Drael vs NotHoly: Drael no es una herramienta profesional

Drael (drael.sh) vende una suscripción a un único modelo que no identifica, de parte de un operador al que sus términos nunca nombran, con herramientas que corren en su propio servidor. NotHoly vende acceso prepagado a modelos con la base publicada, de parte de una empresa nombrada en sus términos, y su infraestructura nunca toca un objetivo. Para trabajo profesional de seguridad no consideramos que Drael sea una opción.

Datos recogidos el 9 y el 10 de noviembre de 2026 en el sitio de Drael, su documentación y sus páginas legales, y en los precios de NotHoly. Los precios cambian, así que revisa los dos antes de comprar. No abrimos una cuenta en Drael, y nada de lo que sigue califica la calidad de sus respuestas.

#Drael y NotHoly lado a lado

Cada fila sale de una página que puedes abrir. Las que deciden un trabajo para un cliente son el vendedor, el modelo y el lugar donde corre el código, y Drael pierde en las tres.

	Drael (drael.sh)	NotHoly
Vendedor nombrado en los términos	No, solo "the operator"	Sí, con CNPJ, ley aplicable y foro
Modelos	Un alias, drael-v1, con pesos de origen no revelados	Un catálogo, con la base de cada modelo publicada
Entrada mínima a la API	R$ 199 / US$ 70 por cuatro semanas	Recarga de US$ 5, los créditos no vencen
Modelo de cobro	Bloque de suscripción; uso extra medido	Prepago, medido por token; tarifa por modelo en los precios
Control de la salida	Razonamiento forzado al usar clave, max_tokens descartado	Fijas max_tokens y el razonamiento; el gateway los respeta
Contexto	128K en Pro, 248K en Max	Indicado por modelo en los modelos
Formato de API	Compatible con OpenAI	Compatible con OpenAI y con Anthropic
Ejecución de código	En el servidor de Drael, con red activada por un flag	En tu máquina a través del CLI, con tu aprobación
Equipos	Nada en la documentación pública	Organizaciones, roles, espacios de trabajo y registro de auditoría
Pago	La doc lista tarjeta, Pix y cripto; el endpoint público devolvió un solo procesador de cripto	Tarjeta y cripto, sin Pix
Reporte de vulnerabilidades	security.txt devuelve 404	security.txt publicado y página de seguridad

La tarifa de entrada que publica Drael parece baja, pero solo se llega a ella después del bloque de US$ 70, y su línea de salida, la cara, se factura con un razonamiento que no puedes apagar al usar clave.

#Nadie firma el contrato de Drael

Los términos de Drael llaman al vendedor "the operator" (el operador) y no dan empresa, registro, dirección, ley aplicable ni foro. Los únicos contactos son un buzón de soporte y un servidor de Discord. Los términos de NotHoly nombran al titular por su CNPJ, con ley aplicable y foro.

Los mismos términos te cargan a ti las reclamaciones de terceros: "If someone makes a claim against the operator because of how you used Drael or what you did with an answer, you take responsibility for it, including the reasonable cost of defending it." Si alguien reclama contra el operador por cómo usaste Drael o por lo que hiciste con una respuesta, respondes tú, costo razonable de la defensa incluido. La responsabilidad del propio Drael se detiene en "what you paid in the three months before the claim", lo que pagaste en los tres meses previos a la reclamación. O sea, indemnizas a una parte a la que no puedes nombrar, y esa parte limita su propia exposición a tres meses de suscripción. Nuestra lectura de los términos va cláusula por cláusula.

#Un solo modelo, sin revelar, y una documentación que registra sus fallos

La documentación de chat describe drael-v1 como "a public alias over weights that are ours to change", un alias público sobre pesos que Drael puede cambiar. No dice cuáles son esos pesos. Un ID de modelo desconocido lo responde el mismo alias sin error, y la página de límites dice "we prepend a system prompt you never see" (anteponen un prompt de sistema que nunca ves).

La documentación también deja constancia de cómo falla el modelo. Con el razonamiento activo y max_tokens en 4000, "returned an empty answer in 22 of 24 runs": respuesta vacía en 22 de 24 ejecuciones. Con el razonamiento apagado, "a terminal session ran one command thirty times", una sesión de terminal ejecutó un mismo comando treinta veces. La respuesta de Drael fue forzar el razonamiento en todas las llamadas de API y descartar tu max_tokens. El artículo sobre drael-v1 explica qué le hace eso a un hallazgo que tienes que reproducir.

NotHoly publica cada base en la página de modelos. La mayoría son abliterated, lo que significa que la dirección de rechazo se eliminó de los pesos y el resto se conservó, como describe nuestra explicación. No los entrenamos, y aun así pueden equivocarse o rechazar.

