En Zerolynx llevamos desde 2018 "haciendo ciberseguridad" y, desde prácticamente nuestros inicios, hemos tratado de potenciar la automatización para hacer cosas cada vez más grandes. Automatizar es, seguramente, la mejor forma de crecer sin morir en el intento. Cuando la IA comenzó a estar disponible tal y como hoy la conocemos, la incorporamos rápidamente a nuestra hoja de ruta y, en algún momento de los últimos dos años, la conversación interna pasó a ser "qué parte de nuestro trabajo tiene sentido que aprenda una IA", y dónde tiene que vivir esa IA para que podamos mirar a un cliente a la cara. De ahí salió una decisión que condicionaba todo lo demás, los datos de nuestros clientes no queríamos que salieran a APIs públicas de terceros y ese era un limitante tecnológico y, por ende, de negocio. Ni un hallazgo, ni una línea de informe, ese era el reto.
Cuando el mercado se llenó de integraciones que enviaban los contextos a un modelo remoto de alguno de los fabricantes de referencia, en Zerolynx elegimos el camino más incómodo y, de inicio, más caro (a largo plazo pensamos que será más económico, visto el precio del token). Montar la IA en infraestructura que controlamos, entrenar modelos con nuestro propio material y usarlos desde nuestras instalaciones, cubiertos por la seguridad de una buena VPN. Lo llamamos IA soberana (<ironía>seguro que nunca habíais escuchado este concepto :P, </ironía>). El modelo y el dato sensible vivirían bajo nuestro control y no en el centro de datos de otra empresa.
En este post quería contaros cómo lo hemos construido, pero permitidme que me guarde algunas cosas por confidencialidad y que no os enseñe todas las piezas del puzle: parte de lo que no cuento es, hoy por hoy, es nuestra ventaja competitiva.
Todo este tinglado (la plataforma que ayuda a gobernar la empresa, el sistema de gestión que la audita y la mantiene, el entorno donde trabajan los equipos de Service Delivery y de Negocio, unas cuantas herramientas más y los modelos entrenados con nuestro propio know how) vive en nuestro CPD, en máquinas montadas expresamente para mover modelos pesados e incluso modelos frontera. Tiramos, sobre todo, de tres tipos de hardware: máquinas virtualizadas sobre servidores potentes pero corrientes (aquí no hay nada innovador), una pecera con 4 x RTX 4090 y equipos AMD Ryzen AI con 128 GB de LPDDR5X, para cargar los modelos grandes directamente en memoria. Unos juguetes con los que da gusto trastear.
Y nada de esto sale de la nada, forma parte de nuestro plan estratégico 2026-2030, donde ponemos a la IA en el centro de los servicios de ciberseguridad, con tres ejes: automatizar procesos internos, desarrollar capacidades nuevas de análisis y reforzar lo que ofrecemos a las empresas. Esto va de la parte menos vistosa de ese plan, la que ya está funcionando.
Como decía, trabajamos en local, sobre todo, por el material que tocamos: resultados de pentest, información de sistemas de clientes, documentación de cumplimiento, pericias forenses, etc. Mandar eso a un tercero añade un riesgo que no queremos y que, muchas veces, ni deberíamos poder asumir. Y hay un segundo motivo, la dependencia. Cuando tu operativa se apoya en una API que sube de precio, cambia de condiciones o retira un modelo, tu capacidad deja de ser tuya. Por eso trabajamos sobre modelos de código abierto y arquitecturas híbridas, reducimos la atadura a un proveedor y nos queda libertad para cambiar de pieza cuando conviene.
Lo de "multiplicar el alcance del experto" suena a folleto, y con razón, así que vamos con lo concreto. La IA se come el trabajo repetitivo y hace que cada persona llegue a más, pero las decisiones las seguimos tomando nosotros, sobre todo en lo ofensivo y a la hora de abordar un cumplimiento. Para que eso no se quede en frase bonita, por debajo hay verificadores adversariales y aprobaciones colegiadas (¿¿mande?? en castellano, que lo revisa uno de nuestros comités internos).
