¿Qué es XBOW?
XBOW es una plataforma de seguridad ofensiva autónoma que prueba aplicaciones web y APIs, intenta explotar lo que encuentra y entrega hallazgos con evidencia y pasos de remediación. Se usa mediante una consola web y una API REST, y el proveedor dice que modelos de lenguaje grandes dirigen a su coordinador y a sus agentes de ataque.
Para quién es
Equipos de seguridad, auditoría y cumplimiento que quieren pruebas continuas de aplicaciones en lugar de un pentest anual puntual; el proveedor dice que la cobertura puede ir de una sola aplicación a miles. El proveedor la describe como una plataforma con venta por alcance y uso, por lo que apunta a organizaciones que hablarán con ventas y no a compradores de autoservicio.
Pros y contras
Puntos fuertes
- XBOW dice que cada hallazgo se demuestra con un exploit funcional y un rastro reproducible, confirmado por validadores independientes, y que los informes incluyen evidencia, severidad y remediación.
- La página de la plataforma lista controles de alcance, nivel de impacto (apagado, moderado o profundo), límites de tasa, ventanas de prueba, un modo de una sesión a la vez, aprobación humana opcional en la primera ejecución y pausa en cualquier momento.
- La página de la plataforma lista Jira y GitHub issues como destinos de tickets y una API para lanzar evaluaciones desde pipelines de lanzamiento; la documentación lista integraciones con Jira, Microsoft Sentinel y Security Copilot.
- La documentación de XBOW dice que los comandos de ataque los revisa otro modelo de IA que actúa como juez de seguridad, además de reglas deterministas, y que los exploits se demuestran de formas inocuas conocidas.
- XBOW dice que vuelve a probar una corrección tras su despliegue y confirma si el problema quedó cerrado.
- La página de precios dice que se vende en los marketplaces de AWS, Google, Oracle y Microsoft, para usar el gasto comprometido de acuerdos existentes.
Limitaciones
- La página de precios no lista planes ni montos: describe un precio basado en uso y definido según tu entorno, con un botón para pedir cotización y una página de demo.
- Un comunicado de noviembre de 2025 y un blog del proveedor dan un precio inicial de Pentest On-Demand de $6,000, pero el blog ahora incluye una nota del editor que dice que Lightspeed (el nombre en su título) quedó obsoleto desde 2026-07-16 y pide contactar a ventas, por lo que esa cifra puede ya no estar disponible.
- La página de precios no menciona un plan gratuito ni una prueba gratuita.
- La documentación de confianza de XBOW dice que la plataforma está alojada en AWS en Estados Unidos, con otras opciones de residencia en vista previa privada, y que la retención sigue una Política de Gestión de Datos que no se leyó, por lo que los plazos de retención no están confirmados.
- La página de la plataforma dice que reparte las tareas entre varios modelos pero no nombra ninguno, y que algunas clases de vulnerabilidades están en vista previa y no disponibles de forma general.
Planes y precios
- Platform: Personalizado. Precio basado en uso que escala con la cobertura, definido según tu entorno; pide una cotización o una demo. No se publican montos.
- Pentest On-Demand (Lightspeed, oferta anterior): Reportado: desde $6,000. Prueba de autoservicio con una URL objetivo y credenciales, resultados en cinco días hábiles y nueva prueba incluida, según un comunicado de nov. 2025. El blog dice que Lightspeed quedó obsoleto desde 2026-07-16, confirma con ventas.
Se leyó la página oficial de precios y no lista planes ni montos. La cifra de $6,000 viene de un comunicado y un blog del proveedor de noviembre de 2025 (Reportado) y contradice la nota posterior de obsolescencia del blog. La moneda es USD según lo listado; no se indica la base de facturación. Confirma en la página de precios actual.
Los precios y límites cambian; confírmalos antes de comprar. Página oficial de precios ↗
Fuentes
Este perfil se elaboró a partir de estas páginas públicas. No hemos hecho pruebas prácticas.
XBOW: de un vistazo
XBOW es una plataforma de seguridad ofensiva autónoma que prueba aplicaciones web y APIs, intenta explotar lo que encuentra y entrega hallazgos con evidencia y pasos de remediación. Se usa mediante una consola web y una API REST, y el proveedor dice que modelos de lenguaje grandes dirigen a su coordinador y a sus agentes de ataque.
Probar XBOW →