Oktsec Assessment · Argentina y LATAM
Aplicaciones web, APIs y agentes de IA.
Ponemos a prueba tus aplicaciones, APIs y agentes de IA para identificar fallas que puedan exponer datos o comprometer operaciones. Recibís hallazgos documentados, evidencia reproducible y prioridades de corrección.
Para startups con producto en operación y empresas que preparan lanzamientos o necesitan responder a requisitos de seguridad de sus clientes.
250+ hallazgos de seguridad reportados
Microsoft
Cloudflare
Mercury
gbrain / gstackxAI
Experiencia detrás de Oktsec
Emprendedor en ciberseguridad, enfocado en la seguridad de agentes de IA. Más de 20 años en tecnología, 12 como CTO y 250+ hallazgos de seguridad reportados. Fundador de Oktsec y Ambassador de la Agentic AI Foundation (AAIF), parte de la Linux Foundation.
Investigación del fundador · 2026
Dos aportes de Gustavo Aragón en herramientas de Mercury y Stripe, con reporte, código y pruebas disponibles.
Mercurymercury-cliEl modo de depuración ocultaba datos sensibles de las solicitudes, pero dejaba visibles los de las respuestas. Las cookies podían terminar en registros de automatización o reportes compartidos.
Ocultar también los encabezados sensibles de las respuestas y agregar pruebas para verificarlo.
link-cliEn un sistema de archivos compartido, un enlace preparado por otro usuario podía desviar el archivo de credenciales de pago a una ubicación que ese usuario ya podía leer.
Crear el archivo de forma exclusiva, con permisos restringidos, y evitar escribir a través de enlaces simbólicos. Esta protección se aplica a sistemas como Linux y macOS.
Contribuciones de @garagon incorporadas en los repositorios oficiales. Son investigaciones públicas del fundador, no trabajos contratados por estas empresas.
También reportó hallazgos y propuso correcciones en gbrain ↗ y gstack ↗, proyectos open source de Garry Tan, presidente y CEO de Y Combinator.
Qué evaluamos
Combinamos pruebas de penetración, revisión de código y análisis de arquitectura según el alcance. Para agentes de IA, sumamos un sistema propio de pruebas reproducibles.
Evaluamos autenticación, sesiones, controles de acceso y lógica de negocio. Probamos si un usuario puede consultar datos o realizar operaciones que no le corresponden.
Revisamos código, dependencias, integraciones y decisiones de arquitectura para identificar vulnerabilidades y cómo podrían combinarse.
Revisamos cómo se gestionan los secretos, qué información queda expuesta y si los permisos respetan los roles y la separación entre clientes.
Probamos si una instrucción puede desviar al agente, exponer información o llevarlo a ejecutar tareas fuera de lo previsto. Incluye aplicaciones con modelos de lenguaje (LLM), herramientas MCP, integraciones y flujos de trabajo.
Qué recibís
Un informe con prioridades para Seguridad, pasos para Ingeniería y un resumen para dirección.
Contanos qué aplicación, API o sistema necesitás evaluar.
Divulgaciones de agosto y septiembre de 2026
Metabase confirmó un ataque que podía permitir acceso de administrador, robo de credenciales de bases conectadas y exportación de datos. Publicó versiones corregidas.
Wiz demostró que una falla en GitHub Actions permitía obtener una credencial y leer información interna. Snowflake corrigió el flujo y revocó la credencial; la divulgación describe una prueba de investigación.
Manifold documentó fallas en agentes de programación al abrir carpetas preparadas con configuración Git maliciosa, por ejemplo recibidas en un ZIP. Algunas ejecutaban código antes de la aprobación del usuario. El estado de corrección varía según el agente.
Casos de terceros, con fuentes originales. Las fechas corresponden a su divulgación pública. No son clientes ni hallazgos de Oktsec.
Cómo se contrata
El alcance y la profundidad de las pruebas determinan el presupuesto.
Nos contás qué sistema querés evaluar, sus integraciones y el objetivo de la evaluación.
Recibís el alcance, las exclusiones, el calendario y el precio. Comenzamos con tu autorización.
Ejecutamos las pruebas y revisamos los hallazgos con tu equipo para priorizar las correcciones.
Antes de empezar
El pentesting, o prueba de penetración, evalúa si una vulnerabilidad puede convertirse en acceso a datos o acciones no autorizadas. Oktsec realiza pruebas controladas sobre el alcance acordado y entrega hallazgos, evidencia reproducible y prioridades de corrección.
Sí. Evaluamos aplicaciones web, APIs, código, arquitectura y permisos. Si tu empresa también usa agentes de IA, podemos incluir sus flujos y herramientas en el alcance.
Sí. Trabajamos con startups con producto en operación y empresas de Argentina y LATAM que necesitan evaluar la seguridad de sus aplicaciones, APIs o sistemas internos. Trabajamos con responsables de Seguridad, Ingeniería o Tecnología, antes de un lanzamiento o sobre sistemas en uso.
Definimos el presupuesto y el plazo según las aplicaciones, APIs, repositorios, flujos y entornos incluidos. Primero acordamos el alcance y los entregables; las pruebas comienzan una vez autorizado el trabajo.
Una descripción del sistema, los flujos o repositorios a evaluar, sus integraciones y el motivo de la evaluación. Los accesos y la documentación técnica se acuerdan después; no envíes credenciales por el formulario.
Se define en la propuesta: hallazgos a verificar, entorno y ventana de revisión. El objetivo es comprobar la corrección y que el flujo legítimo siga funcionando.
No necesariamente. Podemos comenzar en staging o en un entorno acotado. El acceso a código y sistemas se acuerda para cada evaluación. Las pruebas en producción requieren autorización expresa.
Tu equipo recibe evidencia y prioridades de remediación. Para los flujos de agentes de IA, también podemos evaluar Signal para revisar herramientas y dependencias, y Control para aplicar políticas sobre las solicitudes que pasan por sus integraciones.
Hablemos de tu entorno
Una aplicación, una API, un repositorio o un flujo de agentes. No necesitás tener identificado el problema para comenzar.
Para equipos de Seguridad, Ingeniería y Tecnología. No necesitás usar agentes de IA para contratar un pentest.
gus@oktsec.com ↗Una plataforma, más allá del pentest
Si tu empresa trabaja con agentes de IA, Oktsec también conecta la evaluación con controles para su operación.
Analiza las herramientas y dependencias de tus agentes. Se apoya en Aguara, nuestro motor open source.
Assessment ↗Evalúa aplicaciones, APIs, código y flujos de agentes. Entrega hallazgos, evidencia y prioridades.
Control ↗Aplica políticas antes de ejecutar herramientas conectadas. Bloquea, solicita aprobación y registra decisiones.
Control actúa sobre las solicitudes que pasan por las integraciones configuradas. La evaluación no requiere contratar los otros productos.