#Cuánto cuesta entrar

La API de Drael solo existe en el bloque de cuatro semanas o en el plan anual, así que la compra mínima de API es de R$ 199 / US$ 70. Un plan semanal responde plan_required. El "mes" de Drael son cuatro semanas, lo que da 13 pagos al año. NotHoly empieza con una recarga de US$ 5, y el crédito no vence.

Tarifa pública de Drael drael-v1, por millón de tokens, USD	Entrada	Entrada en caché	Salida
Uso extra y Enterprise	0,18	0,04	1,40

Dentro del plan, Drael promete volumen "within fair use" (dentro de un uso razonable) y no publica la tasa por minuto, porque "is being set against real usage", se está ajustando con el uso real. NotHoly cobra por token sin ningún plan alrededor, con la tarifa y la base de cada modelo en los precios y en los modelos. El artículo sobre los precios y el del costo de la API tienen la aritmética.

#Tu trabajo corre en la máquina de ellos

run_code, web_fetch y breach_lookup se ejecutan del lado de Drael, en un bucle de hasta diez turnos, y la documentación de herramientas dice "You never see the intermediate turns": los turnos intermedios nunca los ves. Su página de privacidad dice "A page you ask it to fetch sees a request from our server" (la página que le pides descargar ve una solicitud de su servidor). En un trabajo para un cliente, eso deja en los logs del cliente una dirección que nadie listó en el alcance. Nuestro artículo sobre la ejecución en el servidor explica por qué lo consideramos un defecto.

La misma documentación describe la capacidad que hay detrás: "Everybody being served at once shares one machine" (todos los atendidos a la vez comparten una máquina), y un modelo atascado en un bucle de herramientas "on a GPU this product owns is an outage rather than a bill", que en una GPU propia del producto es una caída y no una factura. Drael no publica ninguna cifra de capacidad ni un SLA. En nuestra opinión, esas frases describen un servicio que corre sobre muy poco hardware.

En NotHoly ninguna herramienta del servidor escanea, explota ni envía tráfico activo a un tercero. El CLI ejecuta los comandos en tu máquina, desde tu dirección, después de que apruebes cada uno.

#Un sitio que parece sin terminar

El enlace "Pricing" del menú es un ancla en la página de inicio, y /pricing devuelve 404 mientras los términos te dicen que consultes "the plan page". El enlace "Help" del pie redirige al inicio de sesión. Los ejemplos del quickstart llaman a https://YOUR-HOST/v1. El sitio se ofrece en nueve idiomas y las páginas legales existen en dos. A nuestro juicio es un producto publicado antes de que alguien lo revisara, y el artículo sobre el sitio de Drael lista lo que encontramos.

#Dónde encaja cada uno

Drael encaja con un usuario solo que quiere un chatbot sin censura con generación de imágenes y Pix y nunca va a nombrar la herramienta en un contrato ni en un alcance. NotHoly encaja con un trabajo con cliente y alcance: un vendedor nombrado por su CNPJ, un modelo cuya base puedes citar, comandos que corren desde tu propia dirección y una cuenta de equipo con roles y registro de auditoría. NotHoly no tiene SOC 2 ni ISO 27001 y exige un correo, como consta en la página de confianza; no genera imágenes y no acepta Pix.

#Preguntas frecuentes

#¿Qué es drael.sh?

El sitio de Drael, una suscripción con chat sin censura, un modelo llamado drael-v1, ejecución de código en el servidor, generación de imágenes y consultas de filtraciones. Sus términos identifican al vendedor solo como "the operator".

#¿Es seguro Drael para trabajo profesional?

No pondríamos ahí el trabajo de un cliente. El vendedor no tiene nombre, el modelo no se revela, el tráfico sale del servidor de Drael y los términos te pasan a ti las reclamaciones de terceros.

#¿Drael tiene API?

Sí, compatible con OpenAI, solo en los planes de cuatro semanas o anuales. La entrada mínima es de R$ 199 / US$ 70.

#¿Cuál es la mejor alternativa a Drael para pentest?

Una que ejecute en tu máquina, que nombre su modelo y que se nombre a sí misma en el contrato. NotHoly hace las tres cosas; consulta pentesting. También comparamos Venice AI con NotHoly.

#Veredicto

Drael es un vendedor sin nombre con un único modelo sin nombre y un servidor que actúa en tu lugar. Eso le sirve a quien quiere un chatbot sin censura con generación de imágenes y Pix, dos cosas que NotHoly no ofrece. No le sirve a un trabajo con alcance y cliente. NotHoly no tiene SOC 2 ni ISO 27001 y exige un correo; la página de confianza dice lo que sí tenemos. Empieza con US$ 5 en los precios de NotHoly.