Burpwn: un proxy de seguridad pensado para auditar agentes AI

Quien haya auditado una aplicación web sabe que Burp Suite es el punto de partida: interceptas el tráfico HTTP, lo inspeccionas, lo modificas y buscas dónde falla la lógica de negocio. Ahora esa misma premisa aterriza en el mundo de los agentes AI. Burpwn, publicado esta semana y recogido en Hacker News, es un proxy diseñado específicamente para sentarse entre un agente AI y las herramientas o APIs externas que este invoca.

El proyecto está en una fase muy temprana —apenas dos puntos en HN y cero comentarios en el momento de escribir esto—, pero el enfoque merece atención porque toca un problema real que la comunidad lleva meses señalando: los agentes autónomos toman decisiones y ejecutan acciones, y hasta ahora apenas teníamos visibilidad sobre qué mandan, a quién y con qué contexto.

Qué hace exactamente

Burpwn actúa como capa de interceptación entre el agente y sus destinos externos: MCP servers, APIs REST, herramientas web, lo que sea que el agente llame durante su ciclo de vida. La idea es reproducir el flujo que cualquier pentester conoce:

• Interceptar la petición antes de que llegue al destino.
• Inspeccionar el payload completo, incluyendo el contexto que el agente adjunta.
• Modificar o bloquear la llamada para probar cómo reacciona el agente.
• Registrar el historial de llamadas para análisis posterior.

En el ecosistema Claude actual, esto cobra sentido inmediato. Claude Code puede orquestar subagentes, invocar MCP servers y ejecutar hooks en cada evento del ciclo de vida. Cada uno de esos puntos es superficie de ataque potencial: prompt injection en la respuesta de un servidor MCP, exfiltración de datos a través de una herramienta comprometida, o simplemente comportamientos inesperados que solo se detectan observando el tráfico real.

Por qué importa ahora

La seguridad ofensiva en AI está varios pasos por detrás del despliegue. Las empresas llevan meses poniendo agentes en producción —conectados a bases de datos, sistemas internos y APIs de terceros— sin disponer de herramientas equivalentes a las que usan para auditar aplicaciones web convencionales. Burp Suite tardó años en convertirse en lo que es; proyectos como Burpwn sugieren que alguien está empezando a construir ese stack para agentes.

El problema de fondo no es trivial. Un agente AI no genera tráfico HTTP predecible: el contexto que envía a cada herramienta varía en función del estado de la conversación, las instrucciones del sistema y los resultados previos. Eso hace que los proxies genéricos sean difíciles de usar directamente: necesitas entender la semántica de los mensajes, no solo los bytes.

Si Burpwn incorpora lógica específica para parsear el formato de llamadas de herramientas —el esquema JSON que usan MCP y otras interfaces de agentes— podría ser genuinamente útil para equipos de red team que quieran mapear qué información sale del perímetro cuando un agente trabaja.

Para quién es útil hoy

En su estado actual, el perfil de usuario más obvio es el investigador de seguridad o el red teamer que ya trabaja con agentes y quiere inspeccionar el tráfico sin montar una solución casera con `mitmproxy` y scripts Python ad hoc. También puede interesar a equipos que desarrollan MCP servers propios y quieren verificar que no están filtrando datos sensibles en sus respuestas.

Para equipos de producto que despliegan agentes en entornos de producción, aún es pronto: la herramienta necesita documentación, casos de uso validados y probablemente integración con los flujos de CI/CD antes de ser operativa en ese contexto.

Una pieza que faltaba

No sabemos aún cuánto recorrido tendrá Burpwn ni si el autor lo mantendrá activamente. Lo que sí es claro es que el problema que intenta resolver —visibilidad y control sobre lo que hacen los agentes cuando nadie mira— no va a desaparecer. Cuanto antes la comunidad empiece a construir y refinar herramientas de este tipo, mejor posicionados estaremos cuando los requisitos de auditoría de agentes pasen de recomendación a obligación regulatoria.

Desde EP, lo seguiremos de cerca. Un proxy específico para agentes es exactamente el tipo de herramienta que el ecosistema necesita, aunque este en concreto todavía tenga que demostrar que está a la altura del nombre que lleva.