Cómo Hacktron aporta contexto de seguridad de toda la base de código a cada pull request de hackajob

«El reto nunca fue el esfuerzo ni la experiencia.

«Era el contexto. Nadie puede tener tanto contexto en la cabeza en cada revisión, ni siquiera con dos pares de ojos.»

Dragos Dimitriu
Responsable de cumplimiento

Sobre hackajob

Fundada en 2014, hackajob desarrolla tecnología de contratación con IA que usan más de 200 empresas de más de 50 sectores, entre ellas American Express, Tesco, Barclays, HSBC y Sainsbury’s.

Su producto principal, Archer, encuentra, contacta y evalúa candidatos para los equipos de selección de grandes empresas. Trabaja con 1,5 millones de candidatos verificados y más de 800 millones de perfiles indexados, y cada día evalúa a 250 000 candidatos frente a los requisitos de vacantes abiertas.

A esa escala, los controles de autorización sobre los datos de cada cliente son críticos.

El reto: los revisores ven un diff, no el grafo de llamadas

hackajob ya tenía un proceso de revisión sólido. Cada pull request lo revisaban al menos dos ingenieros, y ninguno de ellos era el autor. El límite no era el esfuerzo de revisión, sino la cantidad de contexto del sistema que tenía cada revisor.

«Un revisor ve un diff, no el grafo de llamadas completo, así que los fallos que se colaban solían ser los que solo se ven cuando rastreas cómo interactúa un cambio con código de otras partes del sistema.»

Dragos Dimitriu
Responsable de cumplimiento

Cómo encaja Hacktron: revisión continua en cada PR

hackajob pasa ahora cada pull request por Hacktron Review. Hacktron rastrea cada cambio por toda la base de código, muestra los hallazgos en el flujo de revisión y vuelve a escanear los cambios después de las correcciones. hackajob también ha fijado un umbral de severidad que bloquea el merge cuando Hacktron encuentra un problema por encima de ese umbral.

«Hacktron detecta más de lo que una revisión manual puede abarcar en la práctica, y se ejecuta en cada PR, no solo en los que alguien marca como relevantes para la seguridad.

«Ahora estamos en 200-250 escaneos a la semana en un número creciente de proyectos. Eso incluye los reescaneos después de las correcciones, pero sigue siendo un volumen que no habríamos podido revisar a mano con esa profundidad.»

Dragos Dimitriu
Responsable de cumplimiento

Análisis de los hallazgos

Desde la primera revisión de Hacktron en hackajob, en junio de 2026:

De los 143 hallazgos clasificados, el 81,1 % eran reales, no ruido.

Autorización rota a nivel de objeto que expone datos de otros clientes (severidad alta)

Hacktron encontró un problema de autorización rota a nivel de objeto, de severidad alta, en un pull request que añadía el chat del asistente de Archer.

El endpoint comprobaba la propiedad en las peticiones limitadas a una cartera, pero no en las limitadas a una cuenta o a una cohorte. Un usuario estándar podía indicar el identificador de otro cliente y obtener sus comunicaciones y datos de sentimiento, fuera del ámbito autorizado del usuario.

1
// A book scope may only be the caller's own book unless they're an admin.
2
if (
3
    parsed.data.scope.kind === "book" &&
4
    parsed.data.scope.ownerEmail !== user.email &&
5
    !user.isAdmin
6
) {
7
    return new Response("Forbidden", { status: 403 });
8
}
9
// <- no equivalent check existed for "account" or "cohort" scopes

El archivo modificado parecía coherente por sí solo. El problema solo se hizo visible cuando Hacktron comparó el comportamiento de la autorización entre los distintos tipos de ámbito.

«Nada en el diff parecía incorrecto, y precisamente por eso es el tipo de cosa que se escapa en una revisión manual, sea cual sea la experiencia del revisor.»

Dragos Dimitriu
Responsable de cumplimiento

Hacktron detectó el problema antes de que llegara a la rama principal. hackajob lo corrigió en el mismo pull request en menos de una hora, con una función de autorización compartida y pruebas de regresión para las rutas afectadas.

Los resultados: contexto de seguridad de toda la base de código

Cada pull request recibe ahora la misma revisión de seguridad con toda la base de código como contexto. Los ingenieros siguen decidiendo el triaje y el merge. Hacktron les da el contexto del sistema para tomar esas decisiones antes de que el código llegue a main.

«Hacktron lo detectó en el PR, así que nunca llegó a nuestra rama principal.

«Eso es lo que nos importa.»

Dragos Dimitriu
Responsable de cumplimiento