Envía código escrito por IA
sin enviar una fuga de seguridad.
Las PR escritas por IA pueden introducir consultas sin filtro de organización, inyecciones SQL, secretos en el código y SSRF. slopGrade Firewall bloquea las fugas cross-tenant y los XSS por echo/print de PHP que muestra sin escapar datos de la petición; los repos de pago también bloquean las comparaciones de HMAC o firmas con == accesibles desde una petición. Los demás hallazgos se notifican sin bloquear, antes del merge — determinista, 0 $, y solo se envía una huella {archivo · línea · clase} por defecto en un repo privado. Los repos públicos ejecutan el deep scan (heisen-slop) por defecto; en un repo privado es una opción de pago.
Hecho para equipos cuyo código privado se queda en el runner por defecto. Enterprise puede ejecutar heisen-slop en tu red.
Por defecto, el escaneo de seguridad nunca ve tu código privado.
Los revisores de IA alojados y los escáneres SaaS ingieren tu código fuente en su plataforma. Para muchos equipos — fintech, salud, sector público — eso ya es un impedimento. slopGrade Firewall ejecuta los detectores dentro de tu runner y, en un repo privado, publica por defecto solo una huella estructural. Allí el deep scan (heisen-slop) es una opción de pago; está activo por defecto en los repos públicos.
Escáner SaaS típico
Todo tu repo — cada línea, cada secreto — copiado a una plataforma de terceros.
slopGrade Firewall
Una huella estructural — ruta, línea, clase. En un repo privado, el contenido del archivo se queda en el runner por defecto; el deep scan (heisen-slop) es una opción de pago. En un repo público, el deep scan corre por defecto. Audítala con --print-payload.
Detecta → adapta → verifica. En un repo privado, nada más sale por defecto.
En local, en tu runner
El cliente de código abierto recorre el diff y construye una huella estructural — rutas de archivos, {file, line, kind}, y los nombres de tablas y columnas que necesita el control cross-tenant. Por defecto, el contenido de tus archivos privados se queda en la máquina.
Veredicto del servidor + gate
La huella se clasifica en el servidor. Las fugas cross-tenant y los XSS por echo/print de PHP que muestra sin escapar datos de la petición bloquean en los repos públicos, el repo privado gratuito y los repos de pago. Una comparación de HMAC o firmas con == solo bloquea en un repo de pago, si una petición puede alcanzarla. Las demás formas de XSS y las demás clases informan sin bloquear. El control de suscripción permite continuar si falla. En XSS, solo bloquea un echo/print de PHP que muestra sin escapar datos de la petición ($_GET / $_POST / $_REQUEST / $_COOKIE).
Corrección calculada en tu runner
Cada hallazgo se publica inline en su línea. Para las clases con una reescritura segura y determinista (verificación TLS desactivada, debug activo, yaml.load…), la corrección se genera Y se verifica en tu runner — el servidor nunca la toca, y solo se ofrece cuando se prueba que elimina el hallazgo.
Cross-tenant + XSS por echo/print de PHP bloquean gratis. Los demás hallazgos son informativos.
Los 22 paquetes de detectores de código abierto se ejecutan en todos los repos. El bloqueo gratuito cubre las fugas cross-tenant y solo los XSS por echo/print de PHP que muestra sin escapar datos de la petición; las demás formas de XSS y las demás clases informan sin bloquear. Los repos de pago detectan el catálogo completo de 125 clases; 3 clases bloquean hoy, añadiendo las comparaciones de HMAC o firmas con == accesibles desde una petición. El análisis de flujo entre archivos corresponde al deep scan (heisen-slop).
El catálogo completo de detección de pago: 125 clases →
Deep scan (heisen-slop)
El deep scan (heisen-slop) es una pasada de flujo determinista en 6 lenguajes. Es gratis en repos públicos, una opción de pago en repos privados, informativo por defecto, y el código se analiza en memoria y se descarta. Ejecutarlo en tu infraestructura es una opción Enterprise, descrita en la página del motor.
El plan gratis es real. La gate es donde paga.
Bloquea fugas en repos privados. Solo para una persona, Team para un equipo — nunca por asiento.
Solo: 10 repos privados para una persona, hasta 50. Team: 50 repos privados, usuarios ilimitados, Deep Scan en cada PR. El bloqueo es gratis en cada repo público y un repo privado. 14 días gratis, sin tarjeta.
Los repos públicos tienen gate gratis, para siempre. Solo y Team: 14 días gratis, sin tarjeta, una vez por cuenta.
¿Listo para bloquear la próxima fuga antes del merge?
Añádelo a un solo archivo de workflow. La primera PR de código IA que escanees te dirá lo que iba a dejar pasar.
Las preguntas que un equipo de seguridad hace primero.
¿Mi código fuente sale del runner?
Por defecto, el contenido de tus archivos privados nunca sale del runner. El cliente lee los archivos localmente y solo envía una huella estructural — rutas, {file, line, kind}, y los nombres de tablas y columnas que necesita el control cross-tenant. Ejecuta node isolation-gate.mjs --print-payload para auditar los bytes exactos. Incluso un secreto hardcodeado solo emite la ubicación y el tipo, nunca el valor. El deep scan (heisen-slop: opción de pago en un repo privado, activo por defecto en un repo público) envía como máximo 80 archivos con un sink / 2M caracteres, los analiza en memoria y los descarta. Informativo salvo deep-scan-block. Un repo privado gratis nunca envía el código.
¿Hará spam en mis PR o romperá mi build?
No. Empieza en modo informativo para ver cada hallazgo sin bloquear y activa el gate cuando tengas confianza. Las fugas cross-tenant y los XSS por echo/print de PHP que muestra sin escapar datos de la petición bloquean gratis; los repos de pago también bloquean las comparaciones de HMAC o firmas con == si una petición puede alcanzar la comparación. Las demás formas de XSS y las demás clases siguen siendo informativas hasta superar el umbral de pruebas públicas a ciegas. Por defecto, un fallo de red, servidor u OIDC nunca rompe el build; strict permite detenerlo si falla la comprobación.
La corrección automática — ¿dónde se ejecuta?
Para las clases con una reescritura segura y determinista (verificación TLS desactivada, debug activo, yaml.load…): en tu runner. La corrección se genera y se verifica en local (re-ejecutamos el detector sobre el buffer parcheado y solo conservamos la corrección si elimina la fuga) — el servidor nunca la toca, y tu árbol nunca se modifica: aplicarla sigue siendo tu decisión.
¿Puedo auditar el código que corre en mi CI?
Sí — el cliente es de código abierto (MIT). Fija el SHA del commit para congelar el código exacto (un tag puede re-apuntarse, un SHA no). Cero dependencias npm; solo módulos nativos de Node.
¿Qué lenguajes?
JavaScript/TypeScript, Python, Go y .NET hoy, además de la forma XSS por echo/print de PHP. Los 22 paquetes de detectores de código abierto informan gratis. El bloqueo gratuito cubre las fugas cross-tenant y solo los XSS por echo/print de PHP que muestra sin escapar datos de la petición; las demás formas de XSS siguen siendo informativas. El firewall de pago añade Java y el catálogo completo de 125 clases; 3 clases bloquean hoy, incluidas las comparaciones de HMAC o firmas con == accesibles desde una petición.