“Creo que nunca elegí una carrera en ciberseguridad. Ella me eligió”. Con esa frase arranca la conversación con Nico Waisman, un directivo que hoy conecta dos mundos: la investigación ofensiva y la automatización basada en IA. Su trayectoria no es la de un camino lineal, sino la de alguien que aprendió a romper sistemas por curiosidad, fue afinando habilidades de liderazgo y, con los años, terminó construyendo una visión donde la seguridad ofensiva con IA escala la prueba y el análisis.
Nacido y residente en Argentina, Waisman describe cómo, en su juventud, el hackeo no nació de la ambición de ganar dinero ni del deseo de causar daño. Más bien, lo impulsó el reto técnico y el disfrute de entender a fondo cómo algo funciona… para luego intentar quebrarlo. Ese enfoque, repetido durante años, acabó convirtiéndose en carrera profesional y, finalmente, en una agenda de seguridad con un componente cada vez más inteligente.
De hacker autodidacta a investigador de seguridad
Waisman cuenta que no recibió formación formal en tecnología ni en ciberseguridad. En aquella etapa, según su relato, no existían en Argentina la documentación y los recursos que hoy muchos dan por garantizados. Esa carencia no fue un freno: se volvió parte del atractivo. Aprender a programar, estudiar fallos, localizar vulnerabilidades y explotarlas implicó investigar por cuenta propia, experimentar y hacer ingeniería inversa para entender mecanismos internos.
Lo que más valoraba del proceso era la inmersión: pasar días enfocados en un solo problema, comprender su funcionamiento y, después, probar distintas maneras de vulnerarlo. Ese estilo de trabajo —aprender con prueba y error— sentó la base de su llegada a la seguridad ofensiva como campo profesional.
En su camino educativo, menciona intentos en ingeniería y también una etapa dedicada al periodismo, sin terminar el proceso ni completar los títulos. Sin embargo, incluso cuando cambiaba de rumbo, el hackeo seguía presente. A medida que avanzaba su carrera, esas habilidades de comunicación que fue desarrollando terminaron sumando: su capacidad para explicar hallazgos y colaborar en entornos exigentes se convirtió en una ventaja.
Inmunity: construir conocimiento con investigación aplicada
El punto de partida profesional llega en 2003, cuando se incorpora a Immunity como investigador senior de seguridad. Aunque Waisman subraya que no tenía credenciales formales específicas en ciberseguridad, sí contaba con experiencia práctica y con la capacidad de demostrar su conocimiento.
Durante los años que permaneció allí —hasta 2019— fue escalando posiciones hasta convertirse en VP para Latinoamérica. En ese periodo participó en el desarrollo de un producto de explotación (un marco que ayudó a evolucionar prácticas tempranas de pentesting y equipos de red). También colaboró con organizaciones del sector público y privado, asistiendo en la identificación de vulnerabilidades y en la comprensión de cómo podían explotarse.
Su relato también destaca un componente clave: en ese entorno, combinó lo aprendido de forma autodidacta con la capacidad de comunicar resultados y con el aprendizaje progresivo de liderazgo.
Del rol técnico al liderazgo: construir equipos que aprendan
Uno de los temas recurrentes en la conversación es cómo, con el tiempo, el liderazgo aparece como consecuencia natural del trabajo. Waisman no se presenta como alguien “hecho” para dirigir desde el inicio. Más bien, describe que era relativamente introvertido y que se acercaba a los ordenadores porque le ofrecían un espacio seguro. Cuando el proyecto creció y necesitó colaborar con más personas, su preferencia fue trabajar con gente que conocía, admiraba y entendía.
Según su explicación, al formar un equipo —aunque se trate de colegas con una relación sana— quien arma la estructura termina, tarde o temprano, asumiendo la función de liderazgo. En su experiencia, la transición ocurrió gradualmente: al principio gestionaba desarrollo de producto y después servicios, hasta supervisar a decenas de profesionales de pruebas de seguridad en proyectos con empresas grandes.
Ese salto le enseñó que dirigir no solo es administrar tareas, sino también equilibrar la presión y priorizar la salud del equipo.
GitHub Security Lab y el foco en código abierto
Tras su etapa en Immunity, Waisman se une en 2019 a Semmle como director de investigación para Latinoamérica. En pocos meses, Semmle se adquiere por GitHub, y hacia finales de 2019 él pasa a ocupar un rol senior en el GitHub Security Lab.
Este cambio representa una evolución importante: de la ofensiva tradicional a la seguridad con foco en software de código abierto. Su relato explica que el objetivo fue ampliar el enfoque hacia el riesgo del pipeline de CI/CD, y que el trabajo incluyó integrar y adoptar tecnologías que aportaban capacidades de análisis de código (mencionando específicamente CodeQL en el contexto de esa transición).
Además, describe un esfuerzo para que el mercado no trabajara aislado: empresas con iniciativas propias colaboraron para fortalecer la seguridad de OSS (software de código abierto). Con el tiempo, el resultado se canalizó hacia una fundación vinculada al ecosistema de Open Source Security.
