Sobre mí

Empecé rompiendo sistemas para entender cómo funcionaban por dentro. Sigo haciéndolo. Solo que ahora me pagan por ello y por enseñar a que no se rompan.

Cuando me falta una