CuatrIA: la plataforma donde vive la empresa
Empezamos por la base, porque el resto vive encima. CuatrIA es la plataforma de gestión interna que desarrollamos en casa desde principios de 2025, en lenguajes muy comunes y con tecnología 100% Open Source, sin dependencias: gobierna proyectos, imputaciones de horas, ausencias, todo nuestro RRHH, un cuadro de mando financiero, el área comercial con sincronización de nuestra tienda Shopify, permisos granulares y SSO con Microsoft Entra. Lleva IA integrada en forma de asistente corporativo para automatizar tareas internas de forma sencilla.
¿Por qué no comprar un SaaS genérico y ahorrarnos el marrón? Esto ya lo vivimos y no salió bien y, en esencia, por lo mismo de antes: el dato se queda en casa y el sistema se ajusta a cómo trabajamos nosotros. CuatrIA avanza con desarrollo continuo (loops con un enjambre de agentes) y una batería amplia de tests automatizados que ejecutamos en cada cambio. Sin esa red, asistirse con IA para programar rápido sería una locura, es lo que nos deja ir deprisa sin romper cosas. Para desarrollar si que nos apoyamos en IAs de mercado que todos usaréis comúnmente.
CuatrIA es la espina dorsal. Y en ella está ya integrada tanto el módulo de nuestro nuevo SGI (Sistema de Gestión Integral), y la herramienta LynxIA (de la que más adelante os hablaré), que se integra de forma nativa como un módulo más dentro del bloque de Service Delivery de CuatrIA. Cuando la plataforma es tuya, encajar una pieza nueva es una decisión de diseño y no una negociación con un proveedor. Todo se hace mas fácil.
El SGI: cumplimiento real, con la IA como copiloto
El Sistema de Gestión Integral despierta escepticismo cuando suelo contar a nuestros aliados que la IA ayuda a construirlo. Pero sin ella, lograr lo que hemos logrado habría sido imposible. Integra siete marcos bajo un tronco común: ISO 27001 para seguridad de la información, ISO 20000-1 para servicios TI, ISO 22301 y ENS para continuidad, ISO 9001 para calidad, ISO 14001 para medio ambiente y una rama de cumplimiento con NIS2, RGPD y LOPDGDD. Son más de ochenta documentos gobernados, que la IA nos ayuda a redactar y a mantener coherentes entre sí, tomando datos en tiempo real de nuestros sistemas de monitorización (Sentinel, Zabbix, etc.).
Redactar y armonizar ochenta documentos sin contradicciones ni huecos es un trabajo enorme y, sinceramente y que no me oigan mis compis de GRC, un peñazo..., y ahí la IA rinde de verdad. Pero el sistema se gobierna dentro de CuatrIA con controles humanos serios: un cuadro de mando que mide en tiempo real la cobertura, la aprobación y la vigencia de cada marco, aprobación colegiada por el Comité del SGI, y lectura y aceptación de políticas por parte del personal. Ningún documento entra en vigor porque lo escriba un modelo. Entra porque un comité lo aprueba. La IA redacta y detecta; nosotros aprobamos y respondemos.
Para las auditorías internas usamos enjambres de agentes de IA que recorren la documentación y afloran hallazgos que a una persona se le escaparían por volumen, y que después validamos nosotros, con nuestro equipo de Auditoría Interna, formado por varios compañeros de nuestro equipazo de GRC. Y no se queda en la teoría, por ejemplo, este mes llevamos el marco en su última versión a la auditoría del certificador, que nos dio su OK al cumplimiento del Esquema Nacional de Seguridad en categoría ALTA y la ISO 27001. Por lo que podemos decir que es un sistema vivo, auditado y (re) certificado.
Esto conecta con una pieza fácil de dejar fuera del alcance, gobernar la propia IA. Trabajamos también con ISO 42001, la norma de gestión de sistemas de IA y nuestra propia política de IA. Si vamos a construir modelos y agentes, tenemos que gobernarlos con el mismo rigor que el resto y dentro del mismo sistema.
