IA ofensiva para proteger APIs: la apuesta de Equixly

Un cheque de 10 millones para reforzar la seguridad del backend moderno

Equixly ha cerrado una ronda de financiación Serie A por 10 millones de euros, liderada por la firma de capital riesgo 33N Ventures, con la participación de Alpha Intelligence Capital, JME Ventures, 360 Capital y Fondazione Cassa di Risparmio di Firenze. La startup, con sede en Italia y fundada en 2022, emplea agentes de inteligencia artificial para realizar pruebas de penetración automatizadas sobre APIs, identificando vulnerabilidades que pasan desapercibidas para métodos tradicionales.

Este impulso financiero permitirá a Equixly reforzar su equipo de I+D, mejorar sus modelos de IA propietarios y abrir una sede comercial en Reino Unido a comienzos de 2026, con el objetivo de expandir su presencia internacional.

¿Qué distingue a Equixly en seguridad API?

Del «scan» superficial a un hacker digital continuo

Las APIs constituyen hoy el corazón de muchas arquitecturas digitales: interconectan servicios, habilitan integraciones y facilitan operaciones críticas. Pero esa complejidad también amplía la superficie de ataque. Equixly aborda ese reto con agentes de IA que simulan comportamientos reales de hackers, capaces de razonar sobre flujos de negocio, lógica interna, interacciones entre endpoints y posibles combinaciones de uso. Esta aproximación permite descubrir vulnerabilidades sofisticadas —como fallos en lógica de negocio, rutas ocultas o errores en dependencias entre APIs— que los escáneres automáticos convencionales o las auditorías manuales suelen pasar por alto.

Según sus métricas, la plataforma detecta hasta un 80 % más vulnerabilidades que las herramientas estándar de Dynamic Application Security Testing (DAST), y consigue mantener los falsos positivos por debajo del 1 %, facilitando que los equipos de desarrollo y seguridad se enfoquen en problemas reales. Además, su capacidad de mapear el ecosistema completo de APIs ayuda a identificar entre un 10 % y 20 % de los llamados endpoints sombra —puntos de conexión olvidados o no documentados— que suponen un riesgo oculto.

¿Por qué llega ahora esta inversión? Un contexto de amenaza creciente

El auge de arquitecturas basadas en APIs ha convertido estos sistemas en uno de los vectores de ataque preferidos por los ciberdelincuentes. Se estima que muchos ataques actuales ya se dirigen específicamente a endpoints de API —explotando lógica interna, workflows y accesos aparentemente legítimos— en lugar de buscar fallos técnicos evidentes.

Las metodologías tradicionales —auditorías manuales puntuales o escáneres automáticos genéricos— resultan insuficientes: las primeras son lentas y costosas, las segundas carecen de contexto. En un entorno donde las empresas despliegan decenas, incluso cientos de APIs, se vuelve impracticable mantener una seguridad robusta sin automatización avanzada. Equixly se posiciona como una solución adaptada a esa realidad: ofrece tests continuos, integrados en los flujos de desarrollo (CI/CD), capaces de evolucionar con el software.

Qué implica para empresas y desarrolladores

• Detección temprana y continua: al integrar pruebas automatizadas a lo largo del ciclo de desarrollo, vulnerabilidades críticas pueden detectarse antes de llegar a producción.

• Cobertura más profunda y realista: gracias a la IA, no solo se identifican fallos aislados, sino combinaciones complejas de rutas, dependencias y lógica de negocio.

• Reducción de costes y esfuerzo humano: con falsos positivos prácticamente residuales, los equipos de seguridad no pierden tiempo en alarmas irrelevantes.

• Mejor visibilidad del entorno: el mapeo exhaustivo de APIs ayuda a descubrir shadow endpoints, un importante riesgo oculto.

Para grandes empresas con ecosistemas complejos —financieras, energéticas, retail o tecnología— esta propuesta ofrece un claro valor añadido.

Qué puede deparar el futuro

Equixly busca convertirse en una plataforma de referencia para la seguridad de APIs, escalando a nivel internacional. Con los fondos recién obtenidos planea ampliar su equipo, mejorar sus modelos de IA y lanzar operaciones comerciales en nuevos mercados. A medio plazo, su éxito podría impulsar una tendencia más amplia: la adopción de IA ofensiva —simulaciones de ataque automatizadas— como estándar en la seguridad del software, reemplazando gradualmente las auditorías manuales tradicionales.

Este giro podría redefinir lo que entendemos por “seguridad por defecto” en entornos API: no como algo reactivo o puntual, sino como un proceso continuo, integrado y razonado por máquinas capaces de pensar —y anticipar— como atacantes.

En un mundo cada vez más interconectado, la apuesta de Equixly muestra que la inteligencia artificial no solo sirve para crear: también puede convertirse en la primera línea de defensa.