CodeWall recauda 4 millones de dólares en una ronda presemilla para llevar agentes de ataque autónomos a la seguridad empresarial

Un equipo de seguridad puede corregir una vulnerabilidad y, aun así, dejar al atacante otra vía para acceder a los mismos datos. La pregunta más difícil es si se pueden combinar las debilidades de aplicaciones, identidades e infraestructura para llevar a cabo una intrusión.

CodeWall está construyendo su negocio en torno a responder continuamente a esa pregunta. La startup londinense ha salido del sigilo tras recaudar 4 millones de dólares en financiación presemilla, en una ronda liderada por Osney Capital, con la participación de InReach Ventures, Antler e inversores ángeles, según anunció el 14 de octubre.

La empresa desarrolla agentes de ataque autónomos que se aproximan a una organización desde el exterior, sin necesidad de credenciales, código fuente ni acceso interno. Su propuesta es ofrecer a los equipos defensivos una forma continua de descubrir y verificar vías explotables antes de que las utilice un agente malicioso.

De una lista de debilidades a pruebas de una vía de ataque

La visión técnica de CodeWall se centra en adaptar una investigación a medida que aparece nueva evidencia. La empresa sostiene que la escasez de especialistas en seguridad ofensiva y las evaluaciones periódicas dificultan que las organizaciones pongan a prueba un entorno que cambia entre una evaluación y otra.

En su anuncio, la empresa describe agentes especializados que investigan en paralelo y comparten descubrimientos mediante un grafo de investigación persistente. Un hallazgo en una aplicación puede orientar la investigación del siguiente agente sobre un servicio conectado, una identidad o un almacén de datos. El resultado previsto es un informe que explique qué se puede comprometer, cómo funciona la vía y qué pruebas respaldan esa conclusión.

En términos prácticos, un grafo representa las relaciones entre los hallazgos, en lugar de tratar cada alerta como un elemento aislado. Una conexión puede ser más importante que las debilidades individuales: una exposición en un límite podría permitir acceder a un segundo control. Esta explicación describe la idea arquitectónica; en el anuncio, CodeWall no ha revelado suficientes detalles de implementación como para evaluar cómo resuelve su grafo los hallazgos contradictorios o valida cada transición.

El sitio web de la empresa afirma que la plataforma traza las relaciones de confianza entre servicios, API e infraestructura, adapta su estrategia durante las investigaciones y genera pruebas de concepto reproducibles. Esas son afirmaciones sobre el producto. Su valor para una empresa depende de que los hallazgos sigan siendo reproducibles y pertinentes en su entorno.

Qué demuestra su investigación sobre McKinsey

CodeWall ya ha publicado investigaciones en las que describe debilidades en plataformas operadas por importantes empresas de consultoría. Su relato del 9 de marzo sobre las pruebas de la plataforma de IA Lilli de McKinsey es especialmente pertinente para las empresas que conectan aplicaciones de IA con conocimientos internos.

Según CodeWall, su agente obtuvo acceso de lectura y escritura a la base de datos de producción en menos de dos horas. La empresa atribuyó el punto de entrada a una interfaz sin autenticación y a un problema de inyección SQL relacionado con la forma en que se gestionaban los nombres de los campos de las solicitudes. La importancia residía en el acceso a los datos subyacentes y la configuración de la aplicación, no en un fallo del modelo de lenguaje en sí.

Los investigadores también analizaron las implicaciones de tener acceso de escritura a las instrucciones del sistema almacenadas: comprometer la infraestructura de una aplicación podría abrir una vía para modificar las instrucciones que rigen los resultados de IA considerados fiables. Se trata de una consecuencia potencial descrita en el informe, no de pruebas de que los consultores recibieran asesoramiento manipulado.

CodeWall afirma que comunicó los hallazgos a McKinsey, limitó el acceso a fines de verificación y confirmó que se habían corregido antes de publicarlos. Estos detalles proceden del informe de investigación del proveedor; no deben interpretarse como pruebas de que exista una vulnerabilidad activa ni como un indicador general que demuestre que sus agentes superan a los evaluadores humanos.

Las pruebas continuas cambian el desafío operativo

CodeWall afirma que su plataforma vuelve a evaluar los sistemas cuando cambian las aplicaciones, aparecen nuevos activos o se implementan correcciones, siempre dentro de un ámbito autorizado. Esto crea un ciclo de retroalimentación potencialmente útil: identificar una vía, corregir las debilidades que contribuyen a ella y comprobar si sigue funcionando.

Repetir las pruebas es importante porque cerrar un caso individual no demuestra necesariamente que haya desaparecido el riesgo empresarial original. Una corrección puede bloquear una vía y dejar otra disponible, o una implementación posterior puede revertir una corrección anterior.

La cobertura anterior de Unite.AI sobre las pruebas de penetración y la remediación autónomas examinó la misma tendencia hacia la validación repetida. CodeWall pone el énfasis en comenzar desde el exterior e investigar de forma coordinada los sistemas conectados. La similitud de los objetivos comerciales no implica que las arquitecturas de los agentes ni los controles de ejecución sean idénticos.

Una mayor frecuencia de las pruebas también aumenta la importancia de definir los límites operativos. Las empresas que evalúen una plataforma de este tipo deberían establecer los objetivos y las acciones permitidos, las normas para gestionar las pruebas, los procedimientos de escalamiento y la posibilidad de detener una investigación. Estos son criterios de evaluación, no capacidades confirmadas por el anuncio de financiación de CodeWall.

Qué permitirá desarrollar la financiación

El fundador y director ejecutivo Paul Price presenta la empresa como una forma de convertir las pruebas ofensivas en una capacidad defensiva permanente. CodeWall afirma que ya ayuda a bancos e instituciones financieras a identificar y verificar rutas de ataque explotables, aunque el anuncio no menciona clientes del sector financiero ni ofrece mediciones independientes del rendimiento.

La financiación respaldará la ampliación de los entornos que sus agentes pueden investigar, así como los flujos de trabajo de pruebas continuas, verificación y corrección. La empresa también prevé ampliar en Londres sus equipos de seguridad ofensiva, ingeniería, atención al cliente y desarrollo comercial.

Para los compradores, una distinción importante será hasta dónde llegan esos flujos de trabajo de corrección. Generar pruebas y recomendar una solución no es lo mismo que realizar automáticamente un cambio en producción. El anuncio no confirma que CodeWall implemente correcciones de forma autónoma, por lo que las empresas deberían aclarar quién aprueba y ejecuta esos cambios.

El indicador más sólido del progreso será la calidad de las decisiones de seguridad resultantes: rutas reproducibles, un impacto empresarial claro, un tratamiento adecuado de las pruebas sensibles y la confirmación de que la corrección elimina la exposición. La ronda de financiación presemilla de CodeWall le proporciona recursos para avanzar hacia ese modelo operativo. Ahora debe lograr que las pruebas adversariales continuas sean lo bastante fiables como para convertirse en una práctica habitual en las empresas.