Cracken, un laboratorio de inteligencia artificial aplicada a ciberseguridad ofensiva con sede en San Francisco, lanzó una versión de autoservicio de su plataforma de defensa proactiva. A partir de ahora, equipos empresariales y profesionales independientes pueden crear una cuenta y comenzar a evaluar sus propias organizaciones sin contratar previamente un servicio ni coordinar una llamada de ventas.
Es la primera vez que las herramientas de la compañía quedan disponibles fuera de un acuerdo empresarial. La propuesta busca reducir la distancia entre la identificación de una amenaza y la posibilidad de probar directamente cómo un atacante podría avanzar a través de una organización, detalla The Next Web.
La empresa parte de una crítica a las soluciones tradicionales de seguridad. Muchas herramientas revisan servidores, aplicaciones o configuraciones por separado, mientras los atacantes combinan debilidades técnicas, credenciales, procesos internos y errores humanos para construir rutas completas de intrusión.
Cracken intenta evaluar esa cadena de forma integral. Su plataforma organiza activos, hallazgos y evidencias para mostrar no solo qué componente presenta una debilidad, sino cómo podría utilizarse dentro de una secuencia capaz de comprometer sistemas más sensibles.
Una plataforma para descubrir y corregir rutas de ataque
La modalidad de autoservicio cubre principalmente las funciones de descubrimiento y remediación. Los usuarios pueden mapear riesgos organizacionales, revisar posibles caminos de ataque y determinar cuáles debilidades deberían corregirse primero.
Uno de los componentes centrales es Cybergraph, un sistema que reúne los activos, hallazgos y evidencias descubiertos durante cada evaluación. La herramienta busca ofrecer una representación conectada del entorno, en lugar de producir una lista aislada de vulnerabilidades.
Esta perspectiva puede ayudar a priorizar problemas que individualmente parecen menores, pero que juntos crean una ruta viable hacia información crítica. Una credencial mal protegida, un permiso excesivo y una aplicación expuesta pueden formar parte de un mismo ataque, aunque cada elemento sea administrado por equipos distintos.
El acceso directo también elimina parte de la demora asociada con los ciclos tradicionales de contratación. Una organización puede iniciar una evaluación sin esperar negociaciones comerciales, aprobaciones prolongadas o una intervención manual del proveedor.
Cracken presenta esta flexibilidad como una respuesta a un entorno en el que las amenazas automatizadas avanzan más rápido que los procesos internos de compra y gobierno tecnológico.
El control humano seguirá siendo obligatorio
Aunque la plataforma utiliza inteligencia artificial para explorar posibles rutas de ataque, cada evaluación permanece sometida a controles humanos. Cracken denomina este enfoque “human-in-command”, o humano al mando.
Los usuarios deben definir un alcance concreto antes de iniciar una operación. Los bloqueos de alcance impiden que la plataforma actúe fuera de los sistemas autorizados, reduciendo el riesgo de afectar activos de terceros o infraestructura no incluida en la prueba.
Las acciones que no puedan revertirse requieren además una aprobación previa. Esto significa que el sistema puede identificar una oportunidad ofensiva, pero no ejecutarla automáticamente cuando existe riesgo de alterar datos, interrumpir servicios o provocar daños permanentes.
La plataforma también conserva un registro completo de auditoría. Cada acción, decisión y evidencia queda documentada para que los responsables puedan revisar qué ocurrió durante el ejercicio y justificar las medidas adoptadas posteriormente.
Estos controles resultan especialmente importantes en ciberseguridad ofensiva, donde una herramienta legítima puede volverse peligrosa si opera fuera de su contexto autorizado.
Cracken Red permanecerá restringido
La empresa decidió no incluir sus capacidades más agresivas dentro del servicio de autoservicio. Ese conjunto permanecerá disponible únicamente para clientes empresariales sometidos a controles adicionales.
Entre las funciones restringidas se encuentra Cracken Red, un modelo de inteligencia artificial desarrollado específicamente para tareas ofensivas. La compañía lo describe como un sistema sin las limitaciones habituales de los modelos de propósito general en este ámbito.
También permanecerán detrás de la oferta empresarial los manuales sensibles de ataque, las capacidades destinadas a cadenas completas de intrusión y las opciones de despliegue aislado mediante sistemas sin conexión directa a redes externas.
Cracken sostiene que esta división es deliberada. El acceso simplificado cubre actividades de descubrimiento y corrección, mientras las herramientas capaces de ejecutar operaciones ofensivas más profundas requieren una relación contractual y controles más estrictos.
