Entrar Pedir acceso a la beta Pedir acceso
Beta cerrada Programar con IA es rápido. Y tiene riesgo

El 80 % de las falsas alarmas, fuera

Lo que escribe una IA funciona, pero puede llegar a producción con vulnerabilidades que nadie ha leído. Vibethia revisa cada cambio en tu CI, descarta las falsas alarmas y te dice qué corregir y por qué. Para cualquier equipo, no solo para quien puede pagar una herramienta de empresa.

Pedir acceso a la beta Ver cómo funciona

Beta cerrada. Te escribimos en unos días. · Datos en la UE · Tu código no sale de GitHub.

GitHub Actions · main · vibethia.yml ✓ completado
$ vibethia.yml · PR abierto por la GitHub App
▸ semgrep      código ............ ok
▸ osv-scanner  dependencias ...... ok
▸ gitleaks     secretos (máscara)  ok
▸ trivy        infra · sbom ...... ok
→ 199 detecciones a Vibethia (UE)
  tu código se queda en GitHub
Del ruido a la decisión Repo de pruebas con vulnerabilidades sembradas · un escaneo
  1. 199 Detecciones lo que dicen los escáneres · 100 %
  2. 151 Hallazgos únicos tras deduplicar · 76 %−48
  3. 127 Tras el triaje sin los descartados · 64 %−24
  4. 51 Para corregir con prioridad · 26 %−76
En nuestro repo de pruebas, donde sabemos qué es real y qué no: 20 de 25 falsos positivos descartados y 4 de 126 vulnerabilidades reales descartadas por error.
Repo de pruebas con vulnerabilidades sembradas · un escaneo

De 199 detecciones a 51 para corregir

  1. 199
    Detecciones
  2. 151
    Hallazgos únicos
  3. 127
    Tras el triaje
  4. 51
    Para corregir
En nuestro repo de pruebas, donde sabemos qué es real y qué no: 20 de 25 falsos positivos descartados y 4 de 126 vulnerabilidades reales descartadas por error.
20 de 25 falsos positivos descartados, en nuestro repo de pruebas.
Vibecoding

Funciona. Es lo único que has comprobado

Con una IA, de la idea a producción pasan diez minutos. Nadie ha leído el código entero: ni tú, ni quien lo aprueba. Casi siempre sale bien. Esto es lo que pasa cuando no, y lo que cambia si alguien lo revisa.

Sin revisar
  1. El CI pasa. Comprueba que el código funciona, no que sea seguro.
  2. En producción, con la vulnerabilidad dentro.
  3. Semanas despuésAlguien cambia un número en la dirección.
GET /api/exportar?cliente=1042  →  tus facturasGET /api/exportar?cliente=1043  →  las de otro clienteGET /api/exportar?cliente=1044  →  las de otro cliente

Los datos de tus clientes, fuera. Te enteras cuando te llama uno.

Con Vibethia
  1. La revisión corre en tu CI, a la vez que los tests.
  2. Te avisa. Hay una cosa que corregir:
Corregir El endpoint devuelve facturas sin comprobar de quién son. app/api/exportar · línea 3
  1. Le pegas el arreglo a tu IA, lo compruebas y vuelves a subir.

Corregido esa misma mañana. No semanas después.

Ilustración: un endpoint que una IA escribe en un minuto. Las horas son un ejemplo, no una medición.

Que funcione no significa que sea seguro.

Por dónde entra

Cinco sitios por los que se cuela una vulnerabilidad

Ninguno es raro. Todos pasan en equipos que saben programar y van deprisa. Debajo de cada uno, en negro, lo que Vibethia te dice.

  1. El código que te escribe la IA

    Hace lo que le pides. Lo que no le pides —comprobar quién llama, validar lo que entra— muchas veces no lo hace.

    Vibethia lee cada cambio y te señala la línea.

    Nadie comprueba que ese cliente seas tú.
    VibethiaCorregirDevuelve datos sin comprobar de quién son.

  2. Las librerías que no elegiste

    Instalas una y llegan decenas detrás. Si una de ellas tiene una vulnerabilidad conocida, lo tienes tú.

    Vibethia te dice si tu código usa de verdad la parte vulnerable.

    tu app1 librería
    Dos de las que llegaron tienen una vulnerabilidad conocida.
    VibethiaVigilarUna no la usas. La otra sí: esa va a Corregir.

  3. El paquete que no es el que parece

    Un nombre casi igual al bueno. O uno que la IA se inventó y alguien registró con malas intenciones. Lo instalas y ejecuta su código en tu máquina y en tu CI.

    Si está en la lista pública de paquetes maliciosos, el PR no pasa.

    Uno nuevo que nadie ha denunciado todavía no lo detectamos. Lo decimos.

    VibethiaCheck en rojoPaquete malicioso conocido: no se fusiona.

  4. La clave que se fue en un commit

    Para probar rápido, la clave acaba en el código. Borrarla después no la borra del historial, ni del navegador de quien ya cargó la app.

    Vibethia la encuentra sin enseñarla: su valor no sale de tu GitHub.

    commit→historial→navegador
    Una clave expuesta se rota. No basta con borrarla.
    VibethiaCorregirClave de pagos en el código. Rótala.

