Si te preguntan si tu app es segura, responde con evidencia, no con opinión.

Cada prueba te dice qué verifica, qué resultado esperar, cómo se decide si pasó y a qué apps aplica. Si mide un modelo de IA que responde distinto cada vez, también fija cuántas repeticiones hacen falta. Lo incompleto se rechaza al cargar.

El catálogo se queda en qué verificar, nunca en cómo atacar. Si una prueba parece una instrucción de ataque, un filtro la marca y no se publica hasta que una persona decida. Nombrar una técnica o una herramienta no basta para marcarla.

Ves qué parte del catálogo sigue al día y qué toca revisar. Cada prueba, marco, familia y herramienta dice cuánto lleva sin verificarse: vigente, por revisar desde los 30 días o vencida desde los 60. Cada estado lleva símbolo y texto, nunca solo color.

Cuando un marco de seguridad como OWASP renumera sus entradas, tus pruebas y hallazgos siguen apuntando al lugar correcto gracias a un mapa entre versiones. Ninguna referencia entra sin versión. Cada versión del catálogo queda congelada con una huella que delata cualquier cambio.

Ves qué pruebas respaldan cada control de ISO/IEC 42001, la norma internacional para gestionar sistemas de IA. Cada control está resumido con palabras propias, nunca con el texto de la norma. Una prueba sin control se acepta, pero su deuda queda a la vista.

Pone a prueba la IA que decide, como la que aprueba o rechaza solicitudes: si sus probabilidades coinciden con lo que acierta, si falla cerca del umbral y si decide distinto en español y en inglés. Trae un clasificador de demostración con tres defectos sembrados.

Te avisa cuando un marco publica una versión nueva o cuando conviene sumar o retirar una prueba. Lo busca un asistente de IA que corres a demanda, y el código comprueba cada cita contra su fuente. Nada entra sin tu aprobación.

Describes tu app: qué tipo es, qué tan expuesta está, qué datos maneja y qué modelos usa, con su dueño y su proveedor por separado. Sin un alcance autorizado y unas reglas de enfrentamiento (hasta dónde y cómo se puede probar), no hay plan.

Recibes la lista exacta de pruebas para tu app, cada una con la razón por la que aplica, su prioridad y una herramienta gratuita para correrla. Las que quedan fuera también dicen por qué. Con los mismos datos, el plan sale idéntico, byte a byte.

Descargas un paquete que dice, prueba por prueba, qué herramienta usar, desde qué versión, dónde correrla, con qué límites y qué resultado esperar. HackGuard no ejecuta nada ni incluye cargas de ataque: las pruebas las corres tú, afuera.

Nada cuenta como evidencia hasta que una persona lo confirma, uno por uno o por lotes revisando una muestra calculada. Del archivo de la herramienta solo se guardan su huella y un extracto, nunca el contenido. Lo confirmado ya no cambia.

Cada falla confirmada abre un hallazgo; si es crítico, alto o medio, tiene 7, 30 o 90 días para corregirse, y los vencidos saltan a la vista. Solo lo cierra repetir la misma prueba con éxito: dejar de aparecer en un escaneo no basta.

La gravedad de cada hallazgo se calcula, no se opina. En software usa CVSS 4.0, la escala estándar, con la calculadora oficial de referencia fijada en una versión exacta. En IA usa una tabla que mira primero el impacto y nunca suma puntajes.

Traes el reporte de Garak, el escáner abierto de modelos de lenguaje, o de ZAP, el de aplicaciones web, y queda convertido en un lote listo para revisar. Si ZAP no demuestra que una regla corrió, dice «no ejecutada», jamás «superada».

Un asistente de IA lee el resultado que guardaste de una herramienta y te propone a qué prueba de tu plan corresponde. El código comprueba que cada cita aparezca literal en el texto. El veredicto lo calcula la regla, y tú confirmas.

Ves cuántas pruebas planeadas se ejecutaron, cuántas pasaron, cuántas fallaron y cuáles nunca corrieron, por app, por familia y por control. «No detectado» nunca se disfraza de «verificado». Todo sale en un informe imprimible con su huella.

Para cada control de ISO/IEC 42001 tienes en una sola página qué pruebas lo cubren, qué evidencia existe y de qué fecha, qué falló y la cadena de cada hallazgo: falla, corrección y re-prueba. Es evidencia ordenada para quien evalúa, no un sello de cumplimiento.

Antes de publicar, HackGuard se pone a prueba con casos sembrados: datos que debe rechazar, textos que debe marcar y cierres que debe negar. Si una sola comprobación falla, no se publica nada, y el tablero te muestra el resultado.