Vercel lanza deepsec, un escáner con IA para encontrar vulnerabilidades ocultas en el código

Vercel ha lanzado deepsec, una herramienta de código abierto y arnés de IA para encontrar vulnerabilidades en grandes bases de código. Es el primer escáner de seguridad que funciona en tu infraestructura, con tus propias claves de API, sin enviar el código fuente a la nube. La idea es sencilla: en lugar de mandar código sensible a servidores ajenos, los agentes de Claude y GPT lo analizan en local.

Para qué sirve deepsec

Los escáneres de seguridad actuales (como las herramientas SAST) suelen generar tantos falsos positivos que sus resultados resultan inutilizables. La otra opción es contratar una firma de auditoría de seguridad, pero es cara y lenta. deepsec intenta cubrir ese hueco: agentes de IA que trabajan como un ingeniero de seguridad con experiencia, pero de forma barata, rápida y local.

Arquitectura y capacidades

Deepsec usa Claude Opus 4.7 en modo de máximo esfuerzo y GPT-5.5 con razonamiento de alto nivel. La herramienta puede ejecutarse en local en tu portátil, sin necesidad de configurar servicios en la nube. Para escalar a monorepositorios grandes, deepsec admite ejecución en paralelo mediante Vercel Sandboxes: durante el desarrollo, Vercel lanzó escaneos en más de 1000 instancias concurrentes. Escanear un repositorio grande en una sola máquina puede llevar varios días, por lo que el paralelismo es fundamental.

Cómo funciona el escaneo

El proceso tiene cinco etapas:

• Scan — las expresiones regulares localizan archivos y funciones sensibles para la seguridad
• Investigate — agentes de programación analizan en profundidad cada candidato, rastrean los flujos de datos y comprueban las medidas de mitigación
• Revalidate — una segunda pasada de agentes descarta falsos positivos y reclasifica la gravedad de cada hallazgo
• Enrich — un agente usa los metadatos de git para identificar a los desarrolladores que deben corregir el problema
• Export — los resultados se convierten en instrucciones accionables para crear tickets en un sistema de seguimiento

Resultados en proyectos reales

Vercel probó deepsec en sus propios monorepositorios y en proyectos abiertos de clientes. Los resultados impresionaron incluso a ingenieros de seguridad y fundadores con experiencia. En el código abierto de dub.co (una plataforma de acortamiento de enlaces con complejos sistemas de atribución para programas de afiliados), deepsec encontró errores ocultos en la lógica de autenticación: casos límite sutiles en las condiciones de autenticación. Los errores eran realmente crípticos: las herramientas SAST estándar no los detectaban, pero podían provocar accesos no autorizados. Los resultados llevaron a Vercel a desarrollar un plugin de escáner personalizado para comprobar todas las rutas de autenticación en sus propios monorepositorios.

«Recibimos muchos informes de seguridad automáticos, pero la mayoría

son inutilizables. deepsec es la primera herramienta que encontró justo los problemas que habría señalado un ingeniero de seguridad, y además funciona en nuestra infraestructura.» — Steven Tey, fundador de dub.co

Qué significa

La automatización del escaneo de seguridad sale del terreno de los servicios en la nube y entra en el de las herramientas que priorizan la privacidad. Para desarrolladores y equipos de seguridad, esto supone que se pueden buscar vulnerabilidades sin enviar el código a la nube, con total privacidad y con las claves de API de Claude y OpenAI que ya se tienen. Herramientas como deepsec empiezan a ocupar el nicho entre las costosas auditorías de seguridad profesionales (que requieren semanas y cuestan cientos de miles) y los escáneres automáticos ineficaces (que generan un 95 % de falsos positivos). Potencialmente, esto podría convertirse en un estándar en el pipeline de seguridad de las grandes empresas.