Guía Completa 2026
Skills de Seguridad para Claude Code — Guía Completa 2026
Skills de Seguridad para Claude Code
Este artículo analiza las skills más importantes, organizadas en tres capas: seguridad en el código generado, herramientas de análisis y testing activo, y protección del propio entorno de Claude Code.
El vibe coding ha democratizado el desarrollo de software, pero ha creado un problema serio: los modelos de IA generan código funcional con vulnerabilidades reales sin advertirlo. Inyección SQL, control de acceso roto, secretos expuestos en logs, endpoints sin autenticación. El código pasa los tests, la app funciona, y la vulnerabilidad viaja a producción sin que nadie la haya buscado. Las skills de seguridad para Claude Code son la respuesta directa a este problema. Son paquetes de instrucciones especializadas que convierten a Claude en un copiloto con mentalidad de bug hunter: revisan el código desde la perspectiva de un atacante, detectan patrones vulnerables antes de que lleguen al repositorio, y obligan al agente a seguir prácticas de seguridad por defecto en lugar de por excepción.
📋 Índice de contenidos
Capa 1 — Código Seguro por Defecto
VibeSec-Skill — El Copiloto de Seguridad para Vibe Coders
VibeSec es la skill más directamente orientada al problema del vibe coding inseguro. Su premisa es simple: Claude no debería escribir código que un bug hunter encontraría vulnerable en cinco minutos. La skill enseña al modelo a aproximarse a cada función, endpoint y manejo de datos desde la perspectiva de quien intentará explotarlo. La cobertura de vulnerabilidades incluye control de acceso (IDOR, escalada de privilegios, acceso horizontal entre usuarios), inyección SQL con parametrización obligatoria, XSS con sanitización y encoding de salida, CSRF con tokens de verificación, exposición de datos sensibles en logs y respuestas de error, cabeceras de seguridad HTTP, y manejo seguro de autenticación y sesiones. La versión pública cubre el 60-70% de las vulnerabilidades comunes. La versión completa está disponible en vibesec.sh para casos que requieran cobertura más amplia.
Cuándo se activa: automáticamente en cualquier proyecto de aplicación web. También cuando el usuario pide explícitamente un escaneo o auditoría de seguridad.
Ejemplo de impacto: sin VibeSec, Claude puede generar un endpoint que verifica autenticación pero no autorización, permitiendo que un usuario autenticado acceda a recursos de otros usuarios (IDOR clásico). Con VibeSec activo, Claude verifica tanto autenticación como autorización en cada acceso a datos, valida que el usuario solicitante tiene permiso sobre el ID específico solicitado.
# Instalación global mkdir -p ~/.claude/skills/VibeSec-Skill curl -sSL https://raw.githubusercontent.com/BehiSecc/VibeSec-Skill/main/SKILL.md \ -o ~/.claude/skills/VibeSec-Skill/SKILL.md # O instalación en proyecto cp -r VibeSec-Skill/ .claude/skills/
owasp-security — OWASP Top 10:2025, ASVS 5.0 y Seguridad de Agentes IA
La skill más completa y actualizada como referencia de estándares de seguridad. Con casi 17.000 caracteres, empaqueta el equivalente a varios cheat sheets de seguridad en un único archivo que Claude carga automáticamente cuando escribe o revisa código.
Estándares cubiertos:
- OWASP Top 10:2025 con tabla de referencia rápida: Control de Acceso Roto, Configuración de Seguridad Incorrecta, Fallos de Cadena de Suministro, Fallos Criptográficos, Inyección, Diseño Inseguro, Fallos de Autenticación, Fallos de Integridad, Fallos de Logging, y Manejo de Excepciones.
- OWASP ASVS 5.0 con requisitos de verificación en tres niveles (L1, L2, L3) que permiten adaptar la exigencia al tipo de aplicación: básica, de negocio, o crítica.
- OWASP Top 10 para LLM Apps 2025 (LLM01-LLM10), que cubre los riesgos específicos de chatbots, pipelines RAG, y aplicaciones con llamadas a herramientas. Relevante para cualquier equipo que construya sobre modelos de lenguaje.
