VulnHunter: La herramienta de seguridad de código con IA agente de Capital One ahora es de código abierto
Capital One ha publicado como código abierto VulnHunter, una herramienta de seguridad de código basada en IA agente que analiza proactivamente el código fuente desde la perspectiva de un atacante. Diseñada para contrarrestar la creciente amenaza de la automatización de exploits impulsada por IA, VulnHunter hace tres cosas que la distinguen de los escáneres pasivos: ejecuta un motor de falsificación para minimizar falsos positivos, razona hacia adelante desde los puntos de entrada accesibles al atacante en lugar de hacia atrás desde sumideros peligrosos, y produce remediaciones de código respaldadas por evidencia.
Características Técnicas Clave
- Motor de Falsificación: Tras identificar una vulnerabilidad potencial, VulnHunter intenta activamente refutar su propio hallazgo buscando suposiciones no respaldadas, brechas lógicas o condiciones que impedirían el ataque. Solo los hallazgos que superan esta verificación adversarial llegan al desarrollador.
- Análisis Adelantado Primero el Atacante: En lugar de la coincidencia de patrones basada en sumideros, VulnHunter comienza en puntos de entrada accesibles al atacante (APIs, mensajes de red, cargas de archivos) y razona hacia adelante a través de la lógica de la aplicación, transformaciones de datos y puntos de control de seguridad para evaluar si un atacante puede realmente abrirse paso.
- Remediación Basada en Evidencia: Cuando un hallazgo sobrevive a la falsificación, VulnHunter mapea toda la ruta del exploit, describe las capacidades que obtendría un atacante y genera cambios de código enfocados para la revisión del desarrollador.
Enfoque en la Experiencia del Desarrollador
VulnHunter fue diseñado para reducir la carga de clasificación al evitar intencionalmente las falsas alarmas. La herramienta busca entregar solo hallazgos que han sido rigurosamente desafiados internamente, para que los desarrolladores puedan concentrarse en reparar vulnerabilidades verificadas en lugar de filtrar ruido.
La herramienta está construida para escala empresarial, pero el lanzamiento de código abierto la pone a disposición de cualquier equipo de desarrollo. Aunque Capital One la ejecutó en su propio código base antes de publicarla, el código fuente incluye el flujo de trabajo completo de razonamiento agente y el motor de falsificación.
📖 Leer la fuente completa: HN LLM Tools
👀 Ver también
Claude Code continúa registrando sesiones después de la revocación, usuarios reportan silencio de soporte de 2 semanas
Un usuario de Claude Code informa que los registros de sesión continuaron apareciendo después de revocar el acceso, con el soporte de Anthropic sin respuesta durante dos semanas. Los registros incluían alcances como user:file_upload, user:ccr_inference y user:sessions:claude_code.
Hackerbot-Claw: Bot de IA que explota flujos de trabajo de GitHub Actions
Un bot impulsado por IA llamado hackerbot-claw ejecutó una campaña de ataque automatizada de una semana contra las canalizaciones CI/CD, logrando la ejecución remota de código en al menos 4 de 6 objetivos, incluidos proyectos de Microsoft, DataDog y CNCF. El bot utilizó 5 técnicas de explotación diferentes y exfiltró un token de GitHub con permisos de escritura.
De la Granja al Código: Cómo un Agricultor Creó una Defensa de Tiempo de Ejecución de Código Abierto para OpenClaw
Descubre cómo un agricultor, sin experiencia previa en desarrollo, creó una defensa de tiempo de ejecución de código abierto para OpenClaw utilizando múltiples agentes de codificación de IA en solo 12 horas.
La función de soporte de IA de Meta permite a cualquiera secuestrar cuentas de Instagram — Detalles del exploit adentro
Una función de soporte de Instagram con IA, en fase de pruebas A/B, permite a atacantes restablecer contraseñas pidiendo al agente que envíe un código a un correo arbitrario. Más de 100 cuentas de alto valor han sido robadas.