Auditoría y contención · Gestión patrimonial
Plataforma de gestión patrimonial
Una firma regulada de gestión patrimonial armó su plataforma interna con agentes de Claude Code y un equipo sin ingenieros de software. La usan todos los días para los legajos de clientes, el CRM, la facturación de asesores, el seguimiento de AUM y la mesa de órdenes. Está montada sobre Supabase y Netlify. La audité y después me sumé a su equipo para resolver lo más urgente.
148
hallazgos, 2 de ellos críticos2 semanas
de contención, con su equipo- Revisé durante tres semanas la seguridad, el compliance y la arquitectura. Encontré 148 hallazgos (2 críticos y 21 altos) y 59 cosas que convenía conservar.
- Le pasé cada hallazgo a un segundo modelo de AI para que lo cuestionara y contrasté sus objeciones con el código. Reproduje los hallazgos de autorización y seguridad más riesgosos en un entorno local aislado, con datos sintéticos y un agente que usaba un modelo open-weights.
- Anonimicé el repositorio antes de que lo leyera cualquier AI. Usé patrones para documentos, números fiscales, cuentas bancarias y emails, un escáner de secretos y un modelo NER local para los nombres de personas.
- Con su equipo hicimos dos semanas de contención. Exigimos el segundo factor en la API y en la base de datos, cambiamos los tokens personales amplios por una GitHub App con permisos acotados y rotamos las credenciales. Desde entonces, los agentes no pueden publicar en rutas sensibles sin una revisión.
- Documenté las decisiones de arquitectura y escribí criterios de revisión para cada área. Con esos criterios, una AI revisa cada cambio antes de que se publique. Sumé tests que fallan si un cambio rompe una regla de arquitectura. El diagrama del modelo de datos se genera a partir de las migraciones. Lo demás quedó en un roadmap de 40 iniciativas, cada una con un criterio para saber cuándo está terminada.