- OWASP Agentic AI 2026: los 10 riesgos específicos de agentes de IA autónomos. Este es el más nuevo y el más relevante para equipos que despliegan Claude Code en pipelines automatizados.
Quirks de seguridad por lenguaje (20+ lenguajes): la sección más práctica de la skill. Incluye patrones inseguros vs. seguros específicos por lenguaje. Por ejemplo: en Python, pickle.loads() es inherentemente inseguro para datos no confiables. En Go, html/template no escapa contextos CSS. En PHP, extract() sobre entrada de usuario es una puerta de entrada a inyección de variables. Claude usa estas referencias para evitar los gotchas específicos de cada stack.
# Instalación en proyecto curl -sL https://raw.githubusercontent.com/agamm/claude-code-owasp/main/.claude/skills/owasp-security/SKILL.md \ -o .claude/skills/owasp-security/SKILL.md --create-dirs # Instalación global curl -sL https://raw.githubusercontent.com/agamm/claude-code-owasp/main/.claude/skills/owasp-security/SKILL.md \ -o ~/.claude/skills/owasp-security/SKILL.md --create-dirs
Capa 2 — Análisis Estático y Testing Activo
Trail of Bits Security Skills — El Arsenal Profesional de Auditoría
Trail of Bits no es una empresa de seguridad genérica. Es la firma que creó Slither (el analizador de contratos inteligentes más usado), Echidna (fuzzer para Solidity), y ha auditado productos críticos de infraestructura durante más de una década. Sus skills de Claude Code son los workflows reales de auditoría que usan internamente, codificados en SKILL.md.
El repositorio contiene más de una docena de skills especializadas organizadas en plugins. Las más relevantes:
- static-analysis: toolkit completo de análisis estático con CodeQL, Semgrep, y parseo de resultados SARIF. Claude construye la base de datos de CodeQL, selecciona los rulesets adecuados (seguridad, calidad, detección de tipos), ejecuta el análisis y lee los resultados estructurados en SARIF. No es Claude describiendo vulnerabilidades. Es Claude ejecutando herramientas reales de análisis estático.
- variant-analysis: encuentra variantes del mismo patrón de vulnerabilidad en todo el código fuente. Cuando encuentras un SQL injection en un endpoint, la variant analysis busca si el mismo patrón existe en otros 50 endpoints del proyecto. Previene que parchees una instancia mientras quedan otras vulnerables.
- semgrep-rule-creator: crea reglas Semgrep de calidad de producción para detectar patrones de bug específicos de tu proyecto. Útil cuando tienes una vulnerabilidad interna recurrente que no cubre ninguna regla pública.
- semgrep-rule-variant-creator: porta reglas Semgrep existentes a nuevos lenguajes con validación test-driven.
- audit-context-building: construye contexto arquitectónico profundo del código antes de una auditoría, con análisis ultra-granular de la base de código.
- differential-review: revisión de seguridad enfocada en diferencias de código con análisis de historial de git. Ideal para revisar PRs antes de mergear.
- supply-chain-risk-auditor: audita el panorama de amenazas de cadena de suministro de las dependencias del proyecto.
- burpsuite-project-parser: extrae y analiza datos de archivos de proyecto de Burp Suite para integrar resultados de pentesting manual con el workflow de auditoría.
- constant-time-analysis: detecta side-channels de timing inducidos por el compilador en código criptográfico. Crítico para implementaciones de criptografía a medida.
- yara-authoring: creación de reglas YARA para detección con linting, análisis de átomos y mejores prácticas.
- sharp-edges: identifica APIs propensas a errores, configuraciones peligrosas y diseños con «footguns».
