Revisión de código con verificación

El modelo revisa una función de Astilla y reporta, con total seguridad, una inyección de SQL. Vas al código: la consulta usa parámetros enlazados y la entrada nunca se concatena. El modelo vio la forma de una consulta con entrada de usuario y completó el patrón «esto suele ser inyectable», sin comprobar que aquí no lo es. Es un falso positivo, y suena idéntico a un hallazgo real.

Un fallo reportado por un modelo es una hipótesis a verificar, no un hallazgo. Se confirma leyendo el código y, cuando toca, reproduciéndolo en el laboratorio antes de que entre en el informe.

Le pasas al modelo un archivo y te dice que no encontró nada preocupante. El problema real de ese servicio, sin embargo, nace de cómo un archivo recibe la entrada y otro archivo la usa sin sanear: el fallo vive en la conexión entre dos piezas que el modelo no miró juntas. «El modelo no encontró nada» no significa «no hay nada»; significa «no hay nada en lo que miró y como lo miró».

Un barrido de modelo acota, no cierra. La ausencia de hallazgos en su salida no es un veredicto de código limpio, sobre todo cuando el flujo peligroso cruza varios archivos.

El modelo dice que una librería del servicio de Astilla arrastra una vulnerabilidad conocida y suelta un identificador con forma de CVE. Puede ser real, puede estar mal atribuido a otra versión, o puede ser inventado: un modelo genera identificadores plausibles con la misma facilidad con que cita los verdaderos. Un CVE en un informe se contrasta siempre contra la fuente oficial, no contra la memoria del modelo.

Poner en un informe un CVE que no existe, o que no afecta a la versión que el cliente usa, destruye la credibilidad del trabajo entero. La verificación aquí es barata —consultar la base oficial— y el error es caro.

El modelo etiqueta un hallazgo como crítico, con seguridad. Pero la severidad depende de cosas que el modelo no conoce: si el código vulnerable es alcanzable de verdad, qué datos toca, qué protecciones hay alrededor, qué significa para el negocio de Astilla. Una etiqueta de severidad sin tu evidencia de que el fallo se puede alcanzar y explotar es una opinión con formato.

La severidad final la calcula el operador con el contexto del engagement: la reproducción en el laboratorio, la exposición real y el impacto para el cliente. El modelo puede sugerir; el veredicto lo sostiene la evidencia.

Abre la estación. El modelo citó un identificador de vulnerabilidad para una librería del servicio; no lo des por bueno por su tono. Contrástalo contra el índice local de CVE antes de creerlo.