Drael ejecuta tu exploit en su servidor. Es un defecto

Drael ejecuta en su propio servidor el código que escribe su modelo, y lo vende como la gran función. Para trabajo de seguridad es un defecto de diseño. El objetivo ve la dirección de Drael, tu alcance no la lista, los pasos intermedios se te ocultan y los términos te hacen responder a ti por el resultado.

Datos recogidos el 9 y el 10 de noviembre de 2026 en el sitio de Drael, su documentación de herramientas y sus páginas legales, y en los precios de NotHoly. No abrimos una cuenta en Drael ni corrimos su sandbox; todo lo que sigue está citado de sus páginas públicas.

#Qué vende Drael

La página de inicio lo resume en una frase: "It writes the scanner, the exploit, the fix nothing else will, and the sandbox behind it is real: the network is a flag on the call, not a permanent no." Escribe el escáner, el exploit y el arreglo, y el sandbox que hay detrás es real, con la red como un flag de la llamada. La herramienta es run_code. Ejecuta Python o bash en un contenedor de la infraestructura de Drael, dentro de un bucle del lado del servidor de hasta diez turnos del modelo.

Propiedad de run_code	Valor en la documentación de Drael
Dónde corre	Servidor de Drael, un contenedor por ejecución
Red	Apagada por defecto, se activa con network en la llamada
Duración	30 segundos por defecto, 5 minutos como máximo
Bucle del servidor	Hasta 10 turnos; "You never see the intermediate turns"
Archivos	"Files persist across calls in the same session"
Concurrencia	"One run at a time" por cuenta

El contenedor protege el host de Drael frente a tu código. No hace nada por el host que está al otro lado del flag network, que recibe los mismos paquetes desde una dirección que pertenece a Drael.

#De quién es la IP que llega al objetivo

De Drael. Su página de privacidad lo dice a propósito de las descargas de páginas: "A page you ask it to fetch sees a request from our server." (la página que le pides descargar ve una solicitud de su servidor). El código que corre en su contenedor con la red activada sale del mismo lado.

Paso	En Drael	En NotHoly
Leer una página pública	web_fetch, desde el servidor de Drael, "including sites behind bot protection"	read_url, solo páginas públicas, por una salida protegida contra SSRF
Enviar tráfico a un host	run_code con network activado, desde el contenedor de Drael	Ninguna herramienta del servidor lo hace; el CLI lo ejecuta en tu máquina, desde tu IP, después de tu aprobación
Llegar a un .onion	web_fetch a través de Tor	La búsqueda lista resultados y nunca abre el .onion
Manejar un archivo	Se adjunta a un workspace en el servidor donde corre el código del modelo	Los archivos subidos se analizan en un sandbox gVisor y nunca se ejecutan
Ver cada paso	Hasta 10 turnos de servidor que no ves	Cada comando te llega para que lo apruebes

El blue team del cliente trabaja con una lista de direcciones de origen. El tráfico que llega desde una dirección fuera de esa lista es un incidente, y como incidente se va a gestionar.

#Por qué eso rompe un alcance

Las reglas de engagement dicen desde dónde se hace una prueba. El NIST SP 800-115, en su Apéndice B, lista las IP autorizadas y no autorizadas en la sección 4 y los lugares desde los que se autoriza la prueba en la sección 2.3, con las firmas en la sección 7. PTES pide un Permission to Test firmado y una aprobación aparte cuando intervienen terceros.

Las direcciones de Drael no te corresponde declararlas a ti, y su operador no es parte de tu acuerdo. Al operador ni siquiera lo nombran sus propios términos, así que no podrías sumarlo al papeleo aunque quisieras.

Leyes como la 18 USC 1030 en Estados Unidos y el artículo 154-A del Código Penal brasileño giran en torno a la autorización. Si una autorización que lista tus direcciones cubre también el tráfico que sale de las de otro es una pregunta para tu abogado, y no quieres estar haciéndola después de que el SOC del cliente abra un ticket.

#La evidencia no es tuya

Un informe tiene que decir qué se envió, cuándo, desde dónde y qué volvió. La documentación de Drael dice "You never see the intermediate turns": los turnos intermedios nunca los ves. Lo que recibes es el relato del modelo sobre lo que hizo. El OWASP LLM Top 10 llama a esta clase de problema LLM06, Excessive Agency: un bucle que toma acciones de red sin ningún punto de control.