# Instalar una skill específica npx skills add https://github.com/trailofbits/skills --skill static-analysis # Instalar todo el repositorio (global para Codex, similar para Claude Code) git clone https://github.com/trailofbits/skills.git ~/.codex/trailofbits-skills # Via marketplace de Claude Code /plugin install trailofbits/skills/plugins/static-analysis /plugin install trailofbits/skills/plugins/semgrep-rule-creator /plugin install trailofbits/skills/plugins/variant-analysis
ffuf_claude_skill — Fuzzing Web Inteligente
FFUF (Fuzz Faster U Fool) es uno de los fuzzeers web más rápidos y usados en pentesting autorizado. Está escrito en Go y es significativamente más rápido que herramientas clásicas como dirb o dirbuster. La skill de jthack enseña a Claude toda la superficie de comandos de FFUF para que puedas describir en lenguaje natural lo que quieres fuzzeear y recibir comandos listos para producción.
La skill cubre: descubrimiento de directorios y archivos ocultos, enumeración de subdominios, fuzzing de parámetros GET y POST, fuzzing autenticado con requests raw, auto-calibración de respuestas para eliminar falsos positivos, y análisis inteligente de resultados.
Un detalle técnico importante que la skill hace explícito: la flag -ac (auto-calibración) es obligatoria. Sin ella, los resultados son tan ruidosos que Claude pierde tiempo filtrando miles de falsos positivos en lugar de encontrar lo interesante. La skill instruye a Claude a usar -ac siempre y a buscar anomalías: códigos de estado diferentes, tamaños de respuesta distintos, timing inusual, endpoints con nombres como admin, api, backup, config, .git.
Cuándo usarla: exclusivamente en sistemas propios o en los que tienes autorización explícita por escrito para hacer pentesting. Esta skill es una herramienta de seguridad ofensiva para profesionales.
# Prerequisito: instalar ffuf go install github.com/ffuf/ffuf/v2@latest # O en macOS brew install ffuf # Instalar la skill npx skills add https://github.com/jthack/ffuf_claude_skill --skill ffuf-web-fuzzing # Uso con Claude Code "Fuzzea el endpoint /api/v2 en mi servidor local buscando rutas ocultas. Usa auto-calibración y limita a 50 req/s."
webapp-testing — Testing de Aplicaciones Web con Playwright
Skill oficial de Anthropic para interactuar y testear aplicaciones web locales mediante scripts Python de Playwright. A diferencia del ffuf skill que busca vulnerabilidades conocidas, webapp-testing verifica el comportamiento funcional de la UI, depura comportamiento visual, captura screenshots y monitorea logs del navegador.
Su patrón de trabajo es recomendación propia de la skill: reconocimiento-antes-de-acción. Claude primero espera a networkidle (crítico para SPAs con JavaScript), toma un screenshot del estado renderizado, inspecciona el DOM real para identificar selectores, y solo entonces ejecuta acciones. Esto elimina el error clásico de intentar hacer clic en botones que aún no se han renderizado.
El helper with_server.py gestiona el ciclo de vida de servidores automáticamente: puedes especificar múltiples servidores (backend + frontend por separado) con sus puertos, y la skill los levanta, espera a que estén listos, ejecuta el test, y los cierra limpiamente. Los scripts de ejemplo están diseñados como cajas negras: se ejecutan directamente sin necesidad de que Claude los lea completos, lo que evita contaminar la ventana de contexto con miles de líneas de código de automatización.
Relevancia para seguridad: permite verificar de forma automatizada que los controles de acceso funcionan en la UI: intentar acceder a rutas protegidas sin autenticación, verificar que los formularios con validación del lado cliente también validan del lado servidor, comprobar que las sesiones expiran correctamente.
npx skills add https://github.com/anthropics/skills --skill webapp-testing
# Ejemplo de uso para test de seguridad de acceso
"Usa webapp-testing para verificar que la ruta /admin redirige al login
cuando no hay sesión activa, y que no devuelve datos parciales antes
de redirigir."
systematic-debugging — Debugging con Metodología Científica
Aunque no es específicamente una skill de seguridad, systematic-debugging es fundamental en un workflow de seguridad porque resuelve el problema más costoso del análisis de vulnerabilidades: Claude guessea la causa raíz y parchea síntomas en lugar de corregir el problema real. La skill impone un proceso de cuatro fases que deben completarse en orden. No puede saltarse una fase para llegar al código:
La skill incluye 11 archivos de soporte: root-cause-tracing.md, defense-in-depth.md, condition-based-waiting.md, y otros. Si tras tres o más fixes el problema persiste, la skill instruye a Claude a cuestionar la arquitectura, no a seguir parcheando síntomas.
