La IA encuentra el fallo.
La persona firma el resultado.

Ricardo Sánchez

Hay una pregunta que Ricardo Sánchez recibe con más frecuencia de la que le gustaría: cómo saber si los resultados de un ataque simulado son reales. Se la hizo, literalmente, un cliente escéptico después de ver en acción RedArrow. «Me preguntó: ¿cómo sabemos que esos resultados son reales? Ni viéndolo funcionar delante de él terminó de fiarse del todo», recuerda.

Esa desconfianza inicial es, en cierto modo, el punto de partida de todo lo demás que tiene que decir sobre su trabajo.

De desmontar cosas a frenar ataques

Su explicación sobre cómo llegó al sector no necesita adornos: «Siempre me ha gustado desmontar las cosas para entender cómo funcionan. Ahora me pagan por romperlas antes de que alguien con malas intenciones lo haga.» Es una frase que resume bien el oficio del red team: encontrar el fallo antes que el atacante, no después.

Si tuviera treinta segundos delante de un consejo de administración, tampoco los dedicaría a hablar de amenazas externas, sino de una convicción interna: «La IA ha venido para quedarse, y en nuestro sector todavía más. Hay que verla como una aliada, no como algo que hay que repeler.»

Quien entrega el informe, firma el documento y defiende los resultados ante el cliente sigue siendo una persona.

La línea entre la máquina y quien firma

Esa convicción tiene un límite que Sánchez marca con precisión: «Veo un uso excesivo de la IA para todo, y yo mismo caigo en ello. Pero la experiencia personal y el recorrido profesional en distintas empresas es algo que una IA nunca podrá replicar. Por eso insisto: es un recurso de apoyo, no algo en lo que debamos delegar nuestro día a día.»

Preguntado por dónde está exactamente ese límite entre automatizar el red team y perder el criterio humano, es igual de directo: «La línea es muy fina. Pero al final, quien entrega el informe, firma el documento y defiende los resultados ante el cliente sigue siendo una persona. No sé si llegará el día en que tengamos que defenderlos ante otra IA.»

El valor del criterio

Sobre lo que el mercado todavía no entiende de su trabajo, Sánchez no duda: «Siguen preguntando por un pentest anual, como si fuera suficiente. No terminan de entender que el riesgo ya no se gestiona en ciclos tan largos: hay que vigilarlo día a día, no esperar doce meses entre una auditoría y la siguiente.»

Es, en el fondo, la misma idea que atraviesa toda la conversación: la tecnología ofensiva acelera lo que se puede encontrar, pero no sustituye a quien decide qué hacer con eso. Ese criterio es, al final, lo que kritero pone sobre la mesa.