos a datos más allá de la demostración acordada. Las pruebas reducen el riesgo dentro de un alcance y un periodo definidos; no certifican que un sistema carezca de vulnerabilidades.
Integraciones sin catálogo cerrado
Slack, Telegram, WhatsApp, correo, Jira, CRM, ERP y tu propio software: creamos integraciones a medida sin una lista cerrada ni un número predefinido de conexiones. El alcance depende de las APIs disponibles, los permisos y las condiciones de cada proveedor.
Envía los hallazgos y tareas de corrección aprobados a Jira, Slack, Telegram, WhatsApp o correo. Las credenciales, las pruebas sensibles y el procesamiento del modelo permanecen dentro del entorno privado acordado; cada conexión externa necesita tu aprobación.
Cuéntanos qué necesitas para una evaluación de seguridad autorizada, consulta Computación privada de IA o combina el trabajo con una auditoría técnica de código. Los proyectos a medida de AI Factory parten de 10.000 € y el alquiler de capacidad privada con alcance definido parte de 1.000 €/mes. Son precios de partida, no un servicio ilimitado de pruebas: el presupuesto concreta alcance, configuración del modelo, hardware, nueva comprobación y posibles correcciones de código. Los costes externos y los impuestos aplicables se añaden aparte.
FAQ
¿Podéis evaluar una web propietaria?
Sí, si te pertenece o tienes autorización expresa y por escrito de su propietario. Antes de empezar acordamos los activos, cuentas, técnicas y fechas concretas. Las plataformas e infraestructuras de terceros también necesitan los permisos correspondientes.
¿Se envía nuestro código a un servicio público de IA?
En un proyecto totalmente local, el procesamiento del modelo, las evidencias y los registros permanecen dentro del entorno privado acordado, con las llamadas a modelos externos, la telemetría y la sincronización en la nube desactivadas. Cualquier conector o servicio externo se documenta y aprueba por separado.
¿Hacéis pruebas en producción?
Preferimos empezar en un entorno de QA representativo. Las pruebas en producción requieren aprobación expresa, límites de tráfico acordados, condiciones de parada y un contacto operativo. Las pruebas destructivas o de disponibilidad solo se plantean con un alcance y una autorización específicos.
¿Están incluidas las correcciones?
La propuesta concreta el informe, la revisión con desarrolladores y el alcance de la nueva comprobación. Los cambios de código, el despliegue y otras correcciones pueden incluirse o presupuestarse aparte. Un ingeniero valida cada alerta generada por IA antes de presentarla como hallazgo.
¿Garantiza que no nos puedan hackear?
No. Un pentest evalúa activos y técnicas acordados durante un periodo definido. El informe documenta la cobertura y sus límites; siguen siendo necesarios el mantenimiento, la revisión de accesos, la monitorización y las pruebas posteriores.