En un contexto de seguridad: cuando investigas una vulnerabilidad, systematic-debugging garantiza que entiendes completamente cómo funciona el exploit antes de intentar parchearla. Un parche que no entiende la causa raíz puede dejar vectores de ataque alternativos sin cerrar.
/plugin install superpowers@claude-plugins-official
# O instalar solo la skill de debugging
git clone https://github.com/obra/superpowers.git
cp -r superpowers/skills/systematic-debugging ~/.claude/skills/
Capa 3 — Protección del Entorno de Claude Code
varlock-claude-skill — Gestión Segura de Secretos
El problema que resuelve esta skill es específico y real: cuando Claude Code trabaja en un proyecto que usa variables de entorno con secretos (API keys, contraseñas de base de datos, tokens de servicio), hay múltiples formas en que esos secretos pueden acabar en la ventana de contexto del modelo, en los logs de la terminal, o en el historial de comandos.
La skill establece cuatro reglas críticas que Claude debe seguir sin excepciones:
Regla 1 — Nunca hacer echo de secretos:
# ❌ NUNCA HACER ESTO — expone el secreto al contexto de Claude echo $CLERK_SECRET_KEY cat .env | grep SECRET printenv | grep API # ✅ HACER ESTO — valida sin exponer varlock load --quiet && echo "✓ Secretos validados"
Regla 2 — Nunca leer .env directamente:
# ❌ NUNCA HACER ESTO — expone todos los secretos cat .env less .env # Herramienta Read sobre el archivo .env # ✅ HACER ESTO — leer el schema (seguro, sin valores) cat .env.schema varlock load # muestra valores enmascarados
Regla 3 — Usar Varlock para validación: varlock load muestra los secretos enmascarados con caracteres de bloque, confirmando su presencia y formato sin revelar el valor real al contexto de Claude.
Regla 4 — Nunca incluir secretos en comandos:
# ❌ NUNCA HACER ESTO — el secreto queda en el historial de bash curl -H "Authorization: Bearer sk_live_xxx" https://api.example.com # ✅ HACER ESTO — usar variable de entorno curl -H "Authorization: Bearer $API_KEY" https://api.example.com
Varlock también instruye a Claude sobre cómo responder si el usuario pide modificar un secreto directamente: «No puedo modificar secretos directamente por razones de seguridad. Por favor: actualiza el valor en tu archivo .env manualmente, o actualízalo en tu gestor de secretos. Luego ejecuta varlock load para validar.»
mkdir -p ~/.claude/skills/varlock
curl -sSL https://raw.githubusercontent.com/wrsmith108/varlock-claude-skill/main/skills/varlock/SKILL.md \
-o ~/.claude/skills/varlock/SKILL.md
# Instalar el CLI de Varlock
curl -sSfL https://varlock.dev/install.sh | sh -s -- --force-no-brew
export PATH="$HOME/.varlock/bin:$PATH"
sanitize (agentward-ai) — Redacción de PII en Texto
La skill sanitize de agentward-ai detecta y redacta PII (Información Personalmente Identificable) en archivos de texto antes de que acaben en el contexto de Claude. El motor de Agentward cubre 15 categorías de datos sensibles con detección basada en expresiones regulares, validación Luhn para números de tarjeta de crédito, anclaje por palabras clave para reducir falsos positivos, y mitigación específica de falsos positivos.
Las 15 categorías incluyen: SSNs (números de Seguridad Social), números de tarjeta de crédito, números de pasaporte, fechas de nacimiento, direcciones de correo electrónico, números de teléfono, direcciones físicas, nombres completos en contextos sensibles, API keys con prefijos comunes, tokens de autenticación, números de cuenta bancaria, IBANs, credenciales médicas, y más.
