How we ended up creating an AI Hacking Firm in 2026

Cathie Wood recently pointed out the brutal math of modern warfare in the Middle East: defending against a $20,000 autonomous drone often requires firing a million-dollar interceptor missile.

The economics of defense are fundamentally broken. This isn’t just a technology problem; it’s a game theory problem. The attacker plays a game where they only need to win once. The defender plays a game where they must win every single time. The attacker has the ultimate asymmetrical advantage. They don’t need a standing army; they just need a swarm.

A few months ago, while building our health-tech startup in stealth mode, I realized this exact same terrifying asymmetry had just arrived in cybersecurity.

If you are a CTO or a technical founder today, you are defending your perimeter with million-dollar missiles. You are paying $50,000 for manual red team engagements or buying six-figure enterprise SaaS scanners that dump 200-page PDFs of false positives on your desk. You are relying on static, manual, heavy, and expensive defense mechanisms.

Meanwhile, the attackers have figured out the drone swarm.

On February 26, 2026, the reality of this asymmetry was fully exposed. According to Israeli cybersecurity firm Gambit Security—which emerged from stealth with $61 million in funding—a single threat actor working from a laptop abused Claude Code to orchestrate a massive attack on Mexico’s federal infrastructure [link to SecurityWeek report]. They extracted 150 gigabytes of data containing 195 million taxpayer records across multiple Mexican government agencies including the SAT, INEGI, and state databases.

While some government agencies stated they found no evidence of a breach and denied the impact, Gambit’s technical investigation documented a different reality. The attacker didn’t use state-sponsored zero-days. They used an orchestration of AI models to parse schemas, write custom exploit scripts, and adapt to patches in real-time.

The state used million-dollar defenses. A “nobody” with a laptop and an AI infiltrated them.

The Era of “Vibe Hacking”

In the software world, we are living through the “Vibe Coding” revolution. AI allows lean teams to ship complex code at lightspeed. But if we can build that fast, attackers can find our flaws just as fast.

This is the dawn of Vibe Hacking. Let’s be clear about what this is and what it isn’t. It is not just running an automated vulnerability scanner or asking a chatbot to write a phishing script. Vibe Hacking is the deployment of autonomous AI agents that mimic human intuition, dynamically generate custom payloads, and pivot through infrastructure without human supervision. They don’t just follow a checklist; they reason, they adapt to failures, and they improvise when blocked. In November 2025, Anthropic reported the first AI-orchestrated cyber espionage campaign. Today, it’s the new normal.

When patient data is on the line, you can’t defend against a dynamic AI swarm with a quarterly compliance checklist. We looked at our own infrastructure and realized we were sitting ducks. Even worse, because we were pushing code faster than ever, our attack surface was changing constantly. The speed of “vibe coding” demands a completely new speed of “vibe defense.”

I went looking for a solution to secure both our legacy and modern infrastructure. I looked at boutique security agencies and enterprise SaaS platforms. I want to be clear and humble here: I am not discrediting these companies. They have sophisticated products and brilliant analysts who have been doing this for decades.

But they weren’t built for the speed and budget of a lean team practicing “Vibe Coding.” I didn’t have $50,000 and a month to wait for a static report, and the enterprise tools were out of our reach.

I took my team aside and said:

“We can’t keep buying expensive missiles. We need to build our own drone swarm.”

The Perfect Storm

The timing was perfectly aligned. In January and February 2026, all the pieces fell into place. We discovered OpenClaw—an open-source agent orchestration framework—right as Anthropic dropped their new Claude 4.6 models.

We realized we could merge these two worlds.

We aren’t a 100-person cybersecurity conglomerate. We are a lean team of hard-tech operators. We spent weeks doing the heavy lifting: securing the environment, equipping the agents with Kali Linux toolchains, obsessively calibrating the prompts, and—most importantly—curating and integrating external intelligence tools.

The Real Secret Sauce: Connecting the Dots

Having a smart agent isn’t enough. Nation-state attackers and elite hacking syndicates don’t just scan ports; they use deep Threat Intelligence. They monitor the dark web, scrape underground channels, and buy access to zero-day marketplaces.

