Siete cosas que mira en cada subida
Cada una tiene su página, y cada página se lee en dos voces: en llano, para quien programa con IA y quiere entender el riesgo; y en técnico, para quien ya conoce las siglas y quiere saber qué motor va por dentro, qué cubre y qué no.
Lo mismo que hacen las grandes, dicho para que se entienda
El sector lo nombra con siglas: SAST, SCA, IaC… Son nombres para cosas concretas. Aquí van las siete, con el nombre del sector al lado y la herramienta que lo hace por dentro.
-
El código que te escribe la IA
Datos que llegan sin validar, consultas armadas a mano, rutas que no preguntan quién eres.
El sector lo llamaSAST Por dentro: Semgrep, con reglas públicas y propias -
Las librerías que no elegiste
Cada librería que usas, también las que llegan detrás de otra, y si tu código usa la parte vulnerable.
El sector lo llamaSCA Por dentro: OSV-Scanner y el analista -
El paquete que no es el que parece
Un nombre casi igual al bueno, o uno inventado por la IA que alguien registró. Es lo único que bloquea el PR.
El sector lo llamaMalware en dependencias Por dentro: La lista pública de paquetes maliciosos (OSV) -
La clave que se fue en un commit
Claves y contraseñas escritas en el repo. Llegan tapadas: su valor no sale de tu GitHub.
El sector lo llamaSecrets detection Por dentro: Gitleaks -
Tu infraestructura y tus contenedores
Los ficheros con los que despliegas, la imagen si nos la das, y la lista de todo lo que lleva tu app.
El sector lo llamaIaC · Container scanning · SBOM Por dentro: Trivy -
Tu CI y tu pipeline
Dónde corre la revisión, qué bloquea y qué no, y las acciones de terceros con acceso a tus secretos.
El sector lo llamaCI/CD security Por dentro: GitHub Actions en tu repo; nada se clona -
Alguien lee cada aviso
Un analista con IA lee cada aviso con el código delante, dice si es real y por qué. Una regla fija decide.
El sector lo llamaAI triage · Reachability Por dentro: Claude en el worker, con prompts versionados
Lo que no hace, dicho antes de que lo preguntes
Para que la comparación sea justa. Lo que falta tiene su sitio en Para empresas, con lo que está en camino y lo que no.
- No Probar la app en marcha (DAST)
Vibethia lee código y configuración. No lanza peticiones contra tu app desplegada.
- No Revisar tu cuenta de nube (CSPM)
Mira los ficheros con los que despliegas, no lo que hay desplegado en AWS, Azure o Google.
- No Licencias y versiones caducadas
Ni el tipo de licencia de cada librería ni si una versión ha dejado de mantenerse.
- Todavía no Abrir el PR con el arreglo
Te da la explicación y un prompt para tu IA. El cambio lo haces y lo compruebas tú.
- Todavía no La revisión completa en el PR
Hoy corre al subir a la rama principal, y te avisa a los minutos. En el PR solo se para el malware conocido.
Del ruido a la decisión
Conecta un repo y mira qué hay que corregir. Sin hablar con nadie.