42 noticias
Lifeguard es una herramienta de análisis estático diseñada para facilitar la adopción de Lazy Imports en Python, una característica introducida por el PEP 810 que retrasa la carga de módulos hasta que se accede a ellos. Esta técnica reduce el consumo de memoria y los tiempos de arranque, pero presen
Un desarrollador ha publicado un proyecto que extrae la información de tipos y símbolos que poseen los servidores de lenguaje y la vuelca en una base de datos SQL, con el objetivo de analizarla mediante consultas convencionales en lugar de pelearse con JSON-RPC. El artículo parte de una observación:
FF-16-TUI es una herramienta de análisis estático diseñada para identificar y visualizar patrones locales de 16 bits que se repiten con alta frecuencia a lo largo de un archivo completo. Su objetivo principal es facilitar la localización de estructuras de datos específicas dentro de archivos binario
RealDiff es una herramienta de código abierto que detecta cambios de comportamiento en tiempo de ejecución que el code review convencional no identifica. En lugar de comparar el código fuente editado, ejecuta dos revisiones del repositorio, observa sus pruebas y, tras aprender una línea base de ruid
Cuando un linter —como ESLint para JavaScript— ejecuta varias reglas con autofix en una sola pasada y aplica todas las correcciones a la vez, puede generar código roto aunque cada corrección individual sea correcta por sí sola. El autor, creador de elm-review, lo ilustra con un archivo de ejemplo: s
Ben Boyter presenta la versión 4.0 de scc (sloc cloc and code), su contador de líneas y complejidad para código fuente, con un cambio de numeración mayor motivado por la cantidad de novedades acumuladas desde la 3.7.0. La principal incorporación es la función --hotspots, pensada para responder una p
RAPx (Rust Analysis Platform with Extensions) es una plataforma avanzada de análisis estático para programas escritos en Rust. Ofrece un marco extensible que va más allá del compilador rustc estándar y permite a las desarrolladoras razonar con mayor profundidad sobre seguridad, robustez y rendimient
LucasArtsifier es una herramienta de análisis estático diseñada para juegos de aventura clásicos de Sierra. Su objetivo es detectar y prevenir los 'softlocks' —estados en los que el juego sigue aceptando entradas pero la victoria se ha vuelto imposible— sin modificar los archivos originales del jueg
Avouch es una herramienta de línea de comandos, ligera y de código abierto, que realiza análisis estático sobre código Python limitado a los archivos modificados respecto al último commit de Git. Su objetivo es revisar únicamente el código que el desarrollador está a punto de enviar, evitando arrast
En el paquete sync del lenguaje Go, tipos como sync.Mutex, sync.Once y sync.Map incluyen un campo especial de tipo noCopy que marca valores que no deben copiarse tras su primer uso. Pero ese marcador, un struct vacío con dos métodos también vacíos llamados Lock y Unlock, no impide la copia por sí so
El autor, ingeniero de Trust-in-Soft, describe el trabajo de auditoría estática realizado sobre SQLite, una base de datos ligera de alrededor de 113.000 líneas de código con uso intensivo de punteros, demasiado extensa para una verificación estática trivial pero respaldada por una de las suites de p
La sentencia assert() es una herramienta básica para escribir software correcto, seguro y mantenible, pero muchas de sus implementaciones se quedan cortas y generan dudas sobre cuándo y cómo utilizarla. Este artículo explica en cuatro áreas clave cómo aprovechar las aserciones de forma eficaz. En pr
Ship Safe es un escáner de seguridad de código abierto diseñado para ejecutarse localmente en repositorios de software moderno. La herramienta, distribuida bajo licencia MIT y disponible mediante el comando `npx ship-safe`, inspecciona el código en busca de vulnerabilidades en aplicaciones, configur
BorrowSanitizer es una herramienta de análisis dinámico diseñada para detectar errores de aliasing específicos de Rust en aplicaciones escritas en varios lenguajes. El compilador de Rust ofrece garantías estáticas de seguridad muy estrictas al restringir el aliasing y la mutabilidad, pero los desarr
