Perché i professionisti non portano un incarico su Drael

Un incarico per un cliente richiede un fornitore che puoi nominare, traffico da indirizzi che stanno nel perimetro, una traccia che qualcun altro possa verificare e una risposta chiara sui dati del cliente. Drael fallisce su tutti e quattro i punti, nelle sue stesse pagine pubbliche. Per come leggiamo il suo sito, è costruito e venduto come chatbot consumer per chi non vuole domande, e noi non gli avvicineremmo i sistemi di un cliente.

Dati raccolti il 9 e il 10 novembre 2026 dal sito di Drael, dalla sua documentazione e dai suoi termini, e dai prezzi di NotHoly. Non abbiamo aperto un account Drael, quindi questa è una valutazione di ciò che Drael pubblica.

#La valutazione del fornitore che Drael non supererebbe

Qualunque cliente con un processo di procurement manda un questionario prima che uno strumento tocchi i suoi dati. Queste sono le prime domande di rito, con le risposte ricavate dalle pagine pubbliche di Drael.

Domanda	Drael	NotHoly
Chi è la controparte contrattuale?	"the operator", senza società, registrazione o indirizzo	Indicata nei termini con il CNPJ, la legge applicabile e il foro
Da dove parte il traffico di test?	Dal server di Drael, per run_code, web_fetch e breach_lookup	Dalla tua macchina, tramite la CLI, dopo la tua approvazione
Possiamo vedere cosa ha fatto lo strumento?	"You never see the intermediate turns" (i turni intermedi non li vedi mai)	Ogni comando ti viene mostrato prima di essere eseguito
Organizzazioni, ruoli, audit log?	Assenti dalla documentazione pubblica	Nella console, con workspace e chiavi con limiti
DPA e sub-responsabili indicati per nome?	Assenti dalla documentazione pubblica	Nessun DPA pubblicato
Certificazione di sicurezza?	Nessuna dichiarata	Né SOC 2 né ISO 27001
Dove segnaliamo una vulnerabilità?	security.txt restituisce 404	security.txt e pagina di sicurezza pubblicati
Come contattiamo il supporto?	Una casella di posta e un server Discord; il link Help richiede il login	Pagina dei contatti, email sull'account

Nemmeno NotHoly supera ogni riga: non abbiamo un DPA pubblicato né certificazioni, e la pagina Trasparenza lo dice. La differenza è che c'è una società a cui mandare il questionario.

#Le regole d'ingaggio vogliono nomi e indirizzi

NIST SP 800-115 mette gli IP sorgente autorizzati e le sedi di test nelle regole d'ingaggio, firmate dal management e dal responsabile del test. Il glossario del NIST definisce il termine allo stesso modo, e PTES chiede un'approvazione separata quando è coinvolta una terza parte.

I tool di Drael trasmettono dal server di Drael. La sua pagina sulla privacy dice "A page you ask it to fetch sees a request from our server." La pagina che gli fai scaricare vede una richiesta dal suo server. Quegli indirizzi non puoi elencarli in un perimetro, perché nella sua documentazione non ne abbiamo trovato un elenco, e l'operatore non puoi aggiungerlo all'accordo, perché i termini non dicono chi sia. Il nostro post sull'esecuzione lato server ne ripercorre le conseguenze.

#Dati del cliente, senza un contratto che li copra

Per l'articolo 28 del GDPR, un responsabile del trattamento lavora in base a un contratto scritto. Nella LGPD, l'articolo 39 impone all'operatore, cioè al responsabile del trattamento, di seguire le istruzioni del titolare, e l'articolo 42 li rende responsabili in solido. Nelle pagine pubbliche di Drael non abbiamo trovato né un DPA, né un accordo sul trattamento, né un sub-responsabile indicato per nome.

Abbiamo trovato invece una pagina sulla privacy che dice "nothing you ask goes to a third party's API" (niente di ciò che chiedi va all'API di un terzo) e, qualche riga più sotto, che la ricerca nei breach "sends the identifier you asked about to the lookup service and the databases it consults", cioè manda l'identificatore cercato al servizio di lookup e ai database che consulta. La documentazione sui tool dice che la generazione di immagini "is cash at a provider per attempt": a ogni tentativo è denaro pagato a un provider. Quali terzi ricevano cosa è una domanda che le pagine di Drael sollevano e lasciano senza risposta. Per questo la OWASP LLM Top 10 elenca "Unclear T&Cs and data privacy policies of the model operators" (termini e politiche sulla privacy poco chiari da parte di chi gestisce i modelli) sotto LLM03.

L'IBM Cost of a Data Breach Report 2025 ha trovato shadow AI nel 20% delle organizzazioni studiate, con un aggravio fino a US$ 670.000 per violazione, e il 63% privo di una governance dell'IA. Un consulente che incolla i dati di un cliente in un account senza email, senza società e senza contratto è quella statistica.

#Un account che nessuno può amministrare

Un account Drael è un nome, una password e un codice. Non c'è un'email, quindi non c'è un indirizzo per un avviso di incidente. Non c'è un'organizzazione, quindi un collaboratore esterno che se ne va si tiene l'account e tutto ciò che contiene. Ogni piano consente quattro risposte alla volta, e per averne di più la documentazione consiglia "separate accounts", account separati.

La documentazione descrive anche il servizio da cui un team dipenderebbe: "Everybody being served at once shares one machine" (tutti quelli serviti nello stesso momento condividono una macchina), e la pagina di stato mostra un contatore di richieste "since the server last started", dall'ultimo avvio del server, senza storico degli incidenti. A nostro parere è un deployment su scala da hobby, e Drael non pubblica uno SLA che lo smentisca.

#Per chi è fatto il prodotto

Il titolo della home page è "Nothing It Won't Answer" (niente a cui non risponda). Le tre cifre dell'hero sono zero risposte rifiutate, un giorno come piano più economico e nessun dato personale. Promette immagini con "nothing blurred", niente di sfocato, e "the OSINT nobody else will run", l'OSINT che nessun altro esegue. Nella pagina niente parla di perimetro, cliente, report o team.

La leggiamo come una proposta rivolta a un singolo che vuole un'IA senza domande, e il prodotto le corrisponde: registrazione anonima, pass giornaliero, generazione di immagini, un Discord per il supporto. Non pensiamo sia stato costruito per il lavoro professionale, e non siamo riusciti a trovare una pagina in cui Drael dica che lo è. Il post sul sito di Drael guarda la copy e la realizzazione.

#Dove si colloca ciascuno

Drael va bene per un hobby: un account personale, un pass giornaliero, generazione di immagini e un Discord, senza nessun cliente né perimetro di mezzo. NotHoly va bene per un incarico che qualcuno paga: una società nel contratto, comandi che partono dal tuo indirizzo, un modello che puoi nominare e un account che un team può amministrare. NotHoly non ha un DPA pubblicato né certificazioni, quindi un cliente che li richiede dovrebbe prima chiedere dalla pagina enterprise.

#Domande frequenti

#Qual è la migliore IA per il pentest professionale?

Una che esegue dai tuoi indirizzi, dichiara il suo modello in un modo che puoi citare e mette il proprio nome in un contratto. NotHoly è costruito attorno a questo; vedi pentesting.

#Un'azienda può usare Drael?

Niente le impedisce di comprare un piano. Comprerebbe da un venditore senza nome, senza funzioni per i team, senza DPA e con una manleva a favore del venditore.

#Cosa deve contenere il contratto di uno strumento per il pentest?

Una controparte con un nome, la legge applicabile, le condizioni di trattamento dei dati e un'indicazione chiara di dove lo strumento esegue e di cosa conserva.

#NotHoly ha un DPA?

Non uno pubblicato. Se il tuo cliente lo richiede, chiedi dalla pagina enterprise.

#È legale usare un'IA uncensored in un incarico per un cliente?

Di rado la questione legale è il modello. Lo sono il permesso, il perimetro e il trattamento dei dati, e dipendono da dove gira lo strumento e da chi lo gestisce.

#Verdetto

Drael non si può nominare in un contratto, elencare in un perimetro o verificare a posteriori, e i suoi termini rimandano a te qualunque pretesa di terzi. Per un hobby può non importare. Per un lavoro che qualcuno ti paga perché sia fatto con cura, esclude lo strumento. NotHoly esegue i comandi sulla tua macchina e mette una società nel contratto; aggiungi US$ 5 dai prezzi di NotHoly e leggi il confronto completo.