Por qué un profesional no lleva engagements a Drael

Un engagement con un cliente exige un proveedor al que se pueda nombrar, tráfico que salga de direcciones incluidas en el alcance, un registro que otra persona pueda auditar y una respuesta clara sobre los datos del cliente. Drael falla en las cuatro cosas, y lo hace en sus propias páginas públicas. Tal como leemos su sitio, está construido y vendido como un chatbot de consumo para quien no quiere que le hagan preguntas, y no acercaríamos a él los sistemas de un cliente.

Datos recogidos el 9 y el 10 de noviembre de 2026 en el sitio de Drael, su documentación y sus términos, y en los precios de NotHoly. No abrimos una cuenta en Drael, así que esto es una revisión de lo que Drael publica.

#La revisión de proveedor que Drael no pasaría

Cualquier cliente con un proceso de compras manda un cuestionario antes de que una herramienta toque sus datos. Estas son las primeras preguntas habituales, respondidas con las páginas públicas de Drael.

Pregunta	Drael	NotHoly
¿Quién es la parte contratante?	"the operator", sin empresa, registro ni dirección	Identificada en los términos por su CNPJ, con ley aplicable y foro
¿De dónde sale el tráfico de las pruebas?	Del servidor de Drael, en run_code, web_fetch y breach_lookup	De tu máquina, a través del CLI, después de tu aprobación
¿Podemos ver qué hizo la herramienta?	"You never see the intermediate turns"	Cada comando se te muestra antes de ejecutarse
¿Organizaciones, roles, registro de auditoría?	No aparecen en la documentación pública	En la consola, con claves con límite y espacios de trabajo
¿DPA y subencargados con nombre?	No aparecen en la documentación pública	Sin DPA publicado
¿Certificación de seguridad?	No declara ninguna	Sin SOC 2 ni ISO 27001
¿Dónde reportamos una vulnerabilidad?	security.txt devuelve 404	security.txt publicado y página de seguridad
¿Cómo contactamos con soporte?	Un buzón y un servidor de Discord; el enlace de Help exige iniciar sesión	Página de contacto, correo asociado a la cuenta

NotHoly tampoco pasa todas las filas: no tenemos un DPA publicado ni certificaciones, y la página de confianza lo dice. La diferencia es que existe una empresa a la que enviarle el cuestionario.

#Las reglas de engagement necesitan nombres y direcciones

El NIST SP 800-115 coloca las IP de origen autorizadas y los lugares desde los que se prueba dentro de las reglas de engagement, firmadas por la dirección y por quien lidera la prueba. El glosario del NIST define el término del mismo modo, y PTES pide una aprobación aparte cuando interviene un tercero.

Las herramientas de Drael envían desde el servidor de Drael. Su página de privacidad lo dice: "A page you ask it to fetch sees a request from our server." (la página que le pides descargar ve una solicitud de su servidor). Esas direcciones no se pueden listar en un alcance, porque no encontramos ninguna lista de ellas en la documentación, y tampoco se puede sumar al operador al acuerdo, porque los términos no dicen quién es. Nuestro artículo sobre la ejecución en el servidor repasa las consecuencias.

#Datos del cliente sin un contrato que los cubra

Según el artículo 28 del RGPD, un encargado del tratamiento trabaja bajo un contrato escrito. En la LGPD, el artículo 39 obliga al operador a seguir las instrucciones del responsable y el artículo 42 los hace responsables solidarios. No encontramos ningún DPA, ningún acuerdo de tratamiento ni ningún subencargado con nombre en las páginas públicas de Drael.

Lo que sí encontramos es una página de privacidad que afirma "nothing you ask goes to a third party's API" (nada de lo que preguntas va a la API de un tercero) y que, unas líneas más abajo, dice que la consulta de filtraciones "sends the identifier you asked about to the lookup service and the databases it consults", es decir, manda el identificador consultado a un servicio de búsqueda y a las bases que este consulta. La documentación de herramientas dice que la generación de imágenes "is cash at a provider per attempt", dinero pagado a un proveedor por cada intento. Qué terceros reciben qué cosa es una pregunta que las páginas de Drael plantean y dejan sin contestar. Por eso el OWASP LLM Top 10 incluye "Unclear T&Cs and data privacy policies of the model operators" dentro de LLM03.

El IBM Cost of a Data Breach Report 2025 encontró shadow AI en el 20% de las organizaciones estudiadas, con hasta US$ 670.000 añadidos al costo de una brecha y un 63% sin gobernanza de IA. El consultor que pega datos de un cliente en una cuenta sin correo, sin empresa y sin contrato es esa estadística.

#Una cuenta que nadie puede administrar

Una cuenta de Drael es un nombre, una contraseña y un código. No hay correo, así que no existe una dirección para un aviso de incidente. No hay organización, así que el contratista que se va se lleva la cuenta con todo lo que contiene. Todos los planes permiten cuatro respuestas a la vez, y el consejo de la documentación para tener más es "separate accounts", cuentas separadas.

La documentación también describe el servicio del que dependería un equipo: "Everybody being served at once shares one machine" (todos los atendidos a la vez comparten una máquina), y la página de estado muestra un contador de peticiones "since the server last started", desde el último arranque del servidor, sin historial de incidentes. En nuestra opinión eso es un despliegue a escala de hobby, y Drael no publica ningún SLA que lo desmienta.

#Para quién está hecho el producto

El titular de la página de inicio es "Nothing It Won't Answer" (nada que no vaya a responder). Sus tres cifras destacadas son cero respuestas rechazadas, un día como plan más barato y ningún dato personal. Promete imágenes con "nothing blurred" (sin nada difuminado) y "the OSINT nobody else will run", el OSINT que nadie más ejecuta. En toda la página no se menciona un alcance, un cliente, un informe ni un equipo.

Lo leemos como una oferta dirigida a una persona que quiere una IA que no haga preguntas, y el producto encaja con ella: registro anónimo, pase de un día, generación de imágenes y un Discord como soporte. No creemos que se haya construido para trabajo profesional, y no dimos con ninguna página en la que Drael diga que sí. El artículo sobre el sitio de Drael examina los textos y la construcción del sitio.

#Dónde encaja cada uno

Drael encaja con un hobby: una cuenta personal, un pase de un día, generación de imágenes y un Discord, sin cliente ni alcance de por medio. NotHoly encaja con un engagement que alguien te paga: una empresa en el contrato, comandos que corren desde tu propia dirección, un modelo que puedes nombrar y una cuenta que un equipo puede administrar. NotHoly no tiene DPA publicado ni certificación, así que un cliente que los exija debería preguntar primero en la página enterprise.

#Preguntas frecuentes

#¿Cuál es la mejor IA para pentest profesional?

Una que ejecute desde tus direcciones, que nombre su modelo de forma que puedas citarlo y que se nombre a sí misma en un contrato. NotHoly está construido alrededor de esas tres cosas; consulta pentesting.

#¿Puede una empresa usar Drael?

Nada le impide comprar un plan. Le estaría comprando a un vendedor sin nombre, sin funciones de equipo, sin DPA y con una indemnización que corre a favor del vendedor.

#¿Qué debe incluir el contrato de una herramienta de pentest?

Una contraparte identificada, ley aplicable, condiciones de tratamiento de datos y una declaración clara de dónde ejecuta la herramienta y qué conserva.

#¿NotHoly tiene un DPA?

Publicado, no. Pídelo a través de la página enterprise si tu cliente lo exige.

#¿Es legal usar IA sin censura en un engagement con un cliente?

El modelo rara vez es la cuestión legal. Lo son el permiso, el alcance y el tratamiento de los datos, y esos dependen de dónde corre la herramienta y de quién la opera.

#Veredicto

A Drael no se le puede nombrar en un contrato, listar en un alcance ni auditar a posteriori, y sus términos te devuelven a ti cualquier reclamación de terceros. Para un hobby quizá no importe. Para un trabajo que alguien te paga por hacer con cuidado, eso descarta la herramienta. NotHoly ejecuta los comandos en tu máquina y pone una empresa en el contrato; añade US$ 5 en los precios de NotHoly y lee la comparación completa.