Armory Defense pone IA ofensiva a atacar empresas por dentro: la prueba de que la ciberdefensa ya no puede esperar semanas

Por Zendoric · 31 de julio de 2026.

La israelí Armory Defense, fundada en 2023, ha presentado Offensive Agentic-AI Simulations, el núcleo de su plataforma de validación continua de exposición a ciberataques. La propuesta: agentes de inteligencia artificial autónomos que atacan de forma controlada la superficie externa de una organización —sus sistemas expuestos a internet— replicando el comportamiento de un adversario real, en vez de limitarse a escanear y listar posibles fallos.

La diferencia con el escaneo de vulnerabilidades tradicional es la prueba. Según la compañía, sus agentes no se detienen en detectar una brecha: la explotan de forma segura y entregan evidencia de impacto real, organizada en "Hackbooks" —conjuntos de ataques por dominio, como abuso de autenticación, explotación de API, ataques a bases de datos o validación de CVE conocidas—. Alon Aharon, cofundador y consejero delegado de Armory Defense, resume así la propuesta: "No encontramos el riesgo, lo demostramos."

El dato que la propia empresa usa para justificar el lanzamiento es el más revelador de la nota: una vulnerabilidad crítica de VPN con puntuación CVSS 9.8 (la escala estándar de gravedad, donde 10 es el máximo) que antes tardaba semanas en convertirse en un exploit funcional se armó, según Armory Defense, en unos 40 minutos con un flujo de trabajo guiado por IA. Es una cifra de la propia compañía, sin verificación independiente, pero coherente con lo que venimos documentando en otras piezas: los flujos agénticos comprimen brutalmente el tiempo entre que se publica un fallo y que alguien lo convierte en arma.

Ahí está el asunto de fondo, más allá del producto concreto. El pentest —la auditoría de seguridad puntual, típicamente anual— nació para un mundo donde armar un exploit costaba semanas de trabajo especializado. Si ese coste se derrumba a minutos, una foto fija de la seguridad de una empresa caduca casi al instante. En general, la industria de la validación continua de exposición (lo que el sector llama CTEM, "continuous threat exposure management") lleva un par de años creciendo por esta misma razón; Armory Defense —agentless, sin software que instalar en los sistemas del cliente— es un ejemplo más de esa tendencia, no el primero.

Nuestra lectura: esto es la cara defensiva de un fenómeno que ya señalábamos por su cara ofensiva, la industrialización agéntica del fraude y el espionaje digital. La misma capacidad que permite a un atacante encadenar vulnerabilidades a máquina no es exclusiva del lado malo: también arma al defensor, y en teoría antes, porque conoce mejor su propia infraestructura. Quien debería preocuparse a corto plazo no es tanto la empresa con presupuesto para contratar validación continua, sino la que sigue apoyada solo en la auditoría anual: la brecha se abre entre quien automatiza su defensa y quien no.

A largo plazo, esta carrera IA-contra-IA en ciberseguridad es una pieza más de la infraestructura de confianza que necesita el propio despliegue masivo de la inteligencia artificial. Una economía apoyada en agentes autónomos —comprando, negociando, operando sistemas críticos— solo es viable si la capa de seguridad es tan rápida como las amenazas que enfrenta. Empresas como Armory Defense no resuelven el cibercrimen de fondo, pero normalizan una defensa a la misma velocidad que el ataque, y eso es condición necesaria, aunque no suficiente, para que la abundancia que promete la IA no se construya sobre cimientos que cualquiera pueda tumbar en 40 minutos.