SwarmAttackerNotas de campo
El blog de SwarmAttacker: notas desde el enjambre.
Construimos un agente autónomo de pruebas de penetración que se gana la vida entrando en aplicaciones web. Por el camino, mucha sabiduría convencional sobre cómo dar prompts a los LLM resultó ser errónea. Esto es lo que los datos mostraron realmente. ¿Nuevo por aquí? Empieza por cómo funciona SwarmAttacker o los resultados del benchmark.
Preguntas que la gente hace sobre SwarmAttacker
¿Qué es SwarmAttacker?
SwarmAttacker es un agente autónomo de pruebas de penetración en caja negra, de código abierto. Dale una URL y un enjambre de agentes LLM mapea el objetivo, encuentra vulnerabilidades e informa de lo que halló. El código tiene licencia MIT y es gratuito en GitHub.
¿Cómo se evalúa SwarmAttacker?
Cada cifra publicada procede del benchmark de validación XBOW: 104 aplicaciones web vulnerables reales, en contenedores, cada una con una Flag oculta, abordadas en caja negra solo desde la URL. SwarmAttacker resuelve el 94% de ellas en una sola pasada, frente al 85% del mejor de cinco pentesters humanos.
¿Con qué modelos se ejecuta SwarmAttacker?
Por defecto usa GPT-5.x a través de una suscripción a ChatGPT Plus o Pro vía el backend de Codex, así que no hay clave de API ni factura por token. También se ejecuta con la API de OpenAI, Anthropic, OpenRouter o un modelo local; nuestra entrada del benchmark de rechazos muestra cuáles de 16 modelos harán realmente trabajo de seguridad.
¿Es legal ejecutar SwarmAttacker?
Solo contra sistemas que poseas o estés explícitamente autorizado a probar. SwarmAttacker es una herramienta para pruebas de penetración autorizadas, y su trabajo sobre los rechazos de los filtros de seguridad existe para que las pruebas autorizadas no queden bloqueadas, no para permitir ataques a objetivos sobre los que no tienes permiso.