OWASP Meetup+ Uruguay 2026

Agenda preliminar. Las charlas y los oradores se anuncian próximamente. Los horarios pueden cambiar.

1. 09:00

   Ingreso

2. 09:45
   Charla

   Apertura

3. 10:00
   Charla

   Hands on: agentes de IA en pentest

   Pablo Alzuri

   Ver resumen

   ¿Cuánto más rinde un pentester cuando trabaja con IA? Esta sesión recorre la evolución del uso de IA en el ethical hacking: desde los primeros usos como asistente para escribir exploits, con un caso real que pasó de hacerse a mano a resolverse en una fracción del tiempo, hasta los harness de agentes que se usan hoy.

   La parte central es práctica: mostramos cómo armar un harness de agentes y cómo aplicarlo, con OWASP Juice Shop como objetivo, en todas las etapas de un pentest de caja blanca, desde el reconocimiento y la identificación de la superficie hasta la detección, la explotación y el reporte. En cada etapa vemos qué hace el agente, qué hace la persona y cuánto tiempo se gana. Cerramos con los números reales de la corrida: hallazgos, cobertura, tiempo y costo, y analizamos cómo extender el enfoque a pentests de caja gris y caja negra.

   Una regla atraviesa toda la sesión: los agentes encuentran, las personas deciden.

4. 10:40
   Charla

   Caminos del deseo: cómo hacer que las personas quieran ser seguras

   Santiago Ingold

   Ver resumen

   En los parques, las personas suelen ignorar los senderos diseñados y crear sus propios caminos sobre el césped. Estos recorridos, conocidos como Desire Paths o caminos del deseo, revelan una realidad: las personas no siempre siguen los caminos previstos, sino los que les resultan más convenientes.

   En el desarrollo de software sucede algo similar. Diseñamos procesos, herramientas y controles de seguridad, pero los equipos encuentran atajos para evitarlos.

   ¿Y si, en lugar de intentar impedir esos comportamientos, empezáramos por comprenderlos?

   Esta charla propone una perspectiva diferente sobre el desarrollo seguro: observar los caminos que realmente recorren los desarrolladores para diseñar prácticas de seguridad que quieran adoptar.

   A través de ejemplos y una metodología sencilla, exploraremos cómo convertir la fricción en oportunidades de mejora.

   Quizás el desafío no sea construir más barreras, sino diseñar mejores caminos.

5. 11:20

   Coffee break 1

6. 11:50
   Charla

   Charla 3

   TBD

7. 12:30
   Charla

   ADversary: From User to Domain Admin

   Wander Astorga y German Marquez

   Ver resumen

   Una charla práctica sobre cómo comprometer un entorno de Active Directory desde una perspectiva ofensiva: empezando con una cuenta de dominio de pocos privilegios y avanzando hasta el control total del dominio.

   Veremos técnicas que aparecen de forma habitual en evaluaciones reales de AD: enumeración, abuso de credenciales, ataques Kerberos, configuraciones inseguras, escalada de privilegios, movimiento lateral y análisis de rutas de ataque hasta llegar a Domain Admin.

   La idea no es mostrar una colección de comandos, sino entender cómo distintas debilidades se conectan entre sí para formar una ruta de ataque completa: qué información buscar, cómo interpretarla y cómo decidir el siguiente movimiento.

   Orientada a pentesters, red teamers, blue teamers, profesionales de seguridad y estudiantes con base en Windows y Active Directory que quieran profundizar en seguridad ofensiva.

8. 13:10

   Almuerzo libre

9. 14:40
   Charla

   Una noche con ARTEX

   Andrés Gómez y Javier Gelós

   Ver resumen

   Este año nos tocó investigar una intrusión de una fintech llevada adelante con ARTEX, un framework de pentest agéntico. El atacante entró por un SSRF en una aplicación expuesta a internet, aunque no fue el SSRF lo que lo llevó lejos. Estuvo casi tres semanas juntando credenciales e intentando escalar sin suerte, hasta que encontró la llave donde nadie la estaba buscando. A partir de ahí todo se aceleró. Pasó de administrador de AWS a los clústeres de PCI en media hora, y en una sola noche recorrió lo que a un red team le lleva semanas, sin preocuparse demasiado por pasar desapercibido.

   En esta charla reconstruimos esa noche: cómo se movió entre la nube, la identidad y Kubernetes, qué fue dejando a su paso, y por qué aun haciendo ruido, llegó tan lejos. Vamos a mostrar qué rastro deja un agente y en qué se diferencia de un operador humano. Ninguna de las fallas que aprovechó era nueva; lo que cambió es la velocidad con la que un agente las encuentra y las encadena, y eso nos obliga a repensar cómo defendemos.

10. 15:20
    Panel

    Panel de ciberdelito

    Panelistas: TBD

11. 16:20

    Coffee break 2

12. 16:50
    Charla

    Confiás en tu IA. El atacante cuenta con eso.

    Maximiliano Alonzo

    Ver resumen

    Cómo manipular sus respuestas y acciones sin tocar el modelo.

    Un modelo puede funcionar exactamente como fue diseñado y, aun así, responder o actuar sobre una realidad manipulada. Esta charla analiza cómo se comprometen sus datos, fuentes, contexto y herramientas sin necesidad de modificar el modelo.

13. 17:30
    Charla

    Cierre