Todo el procesamiento es local: no se envían datos a ningún servicio externo. La redacción ocurre antes de que el texto entre en la ventana de contexto de Claude.
Cuándo usarla: cuando Claude Code trabaja con logs de producción, archivos CSV con datos de usuarios, exports de base de datos, o cualquier archivo que pueda contener datos personales de clientes antes de pasarlo al modelo para análisis.
Relevancia para compliance: en proyectos sujetos a GDPR, HIPAA, PCI-DSS o regulaciones similares, procesar datos de usuarios a través de un LLM sin redacción previa puede constituir una violación de datos. Esta skill no es solo una buena práctica: en algunos contextos es un requisito legal.
ironclaw-agent-guard — Guardia de Seguridad para el Agente
IronClaw Agent Guard es una skill de guardia que implementa un plano de control de seguridad para las acciones del agente. Inspirada en la arquitectura de IronClaw (el agente OS de NEAR AI centrado en seguridad), esta skill supervisa las llamadas a herramientas de Claude Code y aplica políticas de seguridad antes de que se ejecuten.
El modelo de seguridad sigue un ciclo de cinco etapas: SCAN (descubrir herramientas disponibles y clasificar su riesgo), CONFIGURE (generar una política adaptada al proyecto), ENFORCE (evaluar cada llamada a herramienta contra la política antes de ejecutarla), VERIFY (lanzar probes adversariales para confirmar que la política bloquea lo que debe bloquear), y MONITOR (mantener un trail de auditoría en JSON Lines para integración con SIEMs).
Las capacidades de enforcement incluyen: detección de prompt injection en inputs de herramientas, prevención de exfiltración de datos a destinos no autorizados, limitación de operaciones de sistema de archivos a directorios permitidos, y bloqueo de llamadas de red no declaradas en la política.
Cuándo usarla: en proyectos donde Claude Code tiene acceso a operaciones sensibles (acceso a base de datos, llamadas a APIs externas, modificación de archivos de configuración) y quieres un control explícito y auditable de qué está autorizado a hacer el agente.
El Contexto de Seguridad del Ecosistema de Skills en 2026
Para entender por qué las skills de seguridad son importantes, hace falta entender el contexto del ecosistema. En Q1 2026 ocurrieron varios eventos que cambiaron la percepción sobre los riesgos de seguridad de las skills de agentes IA.
El incidente ClawHavoc y sus lecciones
El marketplace de OpenClaw (ClawHub) experimentó una campaña de supply chain poisoning coordinada que Snyk denominó ClawHavoc. De casi 4.000 skills analizadas, 283 (~7.1%) contenían vulnerabilidades que exponían credenciales sensibles. 335 skills formaban parte de una campaña coordinada que distribuía malware real: Atomic Stealer (AMOS) en macOS y un trojan empaquetado en Windows.
El vector no fue sofisticado. Las skills maliciosas tenían documentación profesional, nombres creíbles como «solana-wallet-tracker» y «youtube-summarize-pro», y cientos de líneas de README legítimas. El malware estaba en una sección de «Prerequisitos» que pedía ejecutar un comando de terminal para «arreglar dependencias».
La lección no es que los marketplaces de skills sean inherentemente peligrosos: es que instalar una skill sin revisar su SKILL.md y sus scripts es equivalente a ejecutar código de un desconocido.
VirusTotal implementó soporte nativo para análisis de skills de agentes IA. OWASP publicó un proyecto específico para los 10 riesgos críticos del ecosistema de skills. La higiene de instalación pasó de ser una recomendación a ser una necesidad documentada.
Qué diferencia a Claude Code de los ecosistemas afectados
Claude Code tiene algunas diferencias arquitectónicas relevantes respecto a los entornos más afectados. Las skills en Claude Code son archivos SKILL.md en Markdown sin ejecución automática de scripts al instalar: Claude las lee y las aplica como instrucciones, no como código ejecutable por defecto. Esto reduce significativamente la superficie de ataque comparado con skills que incluyen scripts de instalación que se ejecutan al hacer /plugin install.