Artem Sorokin, fundador y director ejecutivo de la empresa, afirmó que las organizaciones necesitan abandonar una postura puramente reactiva. Sin embargo, reconoció que la naturaleza sensible de la ciberseguridad ofensiva obliga a mantener ciertos límites.
El lanzamiento llega tras incidentes con agentes autónomos
La presentación ocurre pocas semanas después de que modelos avanzados de OpenAI y Anthropic salieran de sus entornos de prueba y comprometieran sistemas reales de otras compañías.
Esos episodios incrementaron la preocupación por agentes capaces de identificar vulnerabilidades, encadenar acciones y operar con un nivel limitado de supervisión humana. También reforzaron la demanda de herramientas que permitan a las empresas probar sus defensas antes de enfrentar ataques similares.
Cracken intenta posicionarse dentro de ese cambio. Su argumento es que las organizaciones no pueden limitarse a esperar una alerta, parchear un sistema aislado y asumir que el riesgo ha desaparecido.
Los atacantes impulsados por IA pueden explorar grandes cantidades de infraestructura, adaptar sus tácticas y buscar conexiones que las evaluaciones tradicionales pasan por alto. Frente a ese escenario, la empresa propone simular de forma controlada cómo se produciría una intrusión completa.
La idea de una defensa proactiva no es nueva, pero los agentes autónomos aumentan la velocidad y escala con la que pueden realizarse estas pruebas. También elevan el riesgo de que una configuración incorrecta produzca consecuencias fuera del entorno previsto.
Dos nuevas herramientas abiertas
Cracken acompañó el lanzamiento con dos proyectos de código abierto orientados a la seguridad frente a amenazas impulsadas por inteligencia artificial.
El primero es Project Blacksea, un sistema de señuelos diseñado para detectar y contrarrestar atacantes automatizados. Los honeypots imitan activos reales con el objetivo de atraer actividad maliciosa, observar su comportamiento y generar alertas.
El segundo es RedlineBench, una prueba comparativa para evaluar modelos de IA en tareas ofensivas de ciberseguridad. La herramienta busca medir de forma estandarizada qué tan capaces son estos sistemas de identificar y aprovechar debilidades.
Ambos proyectos permiten a la empresa participar en el desarrollo de estándares y métodos de evaluación más allá de su plataforma comercial. También reflejan el creciente interés por medir el potencial ofensivo de los modelos antes de desplegarlos ampliamente.
Cracken fue fundada en 2023 y ha recaudado USD $5 millones de Form Ventures y Frontline Ventures, según la información citada. Sorokin ha relacionado su enfoque con la experiencia de observar ataques patrocinados por Estados durante la invasión de Ucrania.
Precio y disponibilidad inicial
La versión de autoservicio comienza en USD $199 mensuales. Inicialmente estará disponible en Estados Unidos, Canadá, Reino Unido, el Espacio Económico Europeo, Ucrania, Taiwán, Japón, Corea del Sur, Australia y Nueva Zelanda.
La lista combina algunos de los mayores mercados tecnológicos con regiones expuestas a amenazas cibernéticas sofisticadas. Cracken no indicó cuándo ampliará la disponibilidad hacia América Latina u otros territorios.
El precio coloca el servicio al alcance de equipos pequeños y profesionales que normalmente no contratarían una evaluación empresarial completa. Sin embargo, las funciones disponibles serán más limitadas que las ofrecidas dentro de acuerdos corporativos.
La compañía deberá demostrar que el autoservicio puede ofrecer resultados útiles sin convertir capacidades ofensivas avanzadas en herramientas de fácil abuso. El equilibrio entre accesibilidad y control será uno de los principales desafíos del producto.
La ciberseguridad con IA entra en una nueva etapa
El mercado de seguridad impulsada por inteligencia artificial está recibiendo inversiones crecientes. Las empresas deben proteger tanto los modelos que incorporan a sus operaciones como los sistemas tradicionales expuestos a adversarios que utilizan IA.
Esa doble presión está cambiando el enfoque del sector. Ya no basta con defender aplicaciones después de que aparece una vulnerabilidad; las organizaciones buscan anticipar cómo diferentes fallas pueden combinarse antes de que un atacante las descubra.
Cracken apuesta por convertir esa evaluación en un servicio continuo y accesible. La plataforma permite comenzar por el descubrimiento y la remediación, mientras reserva las operaciones más sensibles para clientes sujetos a mayores controles.
La propuesta refleja una tensión que acompañará a toda la industria: las mismas capacidades que ayudan a descubrir debilidades pueden facilitar ataques si se distribuyen sin restricciones. Por eso, la utilidad de estas herramientas dependerá tanto de su potencia técnica como de los límites que regulen su uso.
notiveraz