Seguro del código a la nube.

Producto estrella

VibeDefend

Aprende las reglas de tu proyecto, vigila cada prompt y deja que el agente escriba código seguro desde el principio.

Descubrir VibeDefend

Agentes de IA

Escáneres

Gobernanza

Ver la plataforma completa

Desarrolladores

Recursos

Investigación

Habla con tu repo. Despliega la versión segura.

Pregúntale al Champion lo que quieras: vulnerabilidades, correcciones, modelos de amenazas, OWASP. Lee tu grafo de conocimiento y responde con contexto, en el IDE que ya usas.

Reservar una demo guiada de 30 min

Nativo en

Cybe Championstorefrontmain

tú: ¿Cuáles son los 3 riesgos principales en /api/auth este mes?

Cybe Champion

Búsqueda en el grafo de conocimiento/api/auth

Tres riesgos alcanzables, del más grave al menos grave.

AltoEl refresh token acaba en localStorageapi/login.ts:15CWE-922alcanzable desdePOST /api/login
MedioSin control CSRF en el formulario de accesoapi/login.ts:12CWE-352alcanzable desdePOST /api/login
BajoEl restablecimiento revela qué correos existenapi/auth/reset.ts:19CWE-204alcanzable desdePOST /api/auth/reset

Ver el parcheapi/login.ts

@api/authPregúntale al Champion…

Solo hallazgos alcanzables

Tres preguntas, respondidas en tu código.

Pregunta y mira qué hace el Champion con ello.

¿Es seguro este handler de login?

Lee el grafo, no el diff. La sesión se renueva, falta el control CSRF y el refresh token acaba en localStorage. Señala la línea 15.

api/login.ts

Cybe Champion

12router.post("/api/login", async (req, res) => {13  const user = await auth.verify(req.body);14  res.cookie("sid", session.rotate(user));15  res.json({ refresh: token.issue(user) });16});

Cybe ChampionCWE-352 · A01

Sesión: rota el SID en el login. Correcto.
CSRF: sin double-submit en POST /api/login.
El refresh token se guarda en localStorage en la SPA.

Arréglamelo.

Reescribe la línea con tus convenciones: una cookie httpOnly, SameSite, y el test que lo demuestra. Tú aceptas el diff.

api/login.ts

Cybe Champion

14  res.cookie("sid", session.rotate(user));15  res.json({ refresh: token.issue(user) });15  res.cookie("refresh", token.issue(user), {16    httpOnly: true, sameSite: "strict", secure: true,17  });18});

Haz que no vuelva a pasar.

La corrección pasa a ser una regla, aplicada en Claude Code, Cursor y la CI desde el turno siguiente.

Claude Code

Cybe Champion

rule · auth/refresh-token

Refresh tokens are httpOnly cookies, never localStorage.

learned from api/login.ts · accepted diff, PR #482

enforced in

Claude CodeCursorWindsurfCI

next turn+ res.cookie("refresh", token, { httpOnly: true })

api/login.ts

Cybe Champion

12router.post("/api/login", async (req, res) => {13  const user = await auth.verify(req.body);14  res.cookie("sid", session.rotate(user));15  res.json({ refresh: token.issue(user) });16});

Cybe ChampionCWE-352 · A01

Sesión: rota el SID en el login. Correcto.
CSRF: sin double-submit en POST /api/login.
El refresh token se guarda en localStorage en la SPA.

api/login.ts

Cybe Champion

14  res.cookie("sid", session.rotate(user));15  res.json({ refresh: token.issue(user) });15  res.cookie("refresh", token.issue(user), {16    httpOnly: true, sameSite: "strict", secure: true,17  });18});

Claude Code

Cybe Champion

rule · auth/refresh-token

Refresh tokens are httpOnly cookies, never localStorage.

learned from api/login.ts · accepted diff, PR #482

enforced in

Claude CodeCursorWindsurfCI

next turn+ res.cookie("refresh", token, { httpOnly: true })

El security champion, reescrito.

Mismo rol, mismos resultados. Modelo operativo distinto.

Disponibilidad

Una persona por squad, en horario laboral y de vacaciones medio año.

Siempre activo. Responde en el IDE en menos de un segundo, en cualquier zona horaria.

Ventana de contexto

Lee el diff, recuerda vagamente el resto del repo.

Lee el grafo de conocimiento completo del código: cada flujo de taint, cada responsable, cada dependencia.

Cobertura

Revisa las PRs en las que se le menciona. El resto sale sin revisar.

Revisa cada diff, en cada repo, cada vez. Sin sesgo de selección.

Coherencia

El tono, la profundidad y el rigor dependen del humor y de si es viernes por la tarde.

Misma plantilla de revisión, mismo umbral de severidad, mismo veredicto. Auditable.

Transferencia de conocimiento

Se va con la persona cuando cambia de equipo o de empresa.

Cada corrección se convierte en una regla reutilizable. El grafo de conocimiento crece con la organización.

Coste por repo

Lineal: cada nuevo squad necesita otro champion (y tardarás 6 meses en encontrarlo).

Fijo: una plataforma cubre 5 repos o 500. El onboarding es un clic con SSO.

Ya disponible en Cybe Champion.

No es un SAST de 2015 con IA añadida.

Cero YAML. Tus reglas, extraídas de tu propio código.

El Champion lee tu repositorio, redacta las reglas que tu código ya sigue y señala las líneas que las incumplen.