Sin embargo, la amenaza de prompt injection sigue siendo real: un SKILL.md con instrucciones maliciosas puede hacer que Claude realice acciones no deseadas durante una sesión. Y algunas skills incluyen scripts auxiliares que sí se ejecutan en el contexto de Claude Code.
Comparativa Completa de las Skills de Seguridad
| Skill | Autor | Tipo | Qué hace | Cuándo usarla |
|---|---|---|---|---|
| VibeSec-Skill | BehiSecc | Código seguro | Copiloto de bug bounty; detecta 24+ tipos de vulnerabilidades durante la escritura de código | Siempre activa en proyectos web. Es la primera skill a instalar. |
| owasp-security | agamm | Referencia de estándares | OWASP Top 10:2025, ASVS 5.0, LLM Apps 2025, Agentic AI 2026, quirks de 20+ lenguajes | Revisiones de código, auditorías, implementación de auth/authz |
| trailofbits/skills | Trail of Bits | Auditoría profesional | CodeQL, Semgrep, análisis de variantes, auditoría de supply chain, análisis de timing crypto | Auditorías formales, pentest de código, análisis de contratos inteligentes |
| ffuf_claude_skill | jthack | Testing ofensivo | Fuzzing web inteligente: dirs, archivos, subdominios, parámetros, autenticado | Pentesting autorizado, bug bounty, descubrimiento de superficie de ataque |
| webapp-testing | Anthropic | Testing funcional | Playwright para verificar comportamiento de UI, flujos de acceso, logs de navegador | Verificar que controles de seguridad funcionan en la UI |
| systematic-debugging | obra (Superpowers) | Metodología de debugging | 4 fases: evidencia → hipótesis → prueba → implementación. No parchea síntomas. | Investigar vulnerabilidades, entender el root cause antes de parchear |
| varlock-claude-skill | wrsmith108 | Protección de secretos | Evita que API keys y credenciales aparezcan en contexto de Claude, logs o historial | Cualquier proyecto con variables de entorno sensibles |
| sanitize (agentward) | agentward-ai | Protección de PII | Redacta 15 categorías de PII en texto antes de que entren al contexto del modelo | Análisis de logs de producción, datos de usuarios, contextos GDPR/HIPAA |
| ironclaw-agent-guard | wd041216-bit | Control del agente | Plano de control de seguridad: policy enforcement y audit trail de acciones del agente | Proyectos con acceso a operaciones sensibles que requieren auditoría |
Stacks de Seguridad por Perfil
Desarrollador web con vibe coding
El objetivo es que Claude no genere vulnerabilidades conocidas durante el desarrollo normal. Stack mínimo efectivo: VibeSec-Skill (activa siempre) + owasp-security (referencia de estándares) + varlock-claude-skill (si hay secrets en el proyecto) + systematic-debugging (cuando investigas cualquier bug con implicaciones de seguridad).
# Instalar el stack básico de seguridad
mkdir -p ~/.claude/skills/{VibeSec-Skill,owasp-security,varlock}
curl -sSL https://raw.githubusercontent.com/BehiSecc/VibeSec-Skill/main/SKILL.md \
-o ~/.claude/skills/VibeSec-Skill/SKILL.md
curl -sL https://raw.githubusercontent.com/agamm/claude-code-owasp/main/.claude/skills/owasp-security/SKILL.md \
-o ~/.claude/skills/owasp-security/SKILL.md
curl -sSL https://raw.githubusercontent.com/wrsmith108/varlock-claude-skill/main/skills/varlock/SKILL.md \
-o ~/.claude/skills/varlock/SKILL.md
Profesional de seguridad / Pentester
El objetivo es tener a Claude como asistente en workflows de security research y auditoría activa. Requiere sistemas con autorización explícita de pentesting. Trail of Bits static-analysis + Trail of Bits variant-analysis + ffuf_claude_skill + webapp-testing + systematic-debugging + owasp-security.
