Mencionaron una herramienta llamada "Pentest GPT": ¿alguien la usará en el test que nos presupuestaron?

Esta herramienta es básicamente una cadena de prompts que procesa los outputs del escáner de red o de vulnerabilidades que introduce el auditor y sugiere qué herramienta ejecutar a continuación. Hace llamadas a un modelo general de IA. Copiar y pegar el resultado en el informe hace que se pasen por alto totalmente las fallas de lógica de negocio.

¿Aceptó la empresa del presupuesto bajo firmar un protocolo de confidencialidad y custodia de datos en el contrato? Si no pueden dar garantías técnicas de que los datos del test no irán a servidores públicos, ¿os parece lógico asumir ese riesgo para un software de scoring financiero?

El año pasado contratamos un pentest automatizado similar por unos 50.000 TL. Casi el 80% del informe era la salida estándar del escáner y se les pasó una falla crítica de elevación de privilegios en nuestro flujo de pagos. Más tarde pagamos 110.000 TL por un test manual y ahí aparecieron las vulnerabilidades reales.

En este sector eso de "hemos reducido costes" suele significar que le han dado el trabajo a un becario y este le pide los comandos a la herramienta. La IA como asistente es genial, pero si te lo venden como ventaja de costes, están recortando en mano de obra especializada.

Vuelva a hablar con la empresa y exíjales que incluyan evidencias de verificación manual para cada hallazgo del informe. Deje claro desde el principio que no aceptará solo la lista de vulnerabilidades hipotéticas generada por la herramienta.

nosotros tmb instalamos esa herramienta pa probar te da los comandos basicos pero no ve ni de coña errores de logica como el control de permisos... bueno en un proyecto financiero ni de coña te fies solo de eso pongan limites a la ia en el contrato si o si.

Conforme a las regulaciones a las que están sujetas las entidades que procesan datos financieros, la transferencia no controlada a servicios en la nube en el extranjero de datos de clientes y de la red interna recopilados durante las pruebas puede conllevar infracciones normativas. Se recomienda solicitar por escrito el diagrama de flujo de datos a su proveedor de servicios.

hay tres cosas que revisar al hacer esto. bueno si el permiso y el alcance no están por escrito que no empiece la prueba.

corrijanme si me equivoco.

Muchas gracias, lo probaré hoy.

No sabía eso.

A nosotros nos pasó esto. Si el permiso y el alcance no están por escrito que no empiece la prueba.

Eso es todo disculpa si me he extendido demasiado.

Después de vivir eso, mi perspectiva cambió. La mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada.

La respuesta de arriba ha dado en el clavo. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Este hilo es para archivar.

Ha sido una buena idea abrir este hilo. Intentar hacerlo solo es la vía más cara.

Yo seguiría por ese camino.

Yo también tengo curiosidad.

Aquí hay una trampa, no puedo dejar de mencionarla. Si decidimos sin medir, siempre acabamos en el mismo punto.

Guardado.