  5. El CI que ejecuta código de otros

    Tu pipeline usa acciones de terceros, con acceso a tus secretos. Si apuntan a una rama y no a una versión fija, mañana pueden hacer otra cosa.

    Vibethia te marca cuáles no están fijadas.

    «@main» es lo que haya hoy en esa rama.
    VibethiaVigilarAcción de CI sin fijar a una versión.
El triaje

Alguien lee cada aviso antes que tú

Un escáner avisa de todo lo que se parece a una vulnerabilidad. El triaje es el trabajo de mirar cada aviso con el código delante y decidir si es real. Aquí lo hace un analista con IA, que deja escrito por qué; y una regla fija convierte su lectura en una decisión.

  1. El escáner diceConsulta a la base de datos con un dato que viene de la URL Tras el triajeCorregirEs real y se puede aprovechar: el dato llega sin validar hasta la consulta.
  2. El escáner diceLibrería con una vulnerabilidad conocida Tras el triajeVigilarEs real, pero tu código no usa la parte vulnerable.
  3. El escáner dicePosible contraseña escrita en el código Tras el triajeDescartarFalsa alarma: es una contraseña de prueba, en un fichero de test.
  4. El escáner diceCifrado que podría ser débil Tras el triajeRevisarNo está claro con lo que se ve. Mejor que lo mire una persona.

Son cuatro decisiones posibles: corregir, revisar, vigilar o descartar. Lo descartado no desaparece: se queda a la vista, con su motivo, y lo puedes recuperar.

Una de las preguntas del triaje: ¿tu código llega a usar lo que falla?

Una librería puede tener una vulnerabilidad conocida en una función que tu código ni toca. En inglés lo llaman «reachability»; aquí, alcanzable o no.

No la usas

VibethiaVigilarLa vulnerabilidad está, pero tu código no pasa por ahí.

Sí la usas

VibethiaCorregirLo usas: actualiza a la versión arreglada.

Lo valora el analista leyendo tu código. Cuando no puede saberlo, lo dice: «no se sabe». No se lo inventa.

Tu día a día

Qué cambia en tu forma de trabajar: casi nada

Sigues programando igual. Lo único nuevo es que, después de subir, alguien te dice qué hay que arreglar.

  1. Tú

    Subes tu cambio, como siempre.

    No hay nada que instalar en tu máquina ni que recordar. Vibethia vive en el CI de tu repo.

  2. Automático

    Vibethia lo revisa y te deja una lista corta.

    Lee el código, las librerías, las claves y la configuración. Quita lo repetido y las falsas alarmas, y ordena lo que queda: qué corregir, qué revisar y qué vigilar.

  3. Tú y tu IA

    Pegas el arreglo en tu IA y vuelves a subir.

    Cada vulnerabilidad trae su explicación y un prompt listo. Lo compruebas tú: la IA propone, tú decides.

Ver cómo funciona por dentro
Las cuentas claras

Lo que todo el mundo pregunta antes de conectarlo

  • ¿Os lleváis mi código? No.

    Los escáneres corren en tu CI. Nos llega el aviso y el trozo de código que señala.

  • ¿Veis mis claves? No.

    Llegan tapadas. Su valor no sale de tu GitHub.

  • ¿Decide una IA qué es grave? No.

    La IA lee y explica. La decisión la toma una regla fija, igual para todos.

  • ¿Me vais a parar los despliegues? Solo por malware.

    Si una librería es malware conocido, el check se pone en rojo. Todo lo demás avisa.

  • ¿Dónde están mis datos? En la UE.

    En Fráncfort. Lo único que sale es lo que lee el analista con IA, y lo decimos.

  • ¿Y si os equivocáis? Pasa.

    En nuestras pruebas descartamos por error 4 de 126 vulnerabilidades reales. Por eso lo descartado se queda a la vista, con su porqué.

80 % de las falsas alarmas, descartadas En nuestro repo de pruebas: 20 de 25. Nos habíamos exigido 70 % o más.
3,2 % de las vulnerabilidades reales, descartadas por error En nuestro repo de pruebas: 4 de 126. Nos habíamos exigido 5 % o menos.
Ver cómo se mide y dónde gana la competencia
Para cualquier equipo

La seguridad no puede ser solo para quien la puede pagar

Las herramientas de este tipo están pensadas para empresas con un equipo de seguridad y un presupuesto de cientos de euros al mes. Y los planes gratuitos que probamos enseñaban solo una parte de los resultados o dejaban sin mirar la configuración. Quien más deprisa programa con IA suele ser quien menos puede pagar eso.

Gratis

0 €siempre

Para probarlo con un repo.

  • 1 repo · 1 usuario
  • 1.000 créditos, una vez
  • 30 días de historial

Pro

29 €/mes

Para quien publica con IA.

  • 5 repos · 3 usuarios
  • 1.000 créditos al mes
  • 1 año de historial

Precios de beta, provisionales. Los escáneres y las reglas van incluidos en todos los planes, también en el gratuito.

Ver todos los planes

Del ruido a la decisión

Pide acceso y te avisamos cuando haya hueco.

Pedir acceso a la beta