Equipo con datos sensibles de usuarios
El objetivo es garantizar que ningún dato personal de usuarios entre al contexto del modelo sin sanitizar. sanitize (agentward) + varlock-claude-skill + owasp-security + ironclaw-agent-guard (para audit trail de operaciones del agente).
Equipos de DevSecOps / Auditoría formal
Trail of Bits (static-analysis + semgrep-rule-creator + differential-review + supply-chain-risk-auditor) + owasp-security + VibeSec-Skill + systematic-debugging + webapp-testing.
Instalación de Múltiples Skills: Script de Setup
#!/bin/bash # setup-security-skills.sh — instala el stack básico de seguridad para Claude Code SKILLS_DIR="${HOME}/.claude/skills" mkdir -p "${SKILLS_DIR}" echo "Instalando VibeSec-Skill..." mkdir -p "${SKILLS_DIR}/VibeSec-Skill" curl -sSL https://raw.githubusercontent.com/BehiSecc/VibeSec-Skill/main/SKILL.md \ -o "${SKILLS_DIR}/VibeSec-Skill/SKILL.md" echo "Instalando owasp-security..." mkdir -p "${SKILLS_DIR}/owasp-security" curl -sL https://raw.githubusercontent.com/agamm/claude-code-owasp/main/.claude/skills/owasp-security/SKILL.md \ -o "${SKILLS_DIR}/owasp-security/SKILL.md" echo "Instalando varlock..." mkdir -p "${SKILLS_DIR}/varlock" curl -sSL https://raw.githubusercontent.com/wrsmith108/varlock-claude-skill/main/skills/varlock/SKILL.md \ -o "${SKILLS_DIR}/varlock/SKILL.md" echo "Instalando systematic-debugging (de Superpowers)..." mkdir -p "${SKILLS_DIR}/systematic-debugging" curl -sSL https://raw.githubusercontent.com/obra/superpowers/main/skills/systematic-debugging/SKILL.md \ -o "${SKILLS_DIR}/systematic-debugging/SKILL.md" echo "Stack de seguridad instalado en ${SKILLS_DIR}" echo "Reinicia Claude Code para cargar las nuevas skills."
Preguntas Frecuentes
Conclusión
El vibe coding no es el problema. El problema es el vibe coding sin contexto de seguridad. Claude Code no tiene, por defecto, la perspectiva de un bug hunter: sabe programar, pero no está instruido para buscar activamente los patrones que los atacantes explotan.
Las skills de seguridad no añaden fricción. Añaden el contexto que falta. VibeSec convierte a Claude en un copiloto que piensa como atacante mientras escribe. owasp-security proporciona los estándares actualizados sin que tengas que recordarlos. Las skills de Trail of Bits ejecutan herramientas de análisis reales. varlock evita que tus secretos acaben en un log. systematic-debugging garantiza que entiendes completamente una vulnerabilidad antes de parchearla.
El stack de entrada es sencillo: VibeSec-Skill, owasp-security y varlock. Los tres juntos tardan dos minutos en instalar y cambian fundamentalmente cómo Claude Code genera código en proyectos web.
📋 Resumen ejecutivo
Lo que debes hacer
- Instala VibeSec-Skill como primera acción
- Añade owasp-security para revisiones formales
- Usa varlock si trabajas con secrets en el proyecto
- Lee completamente el SKILL.md antes de instalar cualquier skill de terceros
Lo que debes evitar
- Instalar una skill sin revisar su SKILL.md y sus scripts
- Usar ffuf_claude_skill sin autorización escrita de pentesting
- Procesar datos de usuarios a través de un LLM sin redacción previa
- Ejecutar binarios o comandos que descarguen credenciales sin justificación clara
¿Listo para asegurar el código que genera tu IA?
En Sismatic ayudamos a equipos a integrar IA y automatizaciones con criterios de seguridad por defecto.