El repositorio público de OpenAI dedicado al proyecto Git ha recibido en julio de 2026 una serie de parches y notas técnicas firmadas por sus ingenieros, orientadas a mejorar el rendimiento de operaciones internas y a documentar buenas prácticas de uso. La contribución más reciente, fechada el 24 d
OpenAI ha publicado en GitHub, bajo licencia open source, el repositorio "openai/codex-security", un kit de desarrollo (SDK) en TypeScript y una interfaz de línea de comandos (CLI) diseñados para detectar, validar y revisar vulnerabilidades de seguridad en código sobre el que el usuario tenga propie
ast-grep ha abordado una de las tareas más ambiciosas del ecosistema de herramientas para desarrolladores: reescribir en Rust el núcleo en C de Tree-sitter, el framework de análisis sintáctico sobre el que se apoyan numerosos editores y proyectos. El resultado, según publica el autor en un post deta
El paquete analysis del proyecto Go define la interfaz entre un análisis estático modular y el programa que lo ejecuta, conocido como driver. Un análisis estático es una función que examina un paquete de código Go y emite diagnósticos —generalmente errores en el código—, aunque también puede produci
pkgxray es una herramienta de línea de comandos, escrita en Node sin dependencias, que analiza paquetes de npm y servidores del Model Context Protocol (MCP) antes de su instalación o conexión, sin ejecutar el código del paquete. Su comando principal, `pkgxray guard`, descarga el tarball, lo aísla en
mcpgrade es una herramienta de código abierto, estilo Lighthouse, que evalúa servidores del Model Context Protocol (MCP) desde el punto de vista de un modelo de IA, no solo del de cumplimiento del estándar. Su autor, ingeniero de integraciones de IA en producción, la creó tras observar que muchos se
Un ingeniero que firma como Claude reconstruye, en una jornada de auditoría del 18 y 19 de julio de 2026 sobre su propio sitio, los patrones con los que los sistemas de verificación —scripts, tests, auditorías, métricas— generan confianza falsa. No se trata de errores triviales: cada fallo grave se
CrossUI Studio es un editor visual para React que trabaja desde el análisis estático del código fuente (AST) en lugar de conectarse a la aplicación en ejecución. Esa decisión arquitectónica es la base de todo lo demás y resuelve un problema concreto: cuando un componente renderiza en blanco y la tra
Canopii publicó su informe anual State of MCP Security 2026 tras analizar más de 11.500 servidores públicos del protocolo Model Context Protocol (MCP). El estudio revela que uno de cada catorce servidores —830 en total— obtiene una calificación D o F por fallos de seguridad graves. Los resultados de
Cloudflare publica un recorrido técnico por el diseño de un sistema de detección de vulnerabilidades basado en modelos de IA, independiente del modelo concreto que se utilice en cada momento. El artículo parte de la experiencia acumulada con Project Glasswing, la iniciativa interna con la que la com
Sighthound es un escáner SAST (Static Application Security Testing) de código abierto basado en reglas, publicado por Corgea en GitHub, que analiza el código fuente en busca de vulnerabilidades de seguridad mediante reglas conscientes del AST (árbol de sintaxis abstracta). La herramienta admite dos
Un estudio controlado por pares mínimos investiga si la limpieza estructural y estilística del código fuente influye en el desempeño de los agentes autónomos de programación. Los autores presentan un protocolo de evaluación basado en parejas de repositorios idénticos en arquitectura, dependencias y
Slopo es una herramienta de línea de comandos diseñada para localizar fragmentos de código similares que se encuentran dispersos dentro de un mismo proyecto, un tipo de duplicación especialmente difícil de identificar tanto para herramientas tradicionales como para la inspección manual. A diferencia
OxCaml, el superset de OCaml desarrollado por Jane Street, incorpora una función que obliga al compilador a garantizar que una función completa no realiza asignaciones en el heap. Basta con anotar el código con [@zero_alloc]: si cualquier parte del árbol de llamadas reserva memoria, la compilación f
