¿Qué significa exactamente AppSec en tiempo de agente?

MCP son las siglas de Model Context Protocol, el estándar abierto que permite a los agentes de código IA (Claude Code, Cursor, Windsurf, GitHub Copilot, Gemini CLI) llamar a herramientas externas a mitad de sesión. CybeDefend se registra como servidor MCP. En cuanto tu agente va a escribir o modificar código, llama a la herramienta MCP de CybeDefend, que pasa nuestros análisis de SAST con reachability, SCA, IaC, secretos y lógica de negocio sobre ese diff en menos de 1,2 segundos. El agente recibe el veredicto de seguridad, con una corrección sugerida, antes de proponerte la línea. Esto no tiene nada que ver con el SAST post-commit: la seguridad se ejecuta dentro del bucle del agente, en el momento de la creación, no después de abrir la PR. Sin YAML que configurar, sin un paso de CI aparte, sin reunión de revisión. El agente aplica tu política de seguridad igual que aplica tu estilo de código: solo, en el prompt, antes del primer guardado.

¿En qué se diferencia esto de un escáner SAST normal?

El SAST legacy corre sobre commits y te inunda con un 85 a 95 % de falsos positivos, el nivel que reporta NIST SAMATE para el escaneo basado en patrones. Nosotros corremos en agent-time, sobre el diff que tu agente está a punto de entregar, con reachability y conciencia del framework. Mismo motor, otra superficie, hasta un 90 % menos de ruido.

¿Qué agentes de IA son compatibles?

Claude Code, Cursor, Windsurf, GitHub Copilot, Gemini CLI, Cline, Continue.dev y Zed. Y un servidor MCP genérico para cualquier otro que hable MCP.

¿Podemos alojarlo nosotros mismos? ¿Y la residencia de los datos?

Sí. Alojamiento propio en el plan Enterprise (una sola imagen OCI o un tar para entornos aislados). Las regiones EU y US están totalmente separadas, tú eliges dónde viven tus datos. CybeDefend SAS está registrada en Lille (Francia); las cargas de EU se alojan en París y las de US, en Iowa.

Probar gratis

Find, Fix, Repeat.Secure your

Tu agente de IA entrega 500 líneas mientras tú lees las 20 primeras.

Instalar gratis5 min · sin tarjeta · No flaws, no bill

5/5

Claude CodeVibeDefend

Add an endpoint to update user profile

Socios, programas e inversores

El ajuste de cuentas

Ya nadie puede leer el código.

Tu mejor reviewer lee 200 líneas al día. Solo Cursor acepta cerca de mil millones.

Líneas entregadas por agentes de IAVulnerabilidades introducidas

La IA sugiere

Los agentes entregan solos

≈1000 M de líneas aceptadas / día

Fuentes: Cursor, cerca de 1000 M de líneas aceptadas/día (Aman Sanger, 2025) · el 43 % de las vulnerabilidades de API explotan la lógica de negocio (Wallarm, 2026) · el 45 % del código generado por IA contiene un fallo del top 10 de OWASP (Veracode, 2025)

Por qué ahora

Tres años. Tres paradigmas. Tu stack AppSec se quedó en 2023.

Era Suggest

Copilot susurra. SAST escanea por la noche.

Los devs aceptan sugerencias más rápido de lo que los revisores las leen. El AppSec escanea código que ningún humano escribió. Lento, pero aún auditable.

Salida IAlíneas / día

Revisiónhumana

GateCI nocturna

editor · checkout.ts

const total = items.reduce((s, it) => s + it.price, 0);

if (total > 0) {

applyDiscount(cart, coupon);tab

}

2023

Era Suggest

Copilot susurra. SAST escanea por la noche.

Los devs aceptan sugerencias más rápido de lo que los revisores las leen. El AppSec escanea código que ningún humano escribió. Lento, pero aún auditable.

Salida IAlíneas / díaRevisiónhumanaGateCI nocturna

editor · checkout.ts

const total = items.reduce((s, it) => s + it.price, 0);

if (total > 0) {

applyDiscount(cart, coupon);tab

}

El producto

Shift-left, por defecto.

El camino exacto, en cuatro actos.

Cartografía tu código.

VibeDefend indexa tu código una sola vez como grafo: ficheros, funciones, tenants, rutas de pago. El agente consulta el mapa en lugar de grepear el diff.

156 ficheros218 aristas42 reglas

Cartografía tu código.

VibeDefend indexa tu código una sola vez como grafo: ficheros, funciones, tenants, rutas de pago. El agente consulta el mapa en lugar de grepear el diff.

156 ficheros218 aristas42 reglas

Conoce tus reglas antes de escribir.

Tus reglas de negocio y tus marcos de compliance se cargan en el contexto del agente. La línea sale conforme a la primera.

tenant scopingaudit-on-writeOWASP · SOC 2 · GDPR

tenant scoping

audit-on-write

soft-delete only

refunds > 500€ → finance.manager

context → agent

✓ tenant scoping

✓ audit-on-write

✓ soft-delete only

✓ refunds > 500€ → finance.manager

Bloquea lo destructivo.

Las acciones peligrosas mueren en el momento de la acción, no en un post-mortem. Secretos vigilados, rutas protegidas, borrados de riesgo parados en seco.

secret guardprotected pathsrisky deletion

agent · vibedefend guard

Lo escanea todo y filtra el ruido antes de tu agente.

El escaneo corre en continuo sobre cada diff. Nuestra IA comprueba la alcanzabilidad contra el grafo y descarta los falsos positivos.

escaneo continuo110 → 3tokens -92%

Lo que los escáneres no ven

Ocho fallos que solo el agente puede cazar. Eliminados antes del primer guardado.

Eight examples of mistakes agents make every day because they don't have your business logic.

el 43 % de las vulnerabilidades de API explotan la lógica de negocio, no los CVE (Wallarm, 2026). Estos ocho nunca hacen saltar un escáner. VibeDefend los reescribe en el prompt.

La plataforma

Una sola capa. Toda tu stack de AppSec.

Los mejores escáneres open source, enriquecidos con nuestras reglas, más nuestros motores propios.

El grafo de código

✓ Falsos positivos filtrados✓ Compliance bajo control✓ Agentes monitorizados✓ Todo centralizado

Autopilot

Cero YAML. Tus reglas, extraídas de tu propio código.

“¿Y quién escribe todas esas reglas?” Nosotros. Autopilot lee tu grafo y redacta como candidatas las reglas que ya sigues. Sin necesidad de un ingeniero de seguridad.

01
Recorrer el grafo
Recorre tus imports, llamadas, tenants y rutas, cada límite que ya impones.
02
Redactar reglas candidatas
Los patrones afloran como reglas sin YAML, con nombre, alcance, severidad y referencias al código.
03
Aceptar · editar · rechazar
Tú tienes el control. Revisas regla a regla, aceptas en bloque las que te convencen e ignoras el resto.