¿Cómo puedo aprender sobre seguridad? ¿Hay algún curso recomendado?

Hay muchos cursos de seguridad y poca orientación sobre por dónde empezar. El camino más eficiente suele combinar práctica en un entorno seguro, lectura atenta de lo que hace el agente y una dirección clara.

Buena parte del aprendizaje viene de probar tus propias aplicaciones y leer paso a paso lo que intentó el agente.

Cuando aparezca algo que no entiendes, detente e investiga: ¿qué significa ese término? ¿Por qué intentó ese camino? ¿Qué impediría ese problema?

Decide también si te interesa la seguridad ofensiva (atacar para encontrar fallas, con autorización) o la defensiva (proteger): los cursos son diferentes. Y sé transparente con tus clientes sobre tu experiencia: no tener certificaciones no es un problema; fingir que eres especialista en todo sí lo es.

Empieza con lo que es tuyo

Prueba solo aplicaciones que hayas creado o entornos diseñados para practicar. Probar sistemas de terceros sin autorización por escrito puede ser un delito, incluso si tienes buenas intenciones.

Hay aplicaciones creadas intencionalmente con fallas para estudiar, como OWASP Juice Shop (de OWASP, una comunidad abierta dedicada a la seguridad de aplicaciones), que es gratuita y funciona en tu computadora. También hay CTF (Capture The Flag, competencias en las que se busca una falla oculta para ganar puntos), que son excelentes para practicar.

Lee lo que intentó el agente

Cuando le pides a un agente de IA que pruebe tu aplicación, el valor está en el registro de los pasos. Lee cada intento y pregúntate: ¿qué quería descubrir aquí? ¿Por qué siguió este camino? ¿Qué impediría que esto ocurriera?

¿Dejaste de entender un término? Detente e investígalo en ese momento. Este hábito convierte cada prueba en una clase hecha a la medida para tu propio sistema.

Seguridad ofensiva o defensiva

La seguridad ofensiva consiste en atacar para encontrar fallas, siempre con autorización. Incluye el pentest (prueba de penetración contratada). La seguridad defensiva consiste en proteger: configurar, monitorear y responder a incidentes.

Los estudios son diferentes. Para empezar en seguridad ofensiva en sistemas web, PortSwigger Web Security Academy es gratuita. TryHackMe y Hack The Box tienen opciones gratuitas y planes de pago, con rutas de ambos tipos. La lista OWASP Top 10 es una buena referencia inicial para ambas.

Honestidad sobre la experiencia

Dile al cliente lo que ya has hecho y lo que todavía no. No tener certificaciones no te impide empezar con trabajos pequeños. Prometer algo que no dominas es lo que destruye la confianza.

1. Decide si empezarás por el lado ofensivo o el defensivo.
2. Prepara tu propio entorno de práctica, como OWASP Juice Shop.
3. Pídele al agente que haga pruebas y guarda el registro completo de los pasos.
4. Investiga cada término o camino que no hayas entendido.
5. Elige una plataforma de estudio que se ajuste a la dirección que elegiste.
6. Escribe lo que aprendiste en un lenguaje sencillo, como si se lo explicaras a un cliente.

• Practicar en sitios reales de terceros, lo que puede ser ilegal incluso si no causas daños.
• Mirar solo el resultado final del agente y perder el aprendizaje que está en los pasos.
• Comprar cursos de ambos enfoques al mismo tiempo y dispersar el estudio.

• Prueba lo que es tuyo y lee los pasos del agente.
• ¿Dejaste de entender? Investiga en ese momento.
• Ofensiva o defensiva: elige antes del curso.

• CursoProfesional 2030 · Auditor de IAAlcance y autorización, inventario de riesgos e informe (no es pentest).
• Proyectoprof2030-labEmpresa ficticia con 12 fallas de IA plantadas para que practiques.
• Proyectoia-sem-censura-defensivaPractica haciendo pruebas en tu propia app, con reglas de alcance.

Algunos de estos materiales están en portugués.