cargo-geiger es un plugin para Cargo, el gestor de paquetes de Rust, que cuantifica el uso de código unsafe tanto en un crate como en todas sus dependencias. La herramienta genera estadísticas detalladas —recuento de funciones, bloques y elementos unsafe— para facilitar auditorías de seguridad, en l
Un mantenedor de dupehound, detector de código duplicado de código abierto, plantea en Hacker News un problema clásico del análisis estático: las herramientas que buscan duplicaciones estructurales también marcan como repetido el código que aparece de forma intencionada en los tests, donde repetir e
prylint es una reimplementación en Rust del comprobador estático pylint para Python que reproduce byte a byte la salida de la herramienta original —mensajes, líneas, columnas, orden, exit codes y pie de puntuación— y que, según sus pruebas, es entre 15 y 2300 veces más rápida, con una mediana de apr
SkillSpector es una herramienta de código abierto desarrollada por NVIDIA que analiza las habilidades de los agentes de inteligencia artificial (AI agent skills) en busca de vulnerabilidades, patrones maliciosos y riesgos de seguridad. Su objetivo es responder a una pregunta crítica antes de instala
Cosine ha presentado cos, una herramienta de línea de comandos que combina dos modos de trabajo orientados a seguridad informática. En modo Security Scan, la herramienta lee el código fuente en busca de vulnerabilidades —como la omisión de verificación de firma en tokens JWT, un open redirect SSRF e
El ecosistema de Python cuenta actualmente con cinco verificadores de tipos que reciben atención creciente: mypy, Pyrefly, Pyright, ty y Zuban. Para los responsables de mantener librerías, ejecutar los cinco sobre el código fuente propio resulta una carga excesiva, ya que cada herramienta impone ano
Alibaba Group ha publicado como proyecto de código abierto Open Code Review (OCR), una herramienta de línea de comandos (CLI) que emplea inteligencia artificial para revisar código de forma automatizada. La aplicación nació como asistente interno oficial de revisión de código en Alibaba y, durante l
eslint-markdown es un plugin para ESLint que añade reglas específicas de análisis estático orientadas a archivos Markdown. Está publicado como paquete en npm dentro del repositorio lumirlumir/npm-eslint-markdown y se distribuye bajo licencia open source, con código, issues y documentación accesibles
@lateos/npm-scan es una herramienta de seguridad de código abierto que realiza análisis estático y conductual sobre paquetes del ecosistema npm —y, parcialmente, de PyPI— para detectar amenazas avanzadas en la cadena de suministro de software. A diferencia de npm audit, Snyk o Socket, la herramienta
Semgrep ha presentado la versión 1.0.0 de Pyro Caml, el primer perfilador continuo (continuous profiler) para el lenguaje de programación OCaml. La herramienta nace de una necesidad interna de la compañía, cuyo motor principal de análisis estático de código (SAST) está escrito en OCaml y se ejecuta
Mercury es un lenguaje de programación lógico y funcional que representa un enfoque innovador en el mundo de los lenguajes de programación. Desarrollado originalmente con un enfoque en la programación lógica, Mercury combina la claridad y expresividad de la programación declarativa con capacidades a
El 'Journal of C Language Translation' (JCLT) fue una publicación trimestral especializada, con un enfoque muy concreto: el desarrollo de herramientas que procesan y transforman código escrito en los lenguajes de programación C y C++. Aunque hoy en día pueda parecer un nicho muy específico, su impor
Este artículo describe un problema común en el desarrollo de software backend, específicamente en el manejo de transacciones de bases de datos, y cómo el autor lo resolvió creando un linter personalizado. El problema surge cuando, al envolver código existente en una transacción, se olvida de usar el
El artículo presenta un nuevo algoritmo de inferencia de tipos llamado 'Quadratic Micropass Type Inference', diseñado para mejorar la claridad de los mensajes de error en lenguajes de programación con inferencia de tipos. La inferencia de tipos, una característica que permite al compilador deducir e
