Recon pasivo y OSINT de stack IA

Superficie: Transversal (pre-engagement) ATLAS: AML.T0000 (Search Open Technical Databases), AML.T0002 (Acquire Public AI Artifacts), AML.T0003 (Search Victim-Owned Websites), AML.T0004 (Search Application Repositories) · Riesgo: N/A (recon) · Fase: Pre-engagement intel

Una oferta laboral de PhiloCorp menciona una base vectorial. Es una buena pista para la próxima entrevista, pero todavía no dice si ese componente llegó a producción, si sigue desplegado o si lo usa el asistente que estamos evaluando. Ese es el valor del reconocimiento público: formular mejores preguntas antes de gastar solicitudes contra el sistema.

Esta página combina fuentes de terceros con revisión autorizada de información pública. Conviene distinguirlas: consultar una copia indexada o un registro de DNS pasivo evita una solicitud directa al objetivo; abrir su sitio o consultar su DNS autoritativo sí puede tocarlo y dejar registros. «Público» y «pasivo» no son sinónimos.

El rastro público

Repositorios publicados, documentación, avisos laborales institucionales, inventarios entregados y registros históricos autorizados. Cada observación pasa al registro de supuestos con fuente, fecha y confianza.

Precondiciones

• Alcance definido y autorización para OSINT.
• Nombre de la organización, dominios, repos conocidos.

Cómo testearlo

1. Ofertas de trabajo. Buscá capacidades: recuperación vectorial, orquestación de agentes, servicio de inferencia, registro de modelos o gestión de secretos. Un nombre de producto puede orientar la búsqueda, pero una oferta describe lo que la organización busca, no lo que tiene desplegado.

2. Repos y forks públicos. Revisá dependencias, configuración e infraestructura como código publicados por la organización. Anotá archivo, versión y fecha; una dependencia puede ser de desarrollo o no estar en uso. Si aparece un posible secreto, registrá una referencia sanitizada y notificá. No intentes usarlo para «ver si funciona».

3. DNS y subdominios. Usá inventarios o registros históricos permitidos por el alcance. En el ejercicio de PhiloCorp, los nombres kb.philocorp.invalid y agent.philocorp.invalid se leen como datos del laboratorio: no se consultan en Internet. En un engagement real, una resolución directa o enumeración activa requiere el permiso correspondiente. El nombre de un host nunca confirma tecnología ni acceso.

4. Fuentes institucionales. Revisá documentación, changelogs, presentaciones técnicas y avisos publicados por la organización. Evitá perfilar personas o usar identidades atribuibles.

5. Artefactos públicos. Registrá metadatos de modelos, datasets o adaptadores publicados por el objetivo: versión, procedencia, formato y licencia. Es un insumo para supply chain. No hace falta descargarlo para esta fase. Su carga o deserialización posterior puede ejecutar código según el formato y la implementación, por lo que requiere otra evaluación.

6. Documentá en el assumption register. Cada hallazgo como hipótesis con confianza y fuente.

Límites y evidencia

• El recon pasivo no implica detección nula: plataformas y terceros pueden registrar consultas. Usá únicamente fuentes permitidas por el RoE y mantené un presupuesto de tiempo y evidencia.
• Detené la recolección si encontrás datos fuera de scope. Guardá una referencia sanitizada, no el contenido, y notificá por el canal acordado.

Checklist de verificación

• Stack de IA inferido (frameworks, vector DB, inference server, orquestación)
• Posibles exposiciones sensibles notificadas sin retener ni usar su contenido
• Subdominios/DNS de infra de IA identificados
• Todo cargado al assumption register con confianza y fuente

Impacto y escalada

Alimenta el fingerprinting activo y la enumeración de superficie, y prioriza crown jewels antes de la fase activa.

Remediación

La publicación de un stack o un nombre de host no constituye por sí sola una vulnerabilidad. Si identificás exposición indebida, corregí su causa: secretos publicados, artefactos accesibles fuera de la política o información clasificada como restringida. Rotar una credencial expuesta puede ser necesario aunque después se borre el archivo; cambiar un nombre de DNS no corrige un fallo de autorización.

El brief conserva las pistas que cambian una prueba, junto con lo que todavía falta confirmar. El próximo paso es contrastarlas con metadata y comportamiento autorizados.