OpenAEV añade cadenas de ataque: probar la secuencia entera, no técnica a técnica

Filigran ha añadido a OpenAEV, su plataforma abierta de emulación de adversarios, un tipo de escenario que ha bautizado como Attack Chaining. La idea: en lugar de validar los controles de seguridad contra técnicas sueltas, como hacen la mayoría de los programas de simulación de brechas, la herramienta encadena varias en una secuencia viva y comprueba si el conjunto pasa o se cuela por los huecos entre herramientas.

El problema de probar de una en una

El argumento que da la compañía es razonable. Un EDR puede cazar el payload, el SIEM puede disparar la regla, la simulación de phishing puede fallar. Y aun así la intrusión completa funciona, porque lo que importa no es cada control por separado sino si la cadena entera se detecta. Con las piezas probadas en aislamiento, un atacante que enlaza acceso inicial, robo de credenciales, escalada, movimiento lateral y exfiltración puede atravesar el entorno mientras todos los informes dicen que no hay problema.

Para respaldarlo, Filigran cita su propio informe sobre gestión de amenazas: el 93% de los responsables de seguridad dice haber sufrido un incidente con impacto de negocio en los últimos doce meses, el 88% afirma que la IA acelera el movimiento del atacante una vez dentro y el 84% señala las herramientas en silos y las pruebas desconectadas como causa de que las exposiciones pasen desapercibidas. Son cifras de la casa, no de un tercero independiente. El ejemplo que ponen es el asalto a la DGFiP francesa en 2025: ningún paso era exótico por sí solo, pero la secuencia sí.

Qué hace la función

Lo interesante técnicamente es cómo decide el siguiente paso. La cadena no sigue un guion fijo: captura la salida real de cada acción (una credencial válida, un puerto abierto, un token, un permiso mal configurado) y con eso decide a dónde ir después. Si la credencial sirve, pivota; si un control bloquea el paso, para o redirige. Todo se dibuja en un grafo interactivo en tiempo real, y cada resultado queda como hallazgo trazable: por qué se ejecutó la acción, qué devolvió y cómo condicionó el siguiente movimiento. De ahí salen los chokepoints, los puntos donde un solo arreglo tumba todo lo que viene detrás.

Filigran vende esto frente al red team clásico por precio y frecuencia: minutos por ejecución y tantas veces como haga falta, en lugar de una instantánea una o dos veces al año. La lógica de encadenado es reutilizable e inspeccionable, y hay controles de alcance para acotar activos y objetivos antes de lanzar nada.

Falta lo de siempre en este tipo de anuncios: no hay repositorio enlazado, ni número de versión, ni demo pública. Quien tenga OpenAEV desplegado tendrá que mirar la documentación del proyecto para ver si la función ya está en su rama y qué cambia respecto a los escenarios que venía usando.