El revisor de seguridad con IA de Vercel detecta 6.029 fallos graves en su primera semana

En sus primeras 24 horas, Vercel Security Review señaló 6.817 vulnerabilidades en el código de sus clientes. Menos de una semana después de su lanzamiento el 3 de noviembre, la cuenta había llegado a 57.897, de ellas 6.029 calificadas como críticas o altas, y el agente de Vercel ya había corregido 14.665. Guillermo Rauch, consejero delegado de Vercel, publicó las cifras el 10 de noviembre, el día en que terminó la prueba gratuita. Para los desarrolladores detrás de esos repositorios, miles de agujeros se cerraron con un clic y una revisión.

Un hallazgo cada diez segundos

Vercel Security Review está en beta pública para los equipos Pro y Enterprise. Cuando un equipo lo activa, cada envío a un repositorio de GitHub conectado se revisa en busca de vulnerabilidades, también los envíos directos a la rama de producción. Los hallazgos aparecen en un panel de Seguridad, como una comprobación de GitHub en el commit y como comentarios en la pull request.

Los totales de la primera semana equivalen más o menos a un hallazgo cada diez segundos, de día y de noche. La primera actualización de Rauch, a las 24 horas, contaba 580 hallazgos críticos o altos; la segunda, más de diez veces más.

“Me sorprende la cantidad de vulnerabilidades críticas que pasarían desapercibidas.”— Guillermo Rauch

Las cifras son de la propia Vercel, sin desglose por tipo, y cada nivel de gravedad lo genera la IA. La pregunta más reveladora es qué tipo de fallos encuentra, y cómo.

Cómo detecta lo que se les escapa a los escáneres de patrones

Cada revisión cubre solo lo que ha cambiado y compara el envío con una base, que en los despliegues es el despliegue anterior de la rama. Por eso una revisión termina en segundos y puede ejecutarse en cada despliegue de vista previa y de producción.

El agente lee el diff junto con el código que lo rodea, rastrea cómo se puede llegar al código modificado, comprueba las protecciones que ya existen y vuelve a verificar cada hallazgo antes de informar de él. Vercel dice que así detecta fallos de lógica como la falta de comprobaciones de autorización, que se les escapan a los escáneres basados en patrones. Su propio ejemplo es un punto de descarga de facturas que nunca comprueba a qué organización pertenece una factura, de modo que cualquier usuario con sesión iniciada podría bajar las facturas de otra empresa cambiando un identificador.

Arreglarlos lleva un clic. El agente confirma que la vulnerabilidad sigue ahí, hace el cambio más pequeño que la corrige, actualiza las pruebas y abre una pull request, y no se fusiona nada hasta que un desarrollador lo aprueba. Los equipos que prefieren su propio agente de programación pueden descargar los hallazgos con el comando vercel security vulnerabilities, y pueden escribir políticas de seguridad en lenguaje corriente, como exigir que cualquier punto que devuelva datos de clientes compruebe que quien los pide es su dueño.

Esa última parte importa más cada mes, por una razón que Vercel explica en su anuncio.

Por qué cada envío tiene ahora un segundo lector

El argumento de Vercel es que los dos lados de la seguridad del software se están acelerando. Los modelos de IA más avanzados hacen que las vulnerabilidades sean más fáciles de encontrar y explotar, señala: el mes pasado, unos investigadores convirtieron dos fallos de hace una década en el núcleo de PHP en exploits funcionales de ejecución remota de código. Al mismo tiempo, los agentes escriben cada vez más del código que publican los equipos, y cada uno revisa la seguridad a su manera, o no la revisa.

Vercel deja claros los límites. La herramienta analiza el código fuente; no es una auditoría de seguridad, no hace pruebas en ejecución ni de penetración y no puede garantizar que una aplicación esté libre de fallos. Desde el 10 de noviembre ya no es gratis: las revisiones se cobran a la tarifa por token del modelo que hay debajo, sin recargo, más 0,25 dólares por millón de tokens.

En su publicación, Rauch dice que funciona en cualquier repositorio, se despliegue donde se despliegue el código, y el anuncio cita los despliegues desde la línea de comandos de Vercel como uno de los próximos pasos. Alrededor de una cuarta parte de todo lo que encontró en la primera semana ya está corregido.

La revisión de seguridad era antes una puerta al final del proyecto; ahora lee cada envío, y el arreglo llega junto con el aviso.

Lo que dice la gente

Guillermo Rauch@rauchg

“Vercel Security Review, less than 1 week since launch: ✓ 𝟱𝟳,𝟴𝟵𝟳 vulnerabilities identified ✓ 𝟲,𝟬𝟮𝟵 critical or high ✓ 𝟭𝟰,𝟲𝟲𝟱 already patched by Agent I'm shocked at ① the number of critical vulnerabilities that would go unnoticed and ② the ease at which the”

550149Nov 10