Uso de ChatGPT en pruebas de Red Team: ¿alguien lo usa en el test que nos presupuestaron? ¿cuál es el riesgo?

Los modelos generales no pueden generar exploits de día cero directamente debido a sus filtros de seguridad. Lo que hacen los consultores es casi siempre reestructurar patrones de código conocidos para esquivar los mecanismos de detección. Salvo que sean modelos locales e aislados, pegar código de la empresa en servicios en la nube es una vulnerabilidad inaceptable.

En la prueba de penetración de 120.000 TL que hicimos el mes pasado, cazamos en el tráfico de red que un especialista estaba consultando registros de error de la red interna en un servicio público de IA. Paramos la prueba e hicimos rescisión de contrato de inmediato. Lamentablemente, supervisar la salida de datos del equipo de auditoría se ha convertido en responsabilidad del contratante.

Hay que reconocer la honestidad de la empresa que dijo abiertamente que usaba IA, pero pedir 160.000 TL y resolver la mayor parte del trabajo pidiéndoselo al bot con prompts listos es tirar el dinero. La lógica de un Red Team es la mente humana creativa; los ataques con plantilla ya los hacen los escáneres automáticos.

Hacer que la IA analice la empresa objetivo y luego facturar eso como consultoría de Red Team es un chollo. Cuando entreguen el informe fíjate bien en la redacción, no vaya a ser que hayan copiado respuestas genéricas del bot y las hayan pegado en el resultado.

si usan modelos localizados sin internet no hay ningun problema pero si mandan datos a la nube externa la privacidad se fue a la mierda.. luego poned una penalizacion contractual dura.

Conforme a la Kişisel Verilerin Korunması Kanunu y las normas de seguridad de la información, transferir datos de empleados o clientes obtenidos durante la prueba a plataformas de IA alojadas en servidores en el extranjero constituye una infracción legal manifiesta. Esta situación puede exponer a su empresa a sanciones administrativas pecuniarias.

Su preocupación es completamente válida. Solicite sin falta a las empresas licitadoras el documento de metodología de la prueba. Exija que firmen un compromiso por escrito sobre qué herramientas utilizan en qué etapa y con qué medidas de seguridad de datos. Una empresa profesional no dudará en documentarlo.

Creo que es difícil hablar con tanta claridad sobre red team chatgpt. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar. Comprobado por experiencia.

a nosotros tamién nos pasa.

Resumen breve para nuevos usuarios: Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Eso es todo, disculpa si me he extendido demasiado.

Le agradecería que compartiera el resultado. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Espero que le sea útil.

Correcto. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Si decidimos sin medir, siempre acabamos en el mismo punto.

Hace dos años viví exactamente lo mismo. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Por supuesto, cambia si tu situación es diferente.

De acuerdo incluso me gustaría recalcarlo. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Voy a defender lo contrario, no se molesten. Si regañas las falsas alarmas, nadie volverá a reportar.

Yo seguiría por ese camino.

Es correcto en general, pero falta un detalle. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde. Por supuesto, cambia si tu situación es diferente.

tomo nota gracias.

Totalmente. Si tuviera que añadir algo más: La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.