Marc Sureda
La empresa de pruebas de penetración Synack y la firma de investigación tecnológica Omdia han presentado el informe «The 2026 State of Agentic AI in Pentesting«, basado en una encuesta realizada a doscientos responsables de seguridad. El objetivo principal de este estudio ha sido analizar la adopción de la inteligencia artificial agéntica para superar las limitaciones de escalabilidad que presentan las evaluaciones manuales clásicas.
Los datos extraídos de la investigación revelan una discrepancia significativa entre las prioridades corporativas y la cobertura real. A pesar de que la práctica totalidad de las organizaciones considera las pruebas de penetración como una prioridad absoluta, la media de la superficie de ataque global que se evalúa actualmente se sitúa en un treinta y dos por ciento. Esto implica que más de dos tercios del entorno empresarial quedan sin analizar, lo que genera notables puntos ciegos en un contexto donde los atacantes utilizan cada vez más la inteligencia artificial. Esta situación evidencia una limitación estructural en los modelos tradicionales, incapaces de adaptarse a la velocidad de los entornos modernos basados en la nube.
La consolidación del modelo mixto de evaluación
Frente a este escenario, el informe constata un cambio de tendencia hacia una seguridad ofensiva impulsada por la inteligencia artificial agéntica, pero manteniendo la supervisión humana. Las cifras del estudio reflejan la urgencia de replantear las estrategias de evaluación continua, ya que en la actualidad un ochenta y siete por ciento de las entidades ya planea, prueba o utiliza activamente esta tecnología para sus auditorías de seguridad, dejando atrás la mera fase de evaluación preliminar. Además, una inmensa mayoría de las organizaciones prevé que este avance sustituirá a los servicios tradicionales, con casi la mitad de los encuestados esperando un reemplazo total o muy significativo.
La preferencia generalizada, respaldada por el sesenta y cuatro por ciento de las compañías, se decanta por un modelo dirigido por agentes artificiales pero supervisado por personas. Combinando así la capacidad de escala de las máquinas con el criterio de los profesionales. Aunque existe un alto nivel de confianza en estos sistemas autónomos, casi la totalidad de los directivos advierte que es fundamental contar con medidas de seguridad exhaustivas y procesos de toma de decisiones transparentes para garantizar un funcionamiento seguro a nivel corporativo.
Jay Kaplan, director ejecutivo y cofundador de Synack afirma: “Esta investigación demuestra que el sector está listo para ir más allá del modelo de pruebas de penetración dos veces al año. Fundamos Synack con la idea de que la seguridad requiere la velocidad de las máquinas para la amplitud y el juicio humano para la creatividad. Este informe confirma que el mercado se está poniendo al día con esa realidad. Las pruebas continuas, dirigidas por agentes y supervisadas por humanos, son la forma en que la empresa moderna se mantendrá a la vanguardia frente a las sofisticadas amenazas actuales”.
Alberto Román, Sales Director para Centro y Sur de Europa, añade: “La IA ofrece escala y cobertura, pero el riesgo del mundo real sigue requiriendo la creatividad humana. Al combinar la IA con agentes con nuestro equipo de élite Synack Red Team, hacemos posible unas pruebas continuas que reflejan cómo operan realmente los atacantes”.
Angela Heindl-Schober, directora de marketing de Synack subraya: “Los datos muestran una clara desconexión: los responsables de seguridad saben que las pruebas de penetración son fundamentales, pero la mayor parte de su entorno sigue sin someterse a pruebas. Esa brecha está redefiniendo la forma en que las organizaciones abordan la seguridad ofensiva. La IA con agentes no es un concepto de futuro: se está convirtiendo en la única forma escalable de realizar pruebas continuas en entornos modernos y dinámicos”.
El documento concluye sirviendo como un llamamiento para que los equipos técnicos mejoren sus tiempos de respuesta y demuestren el valor de sus acciones ante la dirección ejecutiva. Reducir la actual brecha de cobertura en las pruebas de penetración se perfila como una de las prioridades esenciales en las estrategias de ciberseguridad, facilitando a los responsables de la información la transición hacia una postura de defensa más resiliente que se adapte a la magnitud del panorama de amenazas.
