Los ciberatacantes ya utilizan inteligencia artificial para identificar vulnerabilidades en milisegundos, lanzar campañas adaptativas y comprometer infraestructuras críticas antes de que los equipos defensivos puedan reaccionar. Salud, energía, banca, transporte, defensa nacional y administración pública se enfrentan hoy a adversarios que operan con la misma sofisticación tecnológica que los mejores equipos ofensivos del mundo. En este escenario, esperar al próximo pentest anual equivale a dejar la puerta abierta.
La realidad de 2026 es que el perímetro ha desaparecido. Las infraestructuras híbridas, los entornos cloud, los proveedores externos y los sistemas OT industriales han multiplicado exponencialmente la superficie de ataque. Un hospital puede ser paralizado desde una impresora conectada. Una instalación energética puede ser comprometida a través de un proveedor de mantenimiento. Una red de defensa puede ser infiltrada encadenando credenciales débiles en Active Directory. NodeZero, la plataforma de pentesting autónomo de Horizon3.ai, fue el primer sistema de IA en resolver completamente el benchmark GOAD de explotación de Active Directory, en apenas 14 minutos, superando en capacidad de ataque encadenado a modelos como GPT-4o o Gemini 2.5 Pro. No es un escáner, es un atacante artificial.
La diferencia con el pentesting tradicional es radical. NodeZero actúa como un actor de amenaza avanzado (APT): parte de acceso inicial, encadena credenciales comprometidas, configuraciones erróneas y CVEs no parchados correctamente, se mueve lateralmente y demuestra con evidencia exactamente qué impacto tendría un ataque real. Solo reporta lo que es realmente explotable en ese entorno concreto. En el programa CAPT de la NSA, NodeZero ya opera a escala nacional: expandió la cobertura de 200 a 1.000 contratistas de defensa, descubriendo más de 50.000 vulnerabilidades, con el 70% remediadas en días.
Más de 5.200 organizaciones globales, desde compañías del Fortune 10 hasta hospitales, agencias gubernamentales, instituciones financieras y contratistas de defensa, confían en NodeZero para validar continuamente sus defensas. El modelo público-privado es especialmente relevante: una Administración que gestiona infraestructuras críticas y externaliza servicios necesita la misma capacidad de validación continua que un banco o una empresa de defensa. La colaboración entre sectores es hoy una necesidad operativa, no una opción estratégica.
En 2025 se publicaron 48.185 nuevas vulnerabilidades, un 20% más que el año anterior. Examinar la infraestructura una vez al año, o solo ante un incidente, no es seguridad. El futuro es la validación continua, «encontrar, solucionar, verificar», ejecutada de forma autónoma, sin agentes persistentes, sin interrumpir la producción, con resultados en horas.
NodeZero hace posible llevar al mercado esta capacidad como producto y como servicio gestionado para sectores críticos, defensa y administración. Porque el atacante no espera al próximo red team.
Cefiros
CTO