LynxIA: la interfaz de la IA local
Toda esta capa necesita una interfaz, y esa es LynxIA: una aplicación web que tira íntegramente de modelos locales servidos con Ollama, sobre esas máquinas del CPD que os comentaba. Nada sale de casa. Dicho vulgarmente, sería nuestro Claude o ChatGPT, pero local. De hecho, hemos tratado de que la interfaz fuera lo mas parecido posible a estos entornos ya conocidos, para que la experiencia de usuario fuese similar y a nuestros usuarios no les resultase complejo adaptarse.
LynxIA tiene varios modos de trabajo y aquí reside parte de su potencia. El primero es un chat generalista para las consultas del día a día, donde no hay mucha mas historia, prompts contra modelos y a sacar partido a la potencia del hardware. Es el mas utilizado. Pero los mejores modos son los siguientes, por ejemplo, tenemos un modo de "herramientas" que dirige utilidades reales de pentest. Un modo de informe que convierte vulnerabilidades en bruto en un documento con la marca de la casa. Y un modo Ultra con menos intervención humana, que sigue pasando por la misma compuerta determinista, el mismo acotamiento al objetivo y el mismo botón de parada. Podemos decir... que menos manos encima, pero las mismas barandillas.
Debajo de LynxIA están los modelos que hemos entrenado y otros libres (coder, inspector, etc.)que hemos incorporado a la estación de IA.
ReportZero y ReportZero-Lite: la voz de la casa
Entre los muchos modelos que tenemos, estos dos modelos son los que escriben nuestros informes. Los hemos especializado con nuestros propios informes históricos sanitizados: miles y miles de hallazgos saneados, con los que les enseñamos la voz de Zerolynx y nuestro método de reporte (a alto nivel, resumen ejecutivo, descripción técnica y remediación). ReportZero es el redactor grande, el de más calidad y por ende el que mas pesa y ReportZero-Lite es el ligero y rápido, para cuando prima la agilidad.
Y aquí está lo que de verdad nos importa: que el modelo no se invente nada. Consolida duplicados y deja un Word o un PDF de marca listo para revisar. Un modelo que rellena huecos con datos que suenan bien es un pasivo en un informe de seguridad. Y algo que va de serie, todo dato que identifique a un cliente se elimina antes de entrenar, por diseño.
PentesterZero: el agente que hace bien el trabajo aburrido
PentesterZero es el agente autónomo de pentest, y lo hemos montado con toda la desconfianza que merece algo que lanza herramientas por su cuenta. Tiene un bucle de razonamiento, un cerebro local de una familia conocida de modelos que permitidme que no comparta y que propone acciones. Entre la propuesta y la ejecución hay una compuerta de seguridad determinista que autoriza o deniega: deniega por defecto, acota al objetivo, deja un registro de auditoría encadenado a prueba de manipulación y tiene un botón de parada. Solo después de pasar esa compuerta se ejecutan las herramientas: nmap, y de Burp, nuclei, gobuster y demás. Los hallazgos van a un almacén y, antes de que ninguno llegue a un informe, pasan por un verificador adversarial que revisa cada uno para matar falsos positivos y cruzar hallazgos entre los resultados de cada herramienta.
Hace el reconocimiento repetitivo de forma fiable y acotada, con el humano en el bucle, y le pasa los hallazgos ya verificados a ReportZero para que los redacte. Para el cliente la cuenta es sencilla: el analista deja de quemar horas en el recon mecánico y las dedica a la parte ofensiva que de verdad pide cabeza, y el informe llega antes sin perder la voz de la casa.
Si os quedáis con una idea, que sea esta. CuatrIA es la plataforma donde vive la empresa; el SGI la gobierna y la audita; LynxIA es la interfaz del equip, y detrás están los motores entrenados con nuestro propio material. Lo sensible se queda en casa: ningún dato de los sistemas de clientes viaja a APIs públicas de terceros, y el material de seguridad se procesa en local en LynxIA. Donde usamos piezas externas, es para ayudarnos a desarrollar y mantener el código base de todos estos proyectos, nunca de cliente.
En definitiva, no os vamos a decir que esto esté terminado, porque no lo está y probablemente no lo esté nunca. Hay modos por madurar y modelos por afinar. Pero la dirección es firme y la hemos recorrido construyendo la pila nosotros, siendo fieles a nuestra esencia y al Plan Estratégico que nos hemos marcado.