Lo que Cacomi puede hacer
Esto es lo que Cacomi hace hoy: análisis estático, limpieza de código y revisión de seguridad para apps nativas de iOS y Android, Flutter y Python, además de mostrarte dónde usas IA. Todo corre en tu Mac y termina en una evaluación estática de seguridad alineada con OWASP MASVS, MASTG y ASVS.
Código sin uso
Análisis por lenguaje con conteo de referencias en tres niveles (archivo, paquete, proyecto) y un puntaje de confianza en cada hallazgo.
Prints y logs sensibles
Detección según el lenguaje de print, NSLog, os_log, Log.*, console.* y más, marcando tokens, claves y PII dentro de los logs.
Secretos en el código
Detección por patrones y entropía en código, configuración y cadenas del binario, incluyendo secretos concatenados, con los valores siempre enmascarados.
Seguridad móvil estática
Cifrado débil, almacenamiento inseguro, tráfico en texto plano o TLS deshabilitado, mal uso de WebView, inyección y flujos de datos contaminados. Cacomi lee bytes; nunca ejecuta, descifra, vuelve a firmar ni modifica tus binarios.
Python y backend
Exposición web, control de acceso y patrones inseguros en Django, Flask y FastAPI, mapeados a OWASP ASVS 5.0 con una referencia cruzada a 4.0.3 en nivel 3 (L3).
Análisis de binarios
Hardening de Mach-O, entitlements e Info.plist en iOS; manifiesto del binario, cadenas DEX, ELF nativo y bloque de firma en Android; además de paquetes Dart AOT para Flutter.
IA y ML maliciosos
Clasificación por magic bytes (TFLite, GGUF, ONNX, CoreML, pickle, PyTorch) y un analizador de opcodes de pickle basado en listas de permitidos que marca modelos maliciosos sin deserializarlos nunca.
Uso de IA y privacidad
Descubrimiento de llamadas a servicios de IA (OpenAI, Anthropic, Gemini, Hugging Face), uso de IA no declarado, datos de usuarios enviados a proveedores de IA y manejo de prompts, todo reunido en un inventario AI BOM.
Reportes
Un reporte en PDF estructurado y alineado con OWASP MASVS/MASTG cuando aplica, con severidad, confianza, evidencia y remediación por hallazgo. Los secretos permanecen enmascarados.
Seguridad y control
Se ejecuta localmente con extracción segura de archivos (protegida contra path traversal y zip bombs). Las acciones destructivas siempre muestran una vista previa antes de confirmar.
Cobertura de estándares
Cada hallazgo se conecta con estándares reconocidos: OWASP MASVS, MASTG, MASWE, el MAS Checklist y la preparación para MASA en móvil, y OWASP ASVS en Python. Así los reportes son fáciles de validar y de poner en práctica.
Cacomi se encuentra en desarrollo activo y se mejora de forma continua. Como cualquier herramienta de análisis estático, puede señalar elementos que no representan un riesgo real (falsos positivos) y, en ocasiones, no detectar ciertos problemas (falsos negativos). No es infalible ni se presenta como tal.
Cacomi realiza una evaluación estática de seguridad móvil alineada con OWASP MASVS y MASTG. Está concebida como un apoyo previo a la publicación, no como un sustituto: no reemplaza las pruebas dinámicas, las pruebas de penetración, el análisis en tiempo de ejecución, la revisión manual ni ninguna certificación oficial, y en ningún caso garantiza que una aplicación sea segura.
El reporte se alinea con OWASP MASVS y MASTG cuando corresponde. Salvo que se indique lo contrario, sus resultados provienen del análisis estático, por lo que no sustituyen una prueba de penetración manual completa.
Recomendamos revisar y verificar cada hallazgo de forma independiente. El uso de la herramienta, así como cualquier decisión derivada de sus resultados, son responsabilidad del usuario.