We integrated our system with legitimate, enterprise-grade threat intelligence partnerships—similar to the services elite security firms use to monitor the public threat landscape. Suddenly, our Claude-native system wasn’t just a smart scanner; it was a highly capable machine that understood the threat landscape the way elite security teams do.

The “Aha” Moment

When we finally deployed our fully calibrated machine with proper authorization parameters and pointed it at our own legacy infrastructure, the result was chilling.

It didn’t just run a generic scan. The intelligence agent cross-referenced our footprint against the deep web feeds. The reconnaissance agent found an exposed port. The exploitation agent dynamically selected the exact payload for that specific version and verified root access without crashing the system. Then, the reporting agent analyzed the breach, eliminated its own false positives, and handed our developers the exact code snippet needed to patch the hole.

It’s important to be honest here: our swarm is not a replacement for a veteran security researcher doing a deeply sophisticated, weeks-long manual audit. We are the new kids on the block using drones. But our drones worked. It found our real holes in hours, ignored the noise, and told us how to fix them for a fraction of the cost.

I looked at the terminal output and realized what we had just done. We hadn’t just built a tool. We had parked an autonomous F-16 in our garage.

The Playbook

I am writing this because the barrier to entry for military-grade offensive cybersecurity has collapsed. The lone wolves already have their drone swarms.

We built PentestClaw out of pure survival instinct to protect our own house. We are completely open about what this is: a Claude-native defensive security platform running ethically four autonomous agents (SPECTER, RADAR, VENOM, SENTINEL) fueled by premium intelligence partnerships.

The playbook is out there. Yes, it is technically possible to build it yourself. You can download OpenClaw and get a Claude API key. But “possible” and “practical” are very different. The premium intelligence feeds alone will cost you $50,000 to $100,000+ annually. The prompt calibration requires weeks of obsessive tuning by someone who deeply understands both frontier AI and offensive security. Your total investment is likely north of $200,000.

We aren’t highlighting this to brag, and we certainly aren't claiming to be better than the cybersecurity giants who paved the way. We are highlighting it because the alternative for startups like us—trying to fight autonomous swarms with expensive, analog methods we can't afford—is no longer viable. We had to build our own defense.

The Demonetization Event

But here's the uncomfortable economic truth nobody wants to admit: this isn't just a technology shift. It's a demonetization event.

When Anthropic announced Claude Code Security in February 2026, the stocks of CrowdStrike, Cloudflare, Okta, Zscaler, and Tenable plunged 10-15% in a single day. Billions in market value evaporated because the market realized a harsh truth: a $50k manual red team engagement now has to compete in a world where an attacker can generate real firepower with a $40 Claude API call.

This pattern is already happening everywhere. Deezer just demonetized 85% of AI-generated music streams because AI made music production so cheap that the economics of the business model collapsed. Professional services firms are watching 30-50% of their audit and advisory work get automated away. And now, cybersecurity—an industry built on expensive manual labor—is experiencing the same shock.

The barrier to entry didn't just collapse. The entire pricing model collapsed with it.

---

Legal & Compliance: We operate strictly within authorized, legal boundaries. Every test is conducted on infrastructure we own or have explicit written permission to test. The uncomfortable truth is not that we operate in a gray zone—we operate in clear legal boundaries. What IS gray is the speed asymmetry: AI-driven offense has outpaced AI-driven defense. This is weaponized mathematics.

PentestClaw uses Claude Code for defensive security purposes. Our use complies with Anthropic’s Usage Policy. We require explicit written authorization for all tests. Clients are responsible for legal compliance. We comply with LFTR, LFPDPPP, LGPD, CFAA, and CCPA.

---

The Future of Vibe Defense

But we already built it. We use it to protect our own startup every day. The crazy part? Even after patching everything it flags, our machine still finds new ways to exploit us as we ship new code. In fact, when we pointed it at our own infrastructure swearing we were bulletproof, our own swarm breached us 3 separate times. The total API token cost for those attacks? Less than $40.

It is scary. Our security standard changed from testing every three months to running a sanity check every single week. Our engineering culture changed completely. We discovered how fascinating this technology is, and how terrifying it can be at the same time.

