Webinar en inglésWebinar con Jason Lee, mié, 14 octYour newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkInscríbete

Habla con tu repo. Despliega la versión segura.

Haz una pregunta de seguridad en tu IDE; responde tu propio código.

Probar el CloudReservar una demo guiada de 30 min
  • Claude Code
  • Cursor
  • Windsurf
  • Visual Studio Code
  • JetBrains
  • GitHub Copilot
  • OpenAI Codex
  • GitHub
Cybe Championstorefront main

tú: ¿Cuál es el fallo más arriesgado en /api/auth ahora mismo?

AltoEl refresh token acaba en localStorage
Solo hallazgos alcanzables

Tres preguntas, respondidas en tu código.

api/login.tsCybe Champion
  res.cookie("sid", session.rotate(user));  res.json({ refresh: token.issue(user) });

Cybe ChampionCWE-352A01

  • Sesión: rota el SID en el login. Correcto.
  • CSRF: sin double-submit en POST /api/login.
  • El refresh token se guarda en localStorage en la SPA.

Empieza por un repositorio.

Conecta GitHub, GitLab, Bitbucket o Azure DevOps, elige un repositorio y el primer escaneo arranca.

Probar el CloudReservar una demo guiada de 30 min

En detalle

Tus reglas, extraídas de tu propio código.

Redacta las reglas que tu código ya sigue. Tú las apruebas.

  1. 01Lee tu código.
  2. 02Redacta las reglas.
  3. 03Tú aceptas, editas o rechazas.
Reglas extraídas de tu códigostorefront
  • 01 Multi-tenancyEvery query on db.orders filters by tenantIdAceptada42 of 43 occurrences, 16 files, confidence 94%src/handlers/export.ts:17no cumple
  • 02 Authorisation ceilingRefunds over €300 require the role finance.managerEditada7 of 8 occurrences, 4 files, confidence 87%src/handlers/refund.ts:22no cumple
  • 03 Audit loggingEvery payment mutation writes audit.log(actor, amount)Pendiente de revisión31 of 34 occurrences, 11 files, confidence 91%src/handlers/payouts.ts:54no cumple
Las tres respuestas completas

Haz una pregunta de seguridad en tu IDE y la respuesta sale de tu propio código, con la línea y la corrección.

Pregunta y mira qué hace el Champion con ello.

Cybe Championstorefront main

tú: ¿Cuáles son los 3 riesgos principales en /api/auth este mes?

Búsqueda en el grafo de conocimiento/api/auth

Tres riesgos alcanzables, del más grave al menos grave.

AltoEl refresh token acaba en localStorageapi/login.ts:15CWE-922alcanzable desde POST /api/login
MedioSin control CSRF en el formulario de accesoapi/login.ts:12CWE-352alcanzable desde POST /api/login
BajoEl restablecimiento revela qué correos existenapi/auth/reset.ts:19CWE-204alcanzable desde POST /api/auth/reset

Ver el parcheapi/login.ts

Solo hallazgos alcanzables

  • ¿Es seguro este handler de login?

    Lee el grafo, no el diff. La sesión se renueva, falta el control CSRF y el refresh token acaba en localStorage. Señala la línea 15.

  • Arréglamelo.

    Reescribe la línea con tus convenciones: una cookie httpOnly, SameSite, y el test que lo demuestra. Tú aceptas el diff.

  • Haz que no vuelva a pasar.

    La corrección pasa a ser una regla, aplicada en Claude Code, Cursor y la CI desde el turno siguiente.

Cero YAML. Tus reglas, extraídas de tu propio código.

El Champion lee tu repositorio, redacta las reglas que tu código ya sigue y señala las líneas que las incumplen.

Ya disponible en Cybe Champion.

No es un SAST de 2015 con IA añadida.

  • El riesgo, visible antes de la PR

    Puntos críticos, controles que se desvían, tests que faltan. El Champion los señala en el IDE mientras se escribe el código.

  • Sugerencias de parche que el agente puede aplicar

    Cada hallazgo trae una corrección funcional que el agente puede preparar. PR en un clic, firmadas por tu bot y validadas por tu CI.

  • Inteligencia de seguridad colectiva

    Cada corrección aceptada y cada veredicto confirmado alimentan el grafo. La organización acumula propiedad intelectual de seguridad, no una pila de políticas.

Del calendario de formación a aprender haciendo.

Un taller anual de OWASP no cambia nada. Una explicación junto al código en cada PR, sí.

  • Cada dev recibe trato de sénior

    Una explicación clara en cada hallazgo, con las referencias OWASP/CWE a un clic. Júnior o staff, la misma profundidad y la misma paciencia.

  • Contexto de seguridad dentro del bucle

    Se acabó 'esperar a que opine el equipo de seguridad'. El Champion responde en el IDE, con una corrección que funciona, antes de que el dev cambie de tarea.

  • Las lecciones llegan al editor, no a una invitación de calendario

    El 'por qué' se explica junto al código, con un ejemplo que funciona, justo cuando el dev iba a llevar el bug a producción. Ningún taller trimestral llega tan a tiempo.

Una pregunta, una regla

  • Preguntas desde el IDE

    Vulnerabilidades, correcciones, modelos de amenazas, OWASP. Con tus palabras.

  • Responde en contexto

    Lee el grafo de conocimiento y señala la línea, con la corrección.

  • La respuesta se convierte en regla

    Cada corrección aceptada se aplica en el agente desde el turno siguiente.

Tu código se queda en tu región.

Modelos que alojamos nosotros, y nada sale de la región.

Dónde vive tu códigoEUUS
  • Escaneo estándarSe clona en un contenedor aislado que se destruye al terminar el escaneo.
  • Cybe Analysis y el Security ChampionGuardan una copia del código, su historial de git y un grafo de conocimiento en tu región, y se borran cuando lo pides.
  • ModelosModelos open-weight que alojamos en tu región: Scaleway en la UE, Google Cloud en EE. UU.
  • IA de tercerosNi el código ni los prompts se envían a una API de IA de terceros.

Cumple el RGPD. Auditoría SOC 2 Type II en curso.

Seguridad y privacidad, desde el diseño.

Privacidad por defecto. Modelos autoalojados, ninguna API de LLM de terceros, la región UE o EE. UU. que elijas al instalar, y despliegue en VPC o air-gapped disponible.

  • Regiones de datos UE + EE. UU.

    Tu código se queda en tu región. Los clientes de la UE usan solo infraestructura de la UE, y los de EE. UU., solo la de EE. UU.

  • Nunca entrenamos con tu código

    Los modelos son autoalojados. El código de los clientes nunca se usa para entrenar modelos compartidos. Jamás.

  • On-premise y air-gapped

    Los sectores regulados pueden mantener todo el stack dentro de su propia infraestructura. El mismo Champion funciona en tu VPC o totalmente aislado de la red, con los pesos del modelo incluidos y sin llamadas salientes.

Preguntas antes de instalar

¿Cybe Security Champion reemplaza a nuestro equipo humano de seguridad?
No. Reemplaza el cuello de botella en el que se ha convertido el equipo humano. El Champion se encarga de la revisión por PR, de la pregunta '¿esto es seguro?' en el IDE, de la explicación de OWASP. El equipo de seguridad se enfoca en arquitectura, modelado de amenazas, respuesta a incidentes. El trabajo que necesita juicio humano.
¿En qué se diferencia de GitHub Copilot o de un asistente de programación con IA genérico?
Copilot escribe código. El Champion es el ingeniero sénior que lo revisa. Lee el grafo de conocimiento de tu código (flujos de taint, responsables, convenciones del framework) en lugar de adivinar con un LLM genérico. Mismo prompt, respuesta muy distinta.
¿Qué IDE y agentes son compatibles?
Plugins nativos: VS Code, Cursor, Windsurf, JetBrains, Antigravity. Servidor MCP nativo: Claude Code, Gemini CLI, Cline, Continue.dev, Zed. MCP genérico para todo lo demás. Una instalación por dev, una licencia por equipo.
¿VibeDefend entrenará algún día modelos con nuestro código?
Nunca. Los modelos son autoalojados, los pesos pertenecen a CybeDefend y tu código solo se procesa en tu tenant. El código de ningún cliente se usa para entrenar modelos compartidos. Es un compromiso contractual, no una opción de configuración.
¿Qué hace falta para que el equipo esté operativo?
Tres pasos para el primer dev: inicias sesión con SSO, instalas el plugin del IDE y lo apuntas al repo. El Champion hace su primera revisión con contexto la próxima vez que guardes. Sin YAML ni playbooks que escribir.