Pruebas de penetración y detección de vulnerabilidades para dispositivos edge, tanto para las empresas que los fabrican como para las que los gestionan.
Probamos el hardware, el firmware, los enlaces de radio, la aplicación complementaria, la API en la nube y la IA integrada en los dispositivos conectados, ya sea en nuestro laboratorio o de forma remota, de acuerdo con las «Reglas de Compromiso» que su empresa firma previamente.
Hemos detectado el CVE-2026-24148 en NVIDIA Jetson.
El NIST la califica con un 9,4 (crítica) y NVIDIA, en su calidad de autoridad de numeración CVE, la califica con un 8,3 (alta). La hemos notificado a NVIDIA y ya se ha corregido en Jetson Linux 35.6.4 y 36.5.
Lo que probamos
Hardware y firmware
Puertos de depuración como UART, JTAG y SWD; el firmware extraído del dispositivo y desmontado; el arranque seguro; la forma en que se firman las actualizaciones; y las claves y contraseñas almacenadas en la placa.
Red y radio
Los servicios que el dispositivo expone en la red, así como sus conexiones Wi-Fi, Bluetooth Low Energy, de telefonía móvil y otros enlaces de radio.
Aplicación complementaria y API en la nube
La aplicación móvil que controla el dispositivo y la API en la nube que la respalda, incluyendo si la cuenta de un cliente puede acceder a los dispositivos de otro cliente.
Modelos de IA integrados en el dispositivo
Si el modelo puede copiarse del dispositivo, engañarse con entradas manipuladas, manipularse mediante la inyección de indicaciones cuando se trata de un modelo de lenguaje, o sustituirse por un archivo alterado.
Desde la primera llamada hasta la repetición de la prueba
Definición del alcance
Acordamos qué dispositivos, versiones de firmware, aplicaciones y servicios en la nube se someten a prueba, y cuáles quedan excluidos.
Contrato y acuerdo de confidencialidad (NDA)
Un acuerdo de confidencialidad, y a continuación un contrato que establece el precio, la responsabilidad y el seguro.
Reglas de Compromiso firmadas
Alcance, plazos de las pruebas, técnicas permitidas, personas de contacto y procedimiento de interrupción, todo ello firmado por una persona con autoridad sobre todos los dispositivos incluidos en el alcance. Ninguna prueba comienza antes de que se haya firmado dicho acuerdo.
Pruebas
En nuestro laboratorio, sobre los dispositivos que nos envíe, registrados desde su llegada hasta su devolución, o de forma remota a través de una conexión que usted nos facilite, siempre dentro de los plazos acordados. Se le notificará de inmediato cualquier hallazgo crítico.
El informe
Para cada hallazgo: su gravedad, las pruebas, los pasos para reproducirlo y cómo solucionarlo. A continuación, se celebra una reunión para revisar el informe.
Nueva prueba y divulgación de la vulnerabilidad
La repetición de las pruebas en los elementos que haya corregido está incluida en el precio. Cualquier fallo en un componente de otra empresa se notificará a dicho proveedor con su consentimiento.
Las «Reglas de Compromiso» firmadas
Qué se prueba, qué no se prueba y cuándo
Los dispositivos, las versiones de firmware, las direcciones, las aplicaciones y los servicios en la nube incluidos en el alcance, los excluidos, así como los días y las horas en que pueden realizarse las pruebas.
Lo que podemos y no podemos hacer
Una línea por técnica, marcada como «permitida», «no permitida» o «solo con su autorización por escrito en ese momento». Las pruebas que puedan dañar un dispositivo se ejecutarán únicamente en las unidades que usted haya reservado para ello.
¿Quién puede detener la prueba y cómo?
Cualquiera de las partes puede detener las pruebas con una simple llamada al contacto de emergencia de la otra parte. Las pruebas solo se reanudarán tras su confirmación por escrito.
Una persona con autoridad sobre todos los dispositivos incluidos en el alcance
Realizar pruebas en un sistema sin el consentimiento de su propietario puede constituir un delito según la Ley de Uso Indebido de Ordenadores de 1990 del Reino Unido y el Código Penal turco, por lo que no se inicia nada hasta que se haya firmado este documento. Cuando un dispositivo o servicio pertenece a un tercero, como un proveedor de servicios en la nube o uno de sus clientes, también se adjunta su consentimiento.
Páginas relacionadas
Preguntas que plantean los compradores
¿Quién debe firmar las «Reglas de Compromiso»?
Una persona de su empresa con autoridad sobre todos los dispositivos y servicios incluidos en el alcance, normalmente un director o el responsable de seguridad. Si un servicio se ejecuta con un proveedor en la nube o un dispositivo pertenece a uno de sus clientes, confirmamos su autorización antes de someterlo a prueba.
¿Pueden las pruebas dañar nuestros dispositivos?
Algunas pruebas de hardware sí pueden. Se ejecutan únicamente en las unidades que se reservan para ellas en las «Reglas de Compromiso», y todo lo demás se prueba de forma que el dispositivo siga funcionando.
¿Qué ocurre si se detecta un fallo en un chip o componente que no hemos fabricado nosotros?
Se lo comunicamos primero a usted. Con su consentimiento, lo notificamos al proveedor del componente de forma confidencial y solicitamos un identificador CVE. El nombre de su empresa no aparecerá en ninguna publicación a menos que usted lo autorice.
¿Guarda esto relación con la Ley de Ciberresiliencia de la UE?
Desde el 11 de septiembre de 2026, los fabricantes que comercialicen sus productos en la UE deben notificar las vulnerabilidades explotadas activamente en sus productos en un plazo de 24 horas, y los requisitos completos de la Ley se aplicarán a partir del 11 de diciembre de 2027. Nuestro informe recoge lo que se ha sometido a prueba, lo que se ha detectado y lo que se ha corregido.
Indíquenos qué dispositivo desea que se someta a prueba.
Le enviamos un breve cuestionario de alcance y, a continuación, un borrador de las «Reglas de Compromiso» para que lo revise antes de firmar nada.
Hablemos