By 2028, traditional manual penetration testing will be obsolete. By 2030, the primary attack vector won’t just be a vulnerability in your code—it will be a vulnerability in your organizational behavior, exploited by autonomous agents. By 2032, the only companies that survive will be those that operate under the assumption that their infrastructure is already compromised.

In five years, I want a world where every CTO knows exactly what an autonomous AI agent sees when it looks at their infrastructure. I want a world where “Vibe Defense” is as common as “DevOps,” and where that terrifying asymmetry is finally balanced. That’s what we’re building toward.

Recently, we started quietly letting a few other founders and CTOs run the magic on their infrastructure to see what it finds.

The barrier to entry for offensive cybersecurity has permanently collapsed. The hackers already have their autonomous agents. It’s time the rest of us had them too.

Vibe Defense has officially been born.

If you are a CTO, you need to be ready for what you’ll find.

Sean bienvenidos a la Edición No. 03 de Se Eriza la Iguana.

Nuestra misión aquí es documentar la construcción de una healthtech desde cero en México. Y hemos decidido hacerlo a libro abierto, vamos a documentar cada raspón, cada victoria y cada historia, compartiremos materiales internos, decks y experimentos durante el proceso. Aquí no hay ficción o el instagram perfecto. Solo la verdad sobre el proceso, la salud y lo que se siente emprender desde adentro. Todo en menos de 3 minutos.

Palabras: ~580 Tiempo de lectura: ~2 minutos y medio

Suscríbete ahora

Quick updates

• Ya es oficial. Esta semana firmamos el acta constitutiva en la notaría. El sueño ya tiene nombre y apellido legal. Les iremos contando más, pero por ahora, el primer paso está dado.

• Usuarios reales, feedback real. Empezamos a testear la app con un primer grupo de valientes. Las primeras impresiones son... intensas. Estamos viendo cómo la gente reacciona a lo que construimos en la oscuridad. El mercado está hablando.

• Primeras métricas de Product-Market Fit. Así se ven las primeras señales de que algo estamos haciendo bien. El NPS (Net Promoter Score) nos dice que la experiencia es excelente, aunque el Sean Ellis Score nos aterriza y nos dice que todavía hay camino por recorrer para que el producto sea un “must-have”.

Rules, No Rules: Cómo Nace Nuestra Cultura

Esta semana no programamos. Hablamos. ¿Quiénes somos? ¿En qué creemos? ¿Qué es innegociable? Así nació el esqueleto de nuestra cultura, que llamamos “CHEPE”. No es un nombre, es un acrónimo de nuestros valores:

Community

Humanity

Entrepreneurship

Passion

Exploration.

Chepe para nosotros es el arquetipo del que resuelve, del que no se rinde, del que tiene el “colmillo” para sacar las cosas adelante. Es la esencia de lo que queremos ser. Community porque esto no se trata de nosotros, se trata de construir una tribu. Humanity (la H que nos faltaba) es el recordatorio de que detrás de la data y la tecnología, estamos tratando con la salud y la vida de personas. Es nuestro ancla a la tierra.

Entrepreneurship, Passion, Exploration. Son el motor. El espíritu emprendedor para tomar riesgos, la pasión para sobrevivir los valles de la muerte, y la exploración para nunca dejar de ser curiosos. No es un póster en la pared, es la brújula que usaremos para contratar, para decidir y para construir. Es nuestro propio sistema operativo, forjado a martillazos en conversaciones de深夜.

En el radar esta semana

1.Fuertes rumores de integración OpenAI y Apple. El mercado está que arde con la posibilidad de que la tecnología de OpenAI se integre nativamente en iOS. Esto podría cambiar las reglas del juego para la IA en el bolsillo de millones. Aquí una de las notas que lo cubre.

2.a16z sobre el futuro de la salud. El legendario fondo de inversión Andreessen Horowitz (a16z) publicó una nota sobre cómo la IA está transformando la biología en una disciplina de ingeniería. Es una lectura obligada para entender hacia dónde va el futuro de la salud y por qué estamos tan obsesionados con este espacio. Puedes leer la nota aquí.

