No audites con los ojos: audita con un guion
«Revísalo por seguridad» es un prompt débil: la IA responderá «todo está bien». Una auditoría útil exige un guion de chequeo y una salida con formato. Y sobre todo, saber leer el resultado: no todos los «problemas» valen lo mismo. Tu trabajo es dirigir la revisión y decidir el orden de ataque.
El guion que le pasas
Actua como auditor de seguridad. Revisa ESTE codigo y responde SOLO con una tabla:\n| Hallazgo | Dónde (archivo/linea) | Riesgo (alto/medio/bajo) | Por que importa | Como arreglarlo |\n\nChequea en concreto:\n- inyeccion SQL (consultas con concatenacion de entrada)\n- secretos literales en el codigo o expuestos al frontend\n- endpoints sin comprobar permiso en el servidor\n- datos de usuario mostrados sin escapar (XSS)\n- contraseñas sin hashing\n- acciones sensibles sin token CSRF\n- informacion de error que revela detalles internos\n\nPrioriza lo de RIESGO ALTO primero. No arregles nada aun; solo el informe.Priorizar por riesgo, no por cantidad
| Riesgo | Qué significa | Qué haces |
|---|---|---|
| Alto | Permite robar datos o entrar sin permiso ahora | se corrige antes de publicar |
| Medio | Expone algo pero con condiciones | se corrige en la siguiente iteración |
| Bajo | Buena práctica incumplida sin daño inmediato | se anota para pulir |
Cómo leer el informe sin paralizarte
Un buen informe puede listar treinta cosas. No es que tengas un desastre: es que el auditor fue minucioso. Marca los altos que afectan datos o acceso, corrígelos, y vuelve a auditar: esa segunda pasada confirma que cerraste lo crítico antes de desplegar.
Prueba
El informe de auditoría lista 12 hallazgos: 2 de riesgo alto (acceso sin permiso y una clave expuesta) y 10 bajos de estilo. Tu decisión correcta es:
Pedir a la IA una auditoría con el prompt «revísalo por seguridad» suele bastar para encontrar los riesgos reales.
Detecta la falsa auditoría
Le pides auditoría a una IA y te responde esto. Señala la señal de que NO hizo una revisión útil:
- Devuelve una tabla con hallazgos, archivo y línea de cada uno.
- Clasifica cada hallazgo en alto, medio o bajo según riesgo.
- Responde «el código se ve muy seguro, no encontré problemas» sin citar ningún archivo ni caso.
- Indica cómo corregir cada hallazgo sin modificar aún el código.
Identifica la linea con error.
Escribe tu propio guion de auditoría (lista de comprobación + formato de tabla) y pásaselo a la IA sobre una pieza de tu proyecto. Ordena los hallazgos por riesgo antes de pedir correcciones.