PentAGI explicado: qué hace y si es seguro ejecutarlo

«Le das el sistema que se puede probar. Investiga el objetivo. Planifica la prueba de seguridad. Ejecuta las herramientas. Reporta las vulnerabilidades que encuentra.» Es un resumen justo en una línea de PentAGI (vxcontrol/pentagi), un sistema de agentes de IA autónomos de código abierto con licencia MIT, más de 24.000 estrellas en GitHub y más de 3.000 forks, que se ha convertido discretamente en una de las plataformas de pruebas de penetración impulsadas por IA más capaces que se pueden descargar y ejecutar hoy. Es real, está en desarrollo activo y usa herramientas de seguridad ofensiva de verdad, no una simulación. Esto es lo que hace, cómo está construido y qué cambia para un programa de seguridad que lo adopte.

Qué hace realmente PentAGI

PentAGI se describe como un «sistema de agentes de IA totalmente autónomos capaz de realizar tareas complejas de pruebas de penetración». En la práctica, inicias un encargo («flow») con un prompt en lenguaje natural que nombra el objetivo, el tipo de evaluación y el alcance y las reglas de enfrentamiento, algo como «Evalúa https://target.example en busca de vulnerabilidades web comunes. Céntrate en autenticación, manejo de archivos e inyección.». A partir de ahí, el sistema:

• Investiga el objetivo con un navegador integrado y APIs de búsqueda externas (Tavily, Firecrawl, Google, DuckDuckGo, Perplexity y otras) para reunir contexto antes de tocar nada.
• Planifica la evaluación, descomponiendo el objetivo en pasos y delegándolos entre roles de agente especializados.
• Ejecuta herramientas reales: más de 20 herramientas de seguridad profesionales, entre ellas Nmap, SQLMap y Metasploit, dentro de contenedores Docker aislados.
• Reporta los hallazgos, produciendo un informe de vulnerabilidades con guía de explotación, disponible como vista web, Markdown o PDF.

Funciona en dos modos. Automation lo deja trabajar de principio a fin sin intervención. Assistant mantiene a un humano en el bucle, aprobando o redirigiendo cada paso, el valor por defecto más defendible para quien de verdad adopta esto dentro de un programa de seguridad en lugar de solo probarlo en un laboratorio.

Arquitectura: más que un envoltorio alrededor de un chatbot

PentAGI es una aplicación multiservicio real, no un solo prompt con acceso a herramientas pegado encima. El stack: un backend en Go y un frontend en React, PostgreSQL con pgvector para memoria semántica (para recordar investigaciones previas y enfoques exitosos a lo largo de un encargo largo), una cola de tareas asíncrona y un grafo de conocimiento opcional Neo4j/Graphiti para seguir las relaciones entre hallazgos. Hay un stack de observabilidad completo —OpenTelemetry, Grafana, Prometheus/VictoriaMetrics, Jaeger y Loki— y APIs REST/GraphQL con autenticación por token Bearer. La instalación es mediante un instalador de terminal interactivo o un docker compose up -d manual, con un mínimo documentado de 2 vCPU, 4 GB de RAM y 20 GB de disco. Está hecho para operarse, no solo para demostrarse.

Funciona con modelos en la nube o totalmente en tu propio hardware

La propuesta de que «puede trabajar con modelos de IA locales en tu propio servidor» es cierta y es una de las decisiones de diseño más relevantes. PentAGI admite proveedores comerciales —OpenAI, Anthropic, Google Gemini, AWS Bedrock, DeepSeek— junto a opciones totalmente autoalojadas mediante Ollama y vLLM, además de cualquier endpoint personalizado compatible con OpenAI. Para un equipo de seguridad, eso significa que el reconocimiento del objetivo, la salida de las herramientas y los borradores de hallazgos no tienen por qué salir de la infraestructura que controlas, lo que importa bastante más aquí que en un chatbot general: el «contexto» de este agente es la superficie de ataque de tu cliente.

La línea de autorización, dicha claramente

Hay que reconocerle al proyecto que no se anda con rodeos en esto. Su documentación dice: «Prueba solo sistemas que poseas o que estés explícitamente autorizado a evaluar. Consulta EULA.md para los requisitos de uso aceptable.». Es el valor por defecto correcto para una herramienta que puede dirigir Metasploit de forma autónoma contra un objetivo del que solo se le dijo que «se puede probar». Un agente autónomo no cambia lo que es el escaneo o la explotación no autorizados; solo hace que empezar sea más rápido, que es justo por lo que el alcance que le entregas debe ser tan preciso como un contrato firmado, no un mensaje de Slack.

Qué significa para un programa de seguridad

El argumento de productividad es real: la investigación, la ejecución de herramientas y el primer borrador del informe son las partes de horas y de poco juicio de un pentest que un tester experimentado aún tiene que trabajar. Un agente que automatiza de forma fiable ese trabajo pesado y le pasa a una persona los hallazgos interesantes para verificar es una ganancia de eficiencia genuina, no un truco. El trabajo de gobernanza que trae su adopción también es real, y es el mismo que requiere cualquier agente con acceso a herramientas y credenciales reales:

• Aíslalo. Ejecuta PentAGI en un entorno sin acceso permanente más allá del encargo autorizado, en infraestructura que te resultaría cómodo descartar. El aislamiento por contenedores Docker del propio proyecto es un comienzo, no un sustituto de la contención a nivel de red por tu parte.
• Escribe el alcance en el prompt como un contrato. El prompt en lenguaje natural con el objetivo y las reglas de enfrentamiento es lo único que se interpone entre «evaluación autorizada» y «acceso no autorizado». Trátalo con la precisión de un contrato, no de una sola línea.
• Trata al agente como una identidad, no como una caja negra. Tiene credenciales, ejecuta herramientas de explotación y produce hallazgos que son en sí sensibles. Puntúa su radio de impacto como harías con cualquier identidad de servicio o de IA con la calculadora de riesgo de identidad.
• Verifica el modelo que le apuntes. Si ejecutas PentAGI contra un modelo autoalojado para que los datos del encargo queden en casa, la procedencia de ese modelo importa: un modelo local sin negativas o «abliterado» cambia el cálculo de riesgo de lo que el agente intentará sin oponerse. Nuestra guía de modelos abliterados y la calculadora de riesgo de modelos abliterados cubren justo esa decisión.
• Audita cualquier configuración de tool-calling. Un agente que planifica y ejecuta tool-calls es el mismo patrón arquitectónico que cubrimos en nuestro artículo sobre la inyección de tool-calls a través de un router de LLM comprometido: la misma disciplina (mínimo privilegio, argumentos de tool-call validados, aprobación humana para las acciones de consecuencia) se aplica tanto si las herramientas son APIs internas como módulos de Metasploit.

Dónde encaja junto al resto de la categoría

PentAGI no es el único de esta categoría, y las herramientas son más complementarias que competidoras. Donde PentAGI se inclina hacia la evaluación de infraestructura y de host, OpenHunterAI apunta específicamente a la capa de aplicaciones web, API y LLM: un motor local-first que evalúa un objetivo acotado a través del comportamiento observable desde fuera (inspección del navegador, recon, una integración con ZAP y un adaptador de Nuclei), con verificación de alcance explícita y una puerta de aprobación humana antes de ejecutar cualquier paso de prueba. Es un proyecto más pequeño (82 estrellas en la revisión) publicado, según sus autores, tras abandonar una idea de startup de seguridad de IA en favor de abrir el motor. Y tiene licencia PolyForm Noncommercial en lugar de la MIT de PentAGI, algo que conviene revisar si piensas usarlo comercialmente. Ambos merecen estar en la misma lista de seguimiento para un programa de seguridad que evalúe esta categoría. Ambos están listados y se pueden votar en nuestra tabla comunitaria de herramientas.

La conclusión

PentAGI no es vaporware ni un juguete: es una plataforma de pentesting autónomo bien construida, en mantenimiento activo y genuinamente capaz que un red team real podría poner a trabajar hoy, en la nube o totalmente sin conexión. Esa capacidad es justo por lo que merece el mismo proceso de adopción disciplinado que cualquier otra herramienta que puede ejecutar herramientas de explotación con credenciales reales contra infraestructura real: acotada, aislada y gobernada, con una persona a cargo del resultado aunque no sea quien esté al teclado.

Preguntas frecuentes

¿Qué es PentAGI? PentAGI es un sistema de agentes de IA autónomos de código abierto con licencia MIT (github.com/vxcontrol/pentagi) que realiza tareas de pruebas de penetración: investiga un objetivo definido, planifica una evaluación de seguridad, ejecuta herramientas reales de seguridad ofensiva como Nmap, SQLMap y Metasploit (más de 20 en total) y produce un informe de vulnerabilidades con guía de explotación. Funciona en contenedores Docker aislados y admite tanto un modo «Automation» totalmente autónomo como un modo «Assistant» paso a paso con un humano aprobando cada etapa.

¿PentAGI necesita un modelo de IA en la nube o puede funcionar totalmente sin conexión? Cualquiera de las dos. PentAGI admite proveedores comerciales (OpenAI, Anthropic, Google Gemini, AWS Bedrock, DeepSeek y otros) y modelos locales autoalojados mediante Ollama o vLLM, además de cualquier endpoint personalizado compatible con OpenAI. Ejecutarlo contra un modelo local mantiene los datos del objetivo y los hallazgos fuera de una API de terceros, una de las propiedades más genuinamente útiles para un red team interno.

¿Es legal ejecutar PentAGI contra un objetivo? Solo contra sistemas que poseas o estés explícitamente autorizado a probar, exactamente como con cualquier otra herramienta de pentesting. La propia documentación de PentAGI lo dice directamente y remite a su EULA para los términos de uso aceptable. Ejecutar Nmap, SQLMap o Metasploit a través de un agente autónomo no cambia la línea legal: el escaneo y la explotación no autorizados siguen siendo no autorizados, sea quien sea o lo que sea quien dirige el teclado.

¿En qué se diferencia PentAGI de una herramienta de Breach and Attack Simulation (BAS) como Caldera? PentAGI se posiciona explícitamente como no un producto BAS. Una plataforma BAS ejecuta campañas de ataque predefinidas y guionizadas para probar si las detecciones existentes saltan. PentAGI, en cambio, hace razonamiento abierto: investiga un objetivo desconocido, decide qué probar y se adapta según lo que encuentra, más cerca del flujo de trabajo real de un pentester junior que de una campaña enlatada.

¿Qué debería revisar un líder de seguridad antes de dejar que un equipo lo use? Los mismos controles que exigirías a cualquier agente conectado a herramientas y credenciales reales: ejecútalo en un entorno aislado y desechable sin acceso permanente más allá del alcance autorizado; escribe el alcance y las reglas de enfrentamiento en el prompt con tanta precisión como en un contrato; trata el propio acceso del agente como una identidad no humana que necesita revisión, no como una caja negra; y si lo apuntas a un modelo autoalojado, verifica la procedencia de ese modelo como harías con cualquier otro componente de la cadena de suministro de IA.