David
Construye y Rompe

Revisión autónoma de IDOR/BOLA con agentes de Claude

Un pentest autónomo de la lógica de autorización en repos Next.js App Router: agentes siguen cada identificador controlado por el cliente hasta la consulta de base de datos que alcanza y marcan los checks de propiedad que faltan — el riesgo #1 de OWASP que las herramientas SAST de pattern-matching suelen pasar por alto.

• → Pipeline de cuatro fases: inventario determinista de endpoints con ts-morph (route handlers, Server Actions, detección de librería de auth), una pasada de trazado por agente, una pasada adversarial de verificación que elimina falsos positivos, y reportes Markdown / SARIF / JSON con códigos de salida listos para CI.
• → Medido, no intuición: evaluado sobre un benchmark con 16 vulnerabilidades IDOR/BOLA sembradas más 6 gemelos endurecidos como trampas de falsos positivos, con umbrales de recall/precisión y un runner oráculo que valida el harness independientemente de la calidad del modelo.
• → Falla ruidosamente, nunca en silencio: los endpoints que no puede analizar se reportan como no-analizados en lugar de limpios, y los candidatos no verificables aparecen como baja confianza en vez de descartarse.

Laboratorio ofensivo y defensivo de seguridad LLM/RAG

Dos servicios FastAPI con la misma superficie RAG — uno intencionalmente vulnerable, otro endurecido. Cada ataque de la suite tiene éxito contra el primero y falla contra el segundo, de modo que cada mitigación queda demostrada, no sólo afirmada.

• → Cinco escenarios del OWASP LLM Top 10 como suite de ataques ejecutable en pytest: fuga de recuperación entre tenants (confused deputy), inyección indirecta de prompts vía documentos recuperados, envenenamiento del vector store con metadatos de ingesta falsificados, agencia excesiva sobre un servidor MCP real y XSS almacenado desde la salida del modelo.
• → Pipeline RAG construido a mano — embeddings, vector store en memoria, corpus multi-tenant con ACL — sin LangChain, de modo que el diff entre las dos apps es exactamente el conjunto de decisiones de seguridad.
• → Un mock LLM determinista hace que «todos los ataques fallan contra la API segura» sea una propiedad confiable en CI; un proveedor sobre OpenRouter re-verifica el comportamiento de inyección contra un modelo real.

Laboratorio ofensivo y defensivo de vulnerabilidades JWT

Laboratorio de ataque y defensa que ejercita vulnerabilidades reales de JWT contra una versión endurecida, demostrando cada mitigación en lugar de sólo afirmarla.

• → Firma y verificación de JWT en TypeScript desde cero (sin librerías) reproduciendo cinco fallos de nivel producción: bypass con alg=none, confusión de claves HS256/RS256, fuerza bruta de secretos débiles, inyección en el header kid y falta de validación de iss/aud/exp.
• → Scripts de explotación reproducibles (Bash + OpenSSL) y un harness que prueba que cada payload tiene éxito contra la API vulnerable y es rechazado por la segura.
• → Servicio endurecido que elimina clases enteras de bugs: allowlist de un único algoritmo RS256, registro fijo de kids en memoria con rotación, errores genéricos y hashing de contraseñas con scrypt.

Workspace colaborativo seguro en tiempo real

Sistema colaborativo seguro con identidad verificada, autenticación endurecida y una capa de tiempo real hecha a medida.

• → Stack de autenticación propio: JWT con EdDSA, refresh tokens rotativos con detección de reutilización, hashing con Argon2id y protección CSRF.
• → Servidor WebSocket propio con handshake de ticket de un solo uso, autorización por evento y RBAC aplicado del lado del servidor.
• → Capa de rooms en tiempo real: presencia, indicador de escritura, contexto compartido por hilos e historial persistente que sobrevive a reconexiones.

Plataforma e-commerce en producción construida en solitario

Plataforma e-commerce en producción, construida de extremo a extremo en solitario para una ferretería familiar.

• → Único ingeniero de extremo a extremo: requisitos, arquitectura, catálogo de inventario en tiempo real, despliegue y mantenimiento continuo de una tienda retail en vivo.
• → Diseñé e implementé autenticación, seguridad de sesiones y RBAC para superficies de staff y clientes; integré Mercado Pago para transacciones reales en línea.
• → Endurecí la capa de aplicación frente al OWASP Top 10: consultas parametrizadas, validación de entrada en el servidor, protección CSRF en endpoints que modifican estado y roles de base de datos con mínimos privilegios.