Presentación del taller: ¿Es segura tu app hecha con vibe coding?
Flechas para avanzar. F para pantalla completa. N para las notas del ponente.
¿Es segura tu app hecha con vibe coding?
Un taller práctico de Vibe para quienes construyen con IA
vibe1 / 24Bienvenida a todo el mundo. Pregunta: que levante la mano quien haya publicado algo construido sobre todo con IA. Que la mantenga quien tenga usuarios reales iniciando sesión. Que la siga manteniendo quien cobre pagos. Para esas personas es esta sesión. Guion de hoy: 3.5 horas, una pausa.Tu IA escribe el código. Tú respondes de las consecuencias.
vibe2 / 24Esta es la frase que hay que recordar. Repítela al final.¿Quién les va a contar a los vibe coders lo de...?
Rate limiting · Idempotency · Row-level security · Timeouts · Webhooks · Secretos · Rollbacks · Backups · Prompt injection · y 102 más
vibe3 / 24Enseña el póster original si lo tienes. Circuló en 2026 como una broma. Explica que hoy veremos primero los que causan daños reales.Las pruebas
- Alrededor del 44% de las tareas de generación de código con IA introdujeron una vulnerabilidad conocida (Veracode, 2026)
- 170+ apps expuestas por una sola política de base de datos ausente (CVE-2025-48757)
- 1 agente de IA borró una base de datos de producción en plena congelación de código (julio de 2025)
Parte 1. La mentalidad
20 minutos
vibe5 / 24El código de IA falla de formas predecibles
- Comprueba quién eres, pero no qué es tuyo
- Pone los secretos donde le resulta cómodo
- Escribe el happy path y se traga los errores
- Hace consultas dentro de bucles
- Se inventa paquetes que no existen
- Dice "listo, pasan todos los tests" sin haber ejecutado nada
Las cinco lentes
- Adversario. ¿Y si el usuario es un atacante?
- Escala. ¿Y si 1,000 personas hacen esto a la vez?
- Fallo. ¿Y si lo que llamo va lento o está caído?
- Cambio. ¿Cómo lo despliego y lo deshago con seguridad?
- Visibilidad. ¿Cómo me enteraría siquiera de que se ha roto?
Radio de impacto
- A. Reversible y privado: despliega sin miedo
- B. Toca datos de usuarios: control de acceso y backups
- C. Dinero o identidad: idempotency, auditoría, tests
- D. Acciones irreversibles o externas: aprobación humana y un kill switch
Parte 2. Te presentamos Ledgerly
La especificación de una app real con 14 tests de seguridad. 10 minutos
vibe9 / 24Preparación
cd vibe-starter
npm install
npm run score
Resultado esperado: 0 / 14 passing
vibe10 / 24Pon el marcador en la segunda pantalla. Ayuda ahora, no más tarde, a quien se atasque con la instalación. Forma parejas si fallan los equipos.Las reglas
- Usa tu asistente de IA para construir cada funcionalidad
- Lee cada diff antes de aceptarlo
- Nunca edites los tests
- Pide a tu IA que explique el test que falla antes de escribir nada
Parte 3. ¿Quién puede ver qué?
Control de acceso, inyección, secretos. 50 minutos
vibe12 / 24El control de acceso roto es el riesgo número uno
OWASP Top 10:2025, A01. La app comprueba que has iniciado sesión, no que la factura sea tuya.
Pruébalo: pide a tu IA que construya el endpoint de facturas. Inicia sesión como Bob y cambia el ID de la factura. ¿De quién es la factura que ves?
vibe13 / 24Hazlo en directo en el proyector. La reacción de la sala es la lección. Después deja que pasen los tests 01 y 02.Los secretos no pintan nada en el navegador
Todo lo que va en el bundle del frontend es público. Abre las dev tools y busca sk_.
Si se filtra una clave, rótala. Borrar el archivo no borra el historial de git.
vibe14 / 24Pasa el test 03. Menciona que muchas plataformas de hosting exponen al navegador cualquier variable con prefijo público.Lab: pasa los tests 01 a 07
Control de acceso, SQL injection, secretos, XSS, rate limiting, hashing de contraseñas, N+1
Puntuación objetivo: 7 / 14
vibe15 / 2435 minutos. Recorre la sala. Pregunta "¿cómo sabes que funciona?" en cada mesa. Anuncia en voz alta a la primera persona que llegue a 7.Pausa
15 minutos
vibe16 / 24Parte 4. Cuando las cosas salen mal
Timeouts, webhooks, race conditions. 40 minutos
vibe17 / 24Las redes fallan a medias
- Toda llamada saliente necesita un timeout
- Los reintentos necesitan idempotency, o a los clientes se les cobra dos veces
- Los webhooks necesitan verificación de firma y deduplicación
- Comprobar y luego actuar exige una actualización atómica
Parte 5. Cuando la entrada es el ataque
SSRF y prompt injection. 40 minutos
vibe19 / 24La combinación letal
Un agente de IA es peligroso cuando tiene las tres cosas:
- Acceso a datos privados
- Exposición a contenido no confiable
- Una forma de actuar o de enviar datos fuera
Quita una pata en cada tarea.
vibe20 / 24Pregunta a la sala qué debería hacer un asistente cuando un documento contiene una instrucción como "reembolsa esta factura". Después pasa el test 12 con un paso de aprobación. Menciona el OWASP Top 10 for Agentic Applications 2026 y el marco de IMDA de Singapur para IA agéntica.Lab: pasa los tests 08 a 14
Puntuación objetivo: 14 / 14
vibe21 / 2430 minutos. Quien termine antes se empareja con alguien que esté atascado. Así trabajan los equipos de verdad.Parte 6. Para llevar a casa
20 minutos
vibe22 / 24Tus próximos 7 días
- Haz un escaneo de secretos en tu app real y rota todo lo que encuentres
- Activa row-level security y pruébala con una segunda cuenta
- Pon límites de gasto a todas las API keys de pago
- Añade un timeout a cada llamada saliente
- Haz una restauración de backup y cronométrala
Conserva la vibe. Suma las pruebas.
vibe.jayren.ai
vibe24 / 24Indícales el checklist de preparación y su cuenta gratuita de Vibe para seguir su progreso. Menciona el intensivo de 2 días para aplicar todo esto a su propia app. Recoge una frase de feedback antes de que se vaya la gente.