Pentesting asistido por IA: Claude + Kali MCP Server

Un modelo de lenguaje no reemplaza al pentester, pero sí puede convertirse en un copiloto que acelera el reconocimiento, correlaciona hallazgos y redacta evidencia mientras tú decides. En este artículo montamos un flujo de pentesting asistido conectando Claude a un Kali MCP Server, y explicamos cómo hacerlo de forma controlada, auditable y dentro del alcance autorizado.

1. Qué es un MCP Server y por qué importa aquí

El Model Context Protocol (MCP) es un estándar abierto que permite a un modelo como Claude invocar herramientas externas a través de un servidor intermediario. En lugar de copiar y pegar salidas de comandos en un chat, el modelo solicita la ejecución de una herramienta, recibe el resultado estructurado y razona sobre él.

Un Kali MCP Server expone el arsenal de Kali Linux (nmap, ffuf, nuclei, etc.) como tools que Claude puede llamar. El patrón mental es sencillo:

2. Arquitectura del laboratorio

Mantén siempre una separación clara entre el host donde corre Claude y la máquina Kali que ejecuta las herramientas. En nuestro lab usamos una VM Kali aislada en una red interna, sin acceso a producción, y un objetivo intencionalmente vulnerable (por ejemplo, una instancia de DVWA o un contenedor de laboratorio) dentro de la misma red.

# Topología del laboratorio
[ Claude (cliente MCP) ] --stdio/HTTP--> [ Kali MCP Server ]
                                              |
                                              v
                                   [ herramientas Kali ]
                                              |
                                              v
                              [ red interna 10.10.10.0/24 ]
                                              |
                                   [ objetivo autorizado ]

3. Instalación y conexión

Existen varias implementaciones comunitarias de un Kali MCP Server. La mayoría se registran en el cliente MCP declarando el comando que lanza el servidor y las variables de entorno con el alcance permitido. En Claude Code, la configuración vive en el archivo de servidores MCP:

// ~/.claude.json  (fragmento mcpServers)
"kali-mcp": {
  "command": "python",
  "args": ["-m", "kali_mcp_server"],
  "env": {
    "ALLOWED_CIDR": "10.10.10.0/24",
    "TOOL_ALLOWLIST": "nmap,httpx,ffuf,nuclei",
    "DRY_RUN": "false"
  }
}

Verifica que el servidor levanta y que el cliente lo descubre. En Claude Code, /mcp debe listar kali-mcp con sus herramientas disponibles. Si no aparece, revisa que el proceso del servidor arranque sin error en modo manual.

4. Un flujo real: de recon a evidencia

La clave no es pedirle a Claude “haz un pentest”, sino conducir una conversación por fases, donde el modelo propone y tú apruebas. Así se ve una sesión típica contra un objetivo autorizado.

Fase 1 — Descubrimiento

Arrancamos amplio y barato. Pedimos un barrido de puertos sobre el host autorizado y dejamos que Claude interprete la salida:

# Claude invoca la tool nmap vía MCP
nmap -sV -T4 --top-ports 1000 10.10.10.25

En vez de leer tú 40 líneas, Claude las resume: “Hay SSH (22), un Apache 2.4 en 80 y un servicio HTTP alternativo en 8080 que responde con un banner de Jetty. Sugiero priorizar el 8080.” Tú validas el razonamiento y decides el siguiente paso.

Fase 2 — Enumeración web

Con el servicio priorizado, encadenamos enumeración de rutas y fingerprinting. Claude propone el comando, tú lo apruebas y el MCP lo ejecuta dentro del CIDR permitido:

httpx -u http://10.10.10.25:8080 -title -tech-detect -status-code
ffuf -u http://10.10.10.25:8080/FUZZ -w /usr/share/wordlists/dirb/common.txt -mc 200,301,403

El modelo correlaciona: una ruta /console con 200 y un tech-detect que apunta a un panel administrativo conocido. Aquí es donde la IA aporta: cruza el hallazgo con patrones conocidos y sugiere una hipótesis de ataque — no la ejecuta por su cuenta.

Fase 3 — Verificación con nuclei

Antes de afirmar nada, verificamos con plantillas. Claude filtra los templates relevantes por tecnología detectada en lugar de lanzar todo el catálogo:

nuclei -u http://10.10.10.25:8080 -tags jetty,exposure,misconfig -severity medium,high

Fase 4 — Redacción de evidencia

El multiplicador real de productividad: Claude toma las salidas de cada fase y redacta el borrador del hallazgo en el formato de tu informe — descripción, impacto, pasos de reproducción, evidencia y remediación. Tú revisas, ajustas y validas antes de que entre al reporte final.

5. Buenas prácticas y límites

• Lista blanca de herramientas y red: el MCP solo ejecuta binarios y rangos aprobados. Todo lo demás se rechaza.
• Trazabilidad: registra cada comando ejecutado con timestamp. Un pentest asistido por IA debe ser tan auditable como uno manual.
• Confirmación humana para acciones intrusivas: enumerar es distinto de explotar. La explotación la apruebas tú.
• No filtres datos sensibles al modelo: cuida qué outputs (credenciales, PII del cliente) viajan al contexto. Anonimiza o redacta en origen.
• La IA alucina: verifica siempre contra la herramienta real. Un CVE “sugerido” no es un CVE confirmado.

6. Conclusión

El pentesting asistido por IA no es automatizar el hacking: es quitarte de encima lo repetitivo para que inviertas tu criterio donde importa. Claude + un Kali MCP Server bien acotado te dan un copiloto que enumera rápido, correlaciona bien y documenta por ti — siempre bajo tu control y dentro del alcance autorizado. El siguiente post entra en el pentesting de aplicaciones Android con el marco OWASP MASVS / MSTG.

Fuentes

• Model Context Protocol — Documentación oficial (qué es MCP y cómo se conectan las herramientas)
• OWASP Top 10 for LLM Applications — OWASP GenAI Security Project (riesgos de usar LLM en flujos sensibles)
• Kali Linux — Documentación de herramientas (nmap, ffuf, nuclei, httpx)