Update del Experimento: Berberina vs. Glucosa

La semana pasada les conté del experimento con Berberina. Esta semana seguí tomando datos, pero me di cuenta de algo que cambió todo: me faltaba el verdadero control. Ambos días que medí fueron CON Berberina, así que no tengo la línea base real.

Pero aquí viene lo interesante. Miren estos datos:

Día 1 (Con Berberina)

•T0 (antes de comer): 93 mg/dL

•T+60 min: 119 mg/dL (Pico de +26 pts)

•T+120 min: 111 mg/dL (Descendió)

Día 2 (Con Berberina + Vinagre de manzana)

•T0 (antes de comer): 86 mg/dL

•T+60 min: 109 mg/dL (Pico de +23 pts)

•T+120 min: 120 mg/dL (Subió de nuevo)

¿Qué pasó en el Día 2? El pico tardío no tiene sentido si el protocolo está funcionando. Pero ese día estaba metido en algo que me tenía ocupado, emocionado y estresado al mismo tiempo. Y ahí está la lección brutal: el estrés emocional puede elevar la glucosa independientemente de lo que comas o tomes. No es normal que suba a las 2 horas cuando debería estar descendiendo.

Próximo paso: Probar SIN protocolo (sin Berberina, sin vinagre) para tener el verdadero control. Luego tomaré todos los datos en conjunto y veremos qué está realmente pasando. La n=1 es un desmadre, pero es mi desmadre. Y cada dato cuenta una historia.

En la imagen, vinagre de manzana, se toma con un cucharada en un vaso de agua antes de la comida. + Berberina.

Nos vemos el domingo que viene.

a romperla!!!

Ivan y Fabian

P.D. La próxima semana lanzamos algo especial para los que
quieran ayudarnos a crecer la tribu. Stay tuned

Deja un comentario

Sean bienvenidos a la Edición No. 02 de Se Eriza la Iguana.

Nuestra misión aquí es documentar la construcción de una healthtech desde cero en México. Y hemos decidido hacerlo a libro abierto, vamos a documentar cada raspón, cada victoria y cada historia, compartiremos nuestro avance y experimentos durante el proceso. Aquí no hay ficción o el instagram perfecto. Solo la verdad sobre el proceso, la salud y lo que se siente emprender desde adentro. Todo en menos de 3 minutos.

Palabras: ~930 Tiempo de lectura: ~3 minutos y medio

Suscríbete ahora

Quick updates

• Esta semana empezamos a salir de las sombras. Todavía no podemos contar, pero el mercado nos está hablando.
• Conversaciones con gente del ecosistema. Hay más oportunidad de la que imaginábamos.
• El post de LinkedIn sobre "1.1M líneas de código" funcionó. Parecia un post de juego pero el algoritmo despertó.

Por qué HealthTech? Por qué ahora?

La semana pasada les contamos que perdimos salud construyendo nuestra empresa anterior. Nuestros cuerpos vivieron 7 “años perro” de estrés en uno solo.

Eso nos cambió.

Empezamos a obsesionarnos con entender nuestros propios cuerpos. Y mientras investigábamos, descubrimos algo que nos voló la cabeza:

Mientras la tecnología transformó retail, media y finanzas, healthcare sigue resistiéndose al cambio. Es el mercado más grande que queda por conquistar.

Yo llevo años en startups. El hype siempre estuvo en fintech. La tesis era que toda empresa eventualmente se vuelve fintech. Y sí, hubo mucho dinero ahí.

Pero algo se pasaba por alto.

Fintech optimiza cómo movemos dinero. Healthcare optimiza cómo vivimos. El impacto real para la humanidad está en la segunda. Y Silicon Valley finalmente lo está entendiendo.

Peter Diamandis lo llama “Abundancia Médica” — la idea de que la IA va a democratizar el acceso a diagnósticos y cuidado de nivel experto para todos. En 2015 escribió:

“Estamos en medio de una revolución médica impulsada por tecnología exponencial: inteligencia artificial, sensores, robótica, impresión 3D, big data, genómica y células madre.”

McKinsey cuantificó la oportunidad en diciembre de 2024: $1 trillón de dólares en mejoras posibles solo en el sistema de salud de Estados Unidos. No es especulación — es el análisis más reciente.

General Catalyst, uno de los fondos más grandes del mundo, lanzó “Health Assurance 2030” con $600M en 2021. En 2024 levantaron otros $750M solo para healthcare. Y en 2025 compraron un sistema de salud completo (Summa Health) por $485M.

Esto ya no es una tesis. Es una apuesta masiva.

Y luego miramos a LatAm.

Silencio.

Pero aquí está lo interesante: el World Economic Forum tiene una tesis que dice que los mercados emergentes pueden “saltar” etapas de desarrollo. No necesitamos seguir el mismo camino doloroso que Estados Unidos. Podemos ir directo a lo moderno.

La definición exacta del WEF:

“Para que una innovación sea considerada un ‘salto’, debe acelerar el desarrollo del sistema de salud, reducir el tiempo a resultados, y ser adoptable sin la infraestructura previa.”

En LatAm, el reto no es disrumpir un sistema consolidado. Es construir sobre infraestructura fragmentada.

La “abundancia” que promete la IA es inútil sin los rieles. En las montañas de Oaxaca, el problema no es el algoritmo — es que no hay camino.

Eso significa que quien gane en LatAm no será quien tenga la mejor IA. Será quien construya la red primero.

Esa es la oportunidad que vemos. Por eso estamos aquí.

Fuentes:

1. Peter Diamandis - “Disrupting Today’s Healthcare System” (2015)

2. McKinsey - “How the healthcare industry can weather ongoing challenges” (Dec 2024)

3. General Catalyst - Health Assurance 2030 (2022), Fund II (2024)

4. World Economic Forum - “Health Systems Leapfrogging in Emerging Economies” (2014)

Update del Experimento: Berberina Semana 2

Semana 2: Sin efectos secundarios. Energía estable. Menos antojos de azúcar (placebo?). Los números de sangre vienen en 2 semanas.

Lo que sí noté: menos antojos de azúcar después de comer. Puede ser placebo, puede ser real. Lo sabremos con los datos.

Por qué estoy probando esto:

Un estudio de 2008 comparó berberina vs metformina en diabéticos. Resultado: eficacia similar en reducir glucosa y HbA1c. Un meta-análisis de 2025 lo confirmó.

Entonces, ¿por qué tu médico no te la recomienda?

Porque la berberina es un compuesto natural. No se puede patentar. Sin patente, nadie invierte en ensayos clínicos grandes. Sin ensayos grandes, no entra en guías clínicas.

No es que no funcione. Es que el sistema no está diseñado para adoptarla.

Por eso lo documento aquí.

Fuentes: Yin et al. 2008 (Metabolism), Liu et al. 2025 (Frontiers in Pharmacology)

Empezaron las pruebas 😎

En el radar esta semana

1. Dr. Benjamin Bikman: “La insulina controla todo” — 869K vistas en 3 días. El experto #1 en insulina explica por qué las calorías no son lo que importa. Esto me esta cambiando la forma de pensar acerca de perder peso.

2. Project Prometheus: Bezos vuelve al juego — Jeff Bezos acaba de lanzar una startup de IA con $6.2 mil millones. El objetivo: aplicar IA a manufactura física (autos, aeroespacial, electrónica). Si Amazon cambió el retail, esto podría cambiar cómo se fabrica todo.

3. OpenAI y SoftBank invierten $1B en energía para IA — El cuello de botella de la IA no es el software, es la energía. OpenAI y SoftBank apuestan $1B en SB Energy para construir data centers de 1.2 GW en Texas.

Nos vemos el domingo que viene

¿Te gustó la newsletter? Reenvíasela a ese amigo emprendedor que necesita un abrazo o un empujón, o mándalo al link seerizalaiguana.com

a romperla!!!

Ivan y Fabian

(P.D. Responde con lo que sea que pensaste al leer esto. Leo y contesto todas las respuestas).

Deja un comentario

Sean bienvenidos a la Edición No. 01 de Se Eriza la Iguana.

Nuestra misión aquí es documentar la construcción de una healthtech desde cero en México. Y hemos decidido hacerlo a libro abierto, vamos a documentar cada raspón, cada victoria y cada historia, compartiremos materiales internos, decks y experimentos durante el proceso. Aquí no hay ficción o el instagram perfecto. Solo la verdad sobre el proceso, la salud y lo que se siente emprender desde adentro. Todo en menos de 3 minutos.

Palabras: ~580 Tiempo de lectura: ~2 minutos y medio

Quick updates

• Nació seerizalaiguana.com. Ya es oficial. Es el rincón donde compartimos el terror y la euforia al mismo tiempo.

• Oficialmente “Building in Public”. Hoy es el banderazo de salida. Llevamos meses haciendo pruebas en las sombras, pero acá estamos, listos para construir con las luces encendidas.

• Efecto Iguana. Estamos descubriendo qué tan gruesa tenemos realmente la piel.

• Mi hija de 9 aportó sus 7 dólares. Logró conseguirlos vendiendo chocolates “para ayudar en el cap table :)”. ¡Vaya que me movió bastante! No podemos fallar.

Por qué creamos esta newsletter

Sabemos que hay muchas newsletters por ahí. Y está bien.

No estamos tratando de ser el medio más grande ni los gurús del ecosistema. Esta newsletter nació con un propósito simple: documentar el proceso.

Cuando has estado en la portada y también en la lona, tu perspectiva cambia.

Luego de vender una startup de food tech en 2018 y fundar una nueva compañía en 2020 que levantó más de 15M USD y se fue a la lona, aprendimos la lección más cara de la vida: Cero no es cero. Cero es un lujo. Caer es quedar en “menos un montón”.

Mi socio cofundador y yo perdimos dinero. Perdimos reputación de “victoria”. Y lo más grave: perdimos salud. Nuestros cuerpos vivieron 7 “años perro” de estrés en uno solo.

Por eso ya no nos deslumbran los espejos. Queremos dejar registro, dejar legado para nuestros hijos, esposas, para el equipo y para la comunidad que entiende que emprender es un deporte de alto rendimiento.

Queremos crear una comunidad antes que una empresa. Queremos ayudar a Latam.

Qué significa el nombre

Es matemática simple: Para emprender en LatAm y sobrevivir al proceso necesitas armarte con una piel bien gruesa, y nunca pero nunca fallecer en el intento.

No es volverse cínico. Es armarte y camuflarte del miedo. ¡Es seguir vivo!

Es el homenaje a la resiliencia, a nuestras familias y al equipo. nuestro alebrije es el corazón de Mexico!

Experimento personal

Ariza empezó a testear diferentes maneras para revertir la resistencia a la insulina. Está probando: berberina, protocolos de ayuno, cambios en alimentación. En las siguientes ediciones les contaremos con datos —y análisis de sangre— resultados vamos viendo y un link de Notion con el experimento.

No somos médicos. Solo mortales documentando el proceso.

El formato (por ahora)

• Status Report: Actualizaciones sobre lo que estamos construyendo (lo bueno, lo malo y lo feo).

• Laboratorio Propio: Lecciones que aprendemos y aplicamos todo el tiempo.

• En el radar: Cosas que encontramos interesantes sobre emprendimiento, longevidad o mentalidad que nos vuelan la cabeza.

En el radar esta semana

• Este episodio de Peter Attia — Si vas a escuchar un solo podcast sobre longevidad, que sea este.

• Berberina vs Metformina — Estoy probando berberina. Este artículo de Cleveland Clinic explica qué dice la ciencia.

• Uno de los mejores expertos en resistencia a la insulina! — Mira este video hasta el final, Olvida los influencers. Este men es el que realmente me dejó claro el problema raíz.

Nos vemos el domingo que viene

¿Te gustó la newsletter? Reenvíasela a ese amigo emprendedor que necesita un abrazo o un empujón, o mándalo al link seerizalaiguana.com

Feliz año nuevo!!!

Ivan

(P.D. Responde con lo que sea que pensaste al leer esto. Leo y contesto todas las respuestas).

Leave a comment

Subscribe now