Los datos también se quedan allí. La página de privacidad enumera lo que se conserva: "Your conversations, image prompts, the code you ran and your instructions", es decir, conversaciones, prompts de imagen, el código que ejecutaste y tus instrucciones, y también "The files your code wrote, in that conversation's workspace, for up to three days after it was last used." Son los archivos que escribió tu código, guardados hasta tres días después del último uso. El reloj se reinicia cada vez que lo usas. El NIST SP 800-115 pide reglas documentadas para almacenar y destruir los datos de la prueba (sección 7.4). En Drael, la salida de los sistemas de un cliente queda en un disco que administra un vendedor al que no puedes nombrar. Si la borras, la misma página dice que las copias de un backup "leave as backups are rotated", se van cuando rotan los backups, según un calendario que no indica.

#Quién responde cuando llama el cliente

Tú. Los términos de Drael dicen que ejecutar una respuesta o actuar a partir de ella "is your decision and your risk" (es tu decisión y tu riesgo), y que "If someone makes a claim against the operator because of how you used Drael or what you did with an answer, you take responsibility for it, including the reasonable cost of defending it."

De modo que el servidor de Drael envía el tráfico y los términos te pasan a ti la cuenta, con los costos de defensa del operador incluidos. La responsabilidad del propio Drael se detiene en tres meses de cuotas. Los mismos términos añaden: "Nothing Drael says is legal, medical, financial or security advice." Nada de lo que dice Drael es asesoría legal, médica, financiera ni de seguridad. Nuestra lectura de los términos tiene el resto.

#Dónde debe estar la ejecución

NotHoly mantiene la inferencia de nuestro lado y la ejecución del tuyo. Ninguna herramienta del servidor escanea, explota ni envía tráfico activo a terceros. El CLI ejecuta los comandos en tu máquina, cada uno con tu aprobación, desde la dirección que tus reglas de engagement ya listan, y el registro queda en el historial de tu shell y en tu captura de paquetes.

Eso te deja a ti la tarea de montar y contener tu propio entorno, que es lo que un tester hace de todos modos. Tus prompts siguen yendo a la inferencia de nuestro lado: el contenido de la API no se graba, solo los metadatos, y el historial del chat se guarda salvo que elijas un chat efímero. Cómo encaja con el trabajo real está en pentesting, red team y la página del harness.

#Dónde encaja cada uno

El sandbox en el servidor de Drael encaja con un usuario solo que quiere que el modelo ejecute su propio código y descargue páginas sin levantar una máquina, y que no manda ese tráfico contra los sistemas de nadie. NotHoly encaja con un trabajo con alcance firmado: la inferencia de nuestro lado, la ejecución del tuyo, cada comando lanzado desde tu propia dirección después de que lo apruebes, con el registro en el historial de tu shell y en tu captura de paquetes. La contrapartida es que tú montas y contienes tu propio entorno, que es lo que un tester hace de todos modos.

#Preguntas frecuentes

#¿Qué IP ve el objetivo cuando una IA ejecuta código?

La IP del lugar donde corre el código. Con Drael, la del servidor de Drael. Con un CLI en tu máquina, la tuya.

#¿Puedo usar en un pentest una IA que ejecuta código?

Sí, cuando ejecuta desde un lugar que tus reglas de engagement listan y puedes registrar cada comando. Una herramienta alojada que envía el tráfico por su cuenta necesita antes la aprobación escrita del cliente.

#¿Cuánto tiempo guarda Drael los archivos de run_code?

Hasta tres días después del último uso, según su página de privacidad, y el código que ejecutaste se guarda con tu historial.

#¿Quién responde si una IA alojada ataca el objetivo equivocado?

Los términos de Drael te cargan a ti las reclamaciones sobre tu uso, incluidos los costos razonables de defensa del operador.

#¿NotHoly ejecuta código en sus servidores?

No. La infraestructura no toca objetivos, y los archivos subidos se analizan sin ejecutarse.

#Veredicto

La ejecución en el servidor es la función con la que Drael se presenta y el motivo por el que no puede usarse con un cliente. Oculta los pasos, envía desde una dirección fuera de tu alcance, almacena la salida y te asigna la responsabilidad. Nosotros decidimos no construirla. Si tu trabajo tiene un alcance firmado, lee cómo gestiona la aprobación el CLI, añade US$ 5 en los precios de NotHoly y mantén los paquetes saliendo de tu propia dirección. Por qué un profesional no lleva engagements a Drael aplica la misma prueba al resto del producto.