Lyft: aprender defensiva sin frenar la velocidad
La siguiente etapa de su historia lo lleva a un rol claramente defensivo. En 2020 se incorpora como Head of Security and Privacy en Lyft y, en poco más de dos años, pasa a convertirse en CISO.
Waisman presenta su llegada como una oportunidad para experimentar la cara defensiva de la seguridad. En esa transición, el gran desafío fue construir un programa que pudiera seguir el ritmo del equipo de ingeniería, sin interrumpirlo. En otras palabras: no bastaba con “proteger”; había que habilitar.
Lo resume con una analogía: como en el fútbol, necesitas una defensa sólida para que el juego avance, pero no quieres una defensa que, por exceso de cautela, patee el balón fuera del estadio cada vez que aparece una oportunidad.
En su forma de entender el trabajo, la defensa debe ir acompañada de enablement: facilitar el avance del negocio y de los equipos técnicos con procesos de seguridad que no se conviertan en un bloqueo constante.
El salto a la seguridad ofensiva con IA en XBOW
En ese contexto defensivo, Waisman vuelve a conectar con su área de origen. Según cuenta, junto con Oege de Moor, conversaron sobre cómo combinar IA y seguridad ofensiva. La idea cristaliza en la creación de XBOW, una empresa con una propuesta concreta: un producto autónomo basado en IA capaz de ejecutar pruebas de penetración, imitando habilidades humanas y haciéndolo a escala.
Su rol como CISO desde el inicio muestra la coherencia de su trayectoria: viene de investigar ofensivamente, suma capacidades de liderazgo aprendidas en entornos grandes, incorpora el enfoque defensivo y, finalmente, integra todo en una plataforma que posiciona la seguridad ofensiva con IA como una vía para automatizar y escalar evaluaciones.
Desde su perspectiva, la meta no es solo “usar IA”, sino permitir que el tipo de actividad ofensiva se ejecute con eficiencia y consistencia, de manera que el ciclo de prueba mejore en cobertura y velocidad.
Estrés, burnout y el rol del CISO como filtro
La conversación no evita el lado humano. Waisman señala que el cargo de CISO lo acerca al burnout. Reconoce que, aunque no se considera totalmente agotado durante su etapa en Lyft, entiende por qué es un riesgo para CISOs y para los equipos de seguridad: hay presión constante, recursos limitados y, sobre todo, la carga de responsabilidad ante fallos.
En su visión, una función crucial del liderazgo es “proteger” al equipo del exceso de presión. Por eso insiste en la idea de absorber parte de la carga de trabajo y actuar como filtro para que llegue menos estrés a cada miembro del equipo.
También promueve el bienestar. Menciona que detecta cuándo las personas están pasando por momentos de dificultad y que, en esas circunstancias, interviene para ayudar a recuperar el equilibrio entre trabajo y vida personal.
Mentoría constante: aprender con preguntas
Respecto a consejos de carrera, Waisman afirma que no recuerda haber recibido orientación específica. Aun así, recuerda una lección del fundador de Immunity: que en seguridad hay cosas que importan de verdad y otras que funcionan como “teatro”. El foco, entonces, está en lo que realmente hace diferencia.
En vez de dar instrucciones cerradas, se inclina por la mentoría permanente y por un enfoque socrático: no tanto “dar respuestas”, sino hacer preguntas para que cada persona construya su propio criterio. Lo describe como una especie de “acompañamiento” al descubrimiento, donde la idea no nace de quien enseña, sino que se desarrolla en el aprendiz con ayuda.
La preocupación actual: el costo y la ventaja de los atacantes
Como a todos, Waisman también le preocupa una dimensión particular. En su caso, es el avance de la IA aplicada al ataque. Explica que, si bien defensores y atacantes usan IA, en general los atacantes adoptan nuevas capacidades antes. Por ahora, el uso a gran escala todavía es caro, lo que limita la materialización de escenarios de ataque masivo automatizado.
Pero su alerta es clara: con el tiempo, los costos bajarán. Llega el punto —dice— en que el retorno de inversión para el atacante será positivo al apuntar a IPs con malware que se ajusta de forma autónoma a escala. Para Waisman, aún no hay preparación suficiente, y por eso anticipa un periodo de “caos” hasta que las defensas alcancen el ritmo.
Conclusión
La historia de Nico Waisman es una combinación de curiosidad técnica, aprendizaje autodidacta y una evolución natural hacia roles de liderazgo y enfoque defensivo. Su trayectoria ilustra cómo la seguridad no avanza solo con herramientas, sino también con cultura de equipo, mentores que enseñan a pensar y una gestión consciente del estrés.
Hoy, al impulsar XBOW y su propuesta de seguridad ofensiva con IA, convierte su experiencia inicial de “romper para entender” en una visión escalable. Y, mientras la IA continúa transformando tanto ataques como defensas, su mensaje final apunta a una urgencia: prepararse antes de que la automatización ofensiva se vuelva verdaderamente masiva.
