AI / LLM Pentest · Especialidad
Pentest de IA y LLM
¿Tu chatbot, copiloto o agente ya está en producción? Evaluamos el sistema completo —modelo, prompts, base de conocimiento, herramientas conectadas e integraciones— para mostrar qué podría hacer un atacante y cómo corregirlo.
Solicitar propuesta Ver cómo funcionaPlazo típico: 5–12 días
Por qué la IA necesita un pentest específico
En sistemas con LLM, el lenguaje natural se convierte en entrada de control, y cada herramienta conectada al modelo es un camino hacia datos y acciones. Los escáneres web no evalúan este comportamiento. El pentest de IA responde a preguntas concretas: ¿puede el sistema filtrar datos de otros clientes? ¿Puede ejecutar acciones que el usuario no podría? ¿Puede generar costes descontrolados?
Qué evaluamos
- Manipulación de instrucciones por usuarios y por contenido externo que el sistema lee.
- Fuga de datos del contexto, de la base de conocimiento (RAG) y entre usuarios y tenants.
- Agentes y herramientas: permisos, confirmación humana y límites de las acciones del modelo.
- Salida del modelo usada en páginas, consultas o integraciones sin validación.
- Coste y disponibilidad: límites de uso y consumo abusivo.
- Cadena de suministro: modelos, plugins y dependencias de terceros.
Cobertura mapeada al OWASP Top 10 para LLM, MITRE ATLAS y NIST AI RMF, útil también como evidencia ante el AI Act europeo.
Para quién es
- Empresas con chatbot de atención o ventas expuesto a clientes.
- SaaS que lanzó un copiloto o búsqueda con IA sobre datos de clientes.
- Equipos que conectaron agentes a sistemas internos, email, CRM o pagos.
Riesgos típicos en sistemas de IA
- Asistente que revela datos de otros clientes presentes en la base de conocimiento.
- Agente que ejecuta acciones sensibles (email, reembolsos, exportación) sin confirmación.
- Contenido externo leído por el sistema que altera su comportamiento.
- Respuesta del modelo insertada en páginas o consultas sin validación.
- Uso sin límites que genera un alto coste de tokens.
Pentest que sirve para auditoría
El informe incluye alcance, periodo, metodología, severidad justificada y evidencia de retest: lo que buscan auditores y clientes en ISO 27001 (A.8.8 y A.8.29), SOC 2 (CC4.1 y CC7.1), PCI DSS 4.0 (requisito 11.4), RGPD (art. 32), ENS, NIS2 y DORA. También emitimos un certificado para enviar a clientes sin exponer detalles técnicos.
Por qué Pentest Machine
- El fundador ejecuta y garantiza la calidad. Más de 20 años de experiencia, carrera internacional en seis de las mayores empresas del mundo y ponencias en OWASP AppSec USA, Black Hat y varias BSides. Participa en las pruebas y revisa cada informe antes de la entrega.
- Solo especialistas sénior en el ataque. Herramientas propias e IA aceleran el trabajo repetitivo; la decisión de qué explotar y cómo encadenar es humana.
- Transparencia comercial. Precio cerrado en 24 h, NDA antes del alcance, retest incluido y facturación en la UE, Brasil o EE. UU.
- Informe para tres públicos: dirección, equipo de desarrollo y auditoría.
Qué recibes
- Informe con hallazgos demostrados, impacto de negocio y severidad.
- Recomendaciones de arquitectura: autorización antes del contexto, permisos mínimos, confirmación humana en acciones sensibles, límites de uso.
- Retest incluido.
Preguntas frecuentes
¿Cuánto cuesta un pentest de IA?
Depende del número de fuentes de datos, herramientas conectadas y roles. En Europa, una aplicación con LLM, RAG o agentes suele estar entre 14.000 € y 44.000 €. Precio cerrado en 24 h.
¿Probáis sistemas sobre OpenAI, Anthropic o Gemini?
Sí. El foco es el sistema construido sobre el modelo —prompts, datos, herramientas e integraciones—, sea cual sea el proveedor.
¿Necesitamos dar acceso al código?
No es obligatorio. Recomendamos acceso a la configuración de prompts y herramientas y cuentas de prueba por rol.
¿Ayuda con el AI Act?
El informe documenta pruebas de robustez y ciberseguridad, evidencia útil para las obligaciones de gestión de riesgos de sistemas de IA.
Lee también
Otros servicios
Solicitar propuesta
Recibe una propuesta en 24h.
Cuéntanos qué necesitas probar. Un especialista — no un comercial — responde con alcance, plazo y precio.
- NDA disponible antes de cualquier detalle
- Atención en ES, PT y EN
- Facturación en la UE, Brasil o EE. UU.