01Lee tu código.
02Redacta las reglas.
03Tú aceptas, editas o rechazas.

Autopilotrule candidates0/3

Proposed rule 01Multi-tenancy

Every query on db.orders filters by tenantId

42 of 43 occurrences · 16 files · confidence 94%

Gap detectedsrc/handlers/export.ts:17doesn't comply

Proposed rule 02Authorisation ceiling

Refunds over €500 require role finance.manager

7 of 8 occurrences · 4 files · confidence 87%

Gap detectedsrc/handlers/refund.ts:22doesn't comply

Proposed rule 03Audit logging

Every payment mutation writes audit.log(actor, amount)

31 of 34 occurrences · 11 files · confidence 91%

Gap detectedsrc/handlers/payouts.ts:54+2 more

storefront · mainaccepted rules reach Claude Code, Cursor and CI

El riesgo, visible antes de la PR

Puntos críticos, controles que se desvían, tests que faltan. El Champion los señala en el IDE mientras se escribe el código.

Sugerencias de parche que el agente puede aplicar

Cada hallazgo trae una corrección funcional que el agente puede preparar. PR en un clic, firmadas por tu bot y validadas por tu CI.

Inteligencia de seguridad colectiva

Cada corrección aceptada y cada veredicto confirmado alimentan el grafo. La organización acumula propiedad intelectual de seguridad, no una pila de políticas.

Seguridad y privacidad, desde el diseño.

Modelos autoalojados, tu región, sin LLM de terceros.

Regiones de datos UE + EE. UU.

Tu código se queda en tu región. Los clientes de la UE usan solo infraestructura de la UE, y los de EE. UU., solo la de EE. UU.

Nunca entrenamos con tu código

Los modelos son autoalojados. El código de los clientes nunca se usa para entrenar modelos compartidos. Jamás.

On-premise y air-gapped

Los sectores regulados pueden mantener todo el stack dentro de su propia infraestructura. El mismo Champion funciona en tu VPC o totalmente aislado de la red, con los pesos del modelo incluidos y sin llamadas salientes.

Cómo funciona,
en detalle.

La documentación explica la instalación, la configuración y cada opción.

Leer la documentaciónen inglés

Agent & AI Integration

Cybe Security Champion

Cómo lee el Champion el grafo de conocimiento, cómo activarlo, cómo conversar sobre tus hallazgos y tu código, la privacidad y los límites.

Preguntas antes de instalar

¿Cybe Security Champion reemplaza a nuestro equipo humano de seguridad?

No. Reemplaza el cuello de botella en el que se ha convertido el equipo humano. El Champion se encarga de la revisión por PR, de la pregunta '¿esto es seguro?' en el IDE, de la explicación de OWASP. El equipo de seguridad se enfoca en arquitectura, modelado de amenazas, respuesta a incidentes. El trabajo que necesita juicio humano.

¿En qué se diferencia de GitHub Copilot o de un asistente de programación con IA genérico?

Copilot escribe código. El Champion es el ingeniero sénior que lo revisa. Lee el grafo de conocimiento de tu código (flujos de taint, responsables, convenciones del framework) en lugar de adivinar con un LLM genérico. Mismo prompt, respuesta muy distinta.

¿Qué IDE y agentes son compatibles?

Plugins nativos: VS Code, Cursor, Windsurf, JetBrains, Antigravity. Servidor MCP nativo: Claude Code, Gemini CLI, Cline, Continue.dev, Zed. MCP genérico para todo lo demás. Una instalación por dev, una licencia por equipo.

¿VibeDefend entrenará algún día modelos con nuestro código?

Nunca. Los modelos son autoalojados, los pesos pertenecen a CybeDefend y tu código solo se procesa en tu tenant. El código de ningún cliente se usa para entrenar modelos compartidos. Es un compromiso contractual, no una opción de configuración.

¿Cuánto tarda el equipo en estar operativo?

Menos de 5 minutos para el primer dev: inicias sesión con SSO, instalas el plugin del IDE y lo apuntas al repo. El Champion hace su primera revisión con contexto la próxima vez que guardes. Sin YAML ni playbooks que escribir.

Instala VibeDefend en 5 segundos.

Un solo comando conecta a CybeDefend todos los agentes de programación de tu máquina: tus reglas de negocio, tus marcos normativos y protecciones que bloquean las acciones destructivas antes de que se ejecuten.

Instala en 5 segundosNode 18.17+

npx -y @cybedefend/vibedefend@latest install

Detección automática

Claude Code
Cursor
OpenAI Codex
Windsurf
VS Code Copilot

Habla con tu repo. Despliega la versión segura.

Tres preguntas, respondidas en tu código.

¿Es seguro este handler de login?

Arréglamelo.

Haz que no vuelva a pasar.

El security champion, reescrito.

Ya disponible en Cybe Champion.

Cero YAML. Tus reglas, extraídas de tu propio código.

El riesgo, visible antes de la PR

Sugerencias de parche que el agente puede aplicar

Inteligencia de seguridad colectiva

Seguridad y privacidad, desde el diseño.

Regiones de datos UE + EE. UU.

Nunca entrenamos con tu código

On-premise y air-gapped

Cómo funciona,en detalle.

Preguntas antes de instalar

Instala VibeDefend en 5 segundos.

Cómo funciona,
en detalle.