Presentamos Pathbreak

Por el equipo de Pathbreak · 18 de julio de 2026 · 4 min de lectura

Puntos clave

Pathbreak encuentra las rutas de ataque en tu nube que usaría un atacante real, y demuestra que funcionan.
Razona sobre tus identidades, roles y relaciones de confianza, y después confirma cada cadena resolviendo la autorización real. Funciona en modo de solo lectura.
Por cada ruta que confirma, obtienes el único cambio que la rompe, de modo que corriges ese enlace en lugar de clasificar miles de hallazgos.
AWS hoy, con cobertura profunda de los movimientos del plano de control como la escalada de privilegios de IAM y el abuso de confianza entre cuentas. Azure y Microsoft Entra ID llegarán después.
Es Adversarial Exposure Validation (AEV), alimenta un programa de CTEM y no es breach and attack simulation.

La mayoría de las herramientas de seguridad son buenas enumerando lo que está mal en tu nube y malas priorizándolo. Escanean cada cuenta, informan de miles de hallazgos y dejan que tu equipo averigüe cuál puñado podría encadenar un atacante, así que el backlog crece y la única configuración errónea que te compromete queda en la fila 4,000, donde nadie tiene tiempo de sacarla.

Creamos Pathbreak para responder la otra pregunta: qué cadenas de tu nube conectan todo el camino hasta un administrador o hasta datos sensibles.

Cómo se mueven los atacantes

Los atacantes buscan rutas a través de una nube. La pregunta que se hacen es cómo pasar de un punto de apoyo a un administrador o a datos sensibles. Esa ruta es una ruta de ataque, una cadena de pequeños pasos a través de identidades, roles, relaciones de confianza y recursos, donde cada paso parece anodino por sí solo pero, encadenados, llegan al administrador de la cuenta.

Un solo permiso, un rol que puedes asumir, una política demasiado amplia que nadie recuerda haber adjuntado: ninguno de estos merece una alerta por sí solo. La cadena que forman sí la merece, y los escáneres la pasan por alto porque comprueban cada pieza por separado.

Qué hace Pathbreak

Pathbreak construye un grafo de las identidades, roles y relaciones de confianza reales de tu nube. Un agente explora ese grafo en busca de cadenas que podrían escalar privilegios, convirtiendo preguntas en consultas precisas, y después resuelve la autorización de principio a fin para confirmar cuáles de esas cadenas llegan a un administrador o a datos sensibles. Cuando una cadena se resuelve, Pathbreak te muestra la ruta y el cambio exacto que la rompe.

Hay más sobre la mecánica en cómo funciona y las cadenas que cubrimos en la página de rutas de ataque. Encontramos las cadenas candidatas, demostramos cuáles son reales resolviendo tu autorización y te damos la única edición que corta cada una.

Qué queremos decir con validado

Muchas herramientas te dibujan un grafo de todo lo que podría ocurrir en teoría, y la mayoría de esos enlaces fallan en cuanto resuelves la autorización que hay detrás. Pathbreak sigue la autorización real de principio a fin y confirma que la ruta se resuelve, para que no tengas que probarla a mano para saber si funciona.

Hace todo esto en modo de solo lectura. Pathbreak razona sobre los metadatos de identidad y política para determinar si una cadena es explotable, de modo que nada se ejecuta contra tus recursos y nada se modifica. Lo explicamos en la página de Confianza y Seguridad, porque un producto que mapea cómo tomar el control de tu nube debería ser cuidadoso con las llaves.

Dónde funciona hoy

Hoy Pathbreak está hecho para AWS y profundiza en el plano de control: escalada de privilegios de IAM y abuso de confianza entre cuentas. Azure y Microsoft Entra ID llegarán después, con Google Cloud e híbrido en el roadmap. Preferimos ser fuertes en una nube que mediocres en cinco.

Dónde encaja Pathbreak

Si te gustan las etiquetas de categoría, esto es Adversarial Exposure Validation, y alimenta directamente un programa de CTEM. Pathbreak valida la exposición de forma continua e informa solo de las rutas que son alcanzables.

Qué viene a continuación

Seguiremos escribiendo aquí sobre las cadenas concretas con las que nos topamos, cómo se desarrolla la escalada de privilegios del plano de control en AWS y cómo averiguar qué hallazgos se encadenan en una ruta y cuáles no llevan a ninguna parte. Pathbreak está disponible hoy. Si quieres ver las rutas de ataque en tus propias cuentas de AWS, ven a saludar.

Preguntas frecuentes

¿Qué es Pathbreak?

Pathbreak es una plataforma de seguridad cloud agéntica que descubre y valida las rutas de ataque reales que un actor de amenazas podría encadenar en tu nube, y después te entrega el único cambio que rompe cada una. Funciona en modo de solo lectura e informa del pequeño número de rutas que se resuelven, de entre los miles de hallazgos que enumeraría un escáner.

¿En qué se diferencia Pathbreak de un escáner o un CSPM?

Los escáneres y las herramientas CSPM enumeran hallazgos aislados. Pathbreak razona sobre todo tu entorno, valida qué cadenas son explotables resolviendo la autorización real y muestra solo las rutas que se resuelven, con la solución que corta cada una.

¿Es Pathbreak breach and attack simulation?

No. Pathbreak no dispara payloads de prueba contra tus controles para medir la detección. Razona sobre tu autorización real para demostrar hasta dónde podría llegar un atacante, en modo de solo lectura. Es Adversarial Exposure Validation, y alimenta un programa de CTEM.

¿Qué nubes admite Pathbreak?

Pathbreak está hecho para AWS hoy, con la cobertura más profunda de las cadenas del plano de control como la escalada de privilegios de IAM y el abuso de confianza entre cuentas. Azure y Microsoft Entra ID llegarán después, con Google Cloud e híbrido en el roadmap.