Qué acelera un modelo y qué no cambia

Un pentest tiene partes tediosas —leer cientos de líneas de salida, agrupar notas, redactar la primera versión de un hallazgo— y partes que definen el oficio —tener autorización, respetar el alcance, decidir qué se prueba y firmar lo que se entrega—. Un modelo es bueno en las primeras y no tiene nada que aportar a las segundas: no amplía tu contrato ni carga con tu responsabilidad.

Confundir las dos cosas es el primer error. Un modelo que «te ahorra tiempo» en lo tedioso es productividad; un modelo al que le cedes la decisión de hasta dónde llegar es un problema, porque la autorización sigue estando a tu nombre, no al suyo.

La forma sana de trabajar con un modelo en seguridad es la misma que en el módulo 12 del curso de hacking ético: human-in-the-loop. El modelo propone; tú revisas antes de ejecutar. Cada comando que sugiere se lee antes de correrlo, cada cifra se contrasta, cada afirmación se comprueba. El modelo va en el asiento del copiloto, no al volante.

La tentación contraria —dejar que el modelo encadene acciones solo, «para ir más rápido»— parece eficiencia y es pérdida de control. Lo que se ejecuta en nombre de tu contrato lo tienes que poder explicar, y no puedes explicar lo que no revisaste.

Usar un modelo para agrupar quinientas líneas de notas de reconocimiento por host, deduplicar y proponer un orden de prioridad es exactamente para lo que sirve: te devuelve horas y no toca el criterio, porque tú decides después qué mirar primero. Eso es productividad.

Es distinto de pedirle que «resuelva» el trabajo sin que tú lo entiendas. Si entregas un hallazgo que el modelo escribió y tú no puedes sostener ante el cliente, no ahorraste tiempo: firmaste algo ajeno. La línea es si después de usarlo entiendes lo mismo o más, no menos.

Un modelo no conoce tu carta de autorización, no sabe qué sistemas quedaron fuera del alcance ni qué reglas de enfrentamiento firmó el cliente. Sabe lo genérico del oficio, no lo particular de este contrato. Por eso una sugerencia suya puede ser técnicamente correcta y aun así estar prohibida aquí.

El operador es el único que tiene el contexto completo del engagement. El modelo aporta la parte general; el límite concreto —este sistema sí, este no, esta técnica no se autorizó— lo pone quien leyó el contrato.

Abre la estación y contrasta el resumen del modelo con la carta de autorización. El modelo propuso ampliar el barrido a un sistema de Astilla; la carta dice si ese sistema está dentro o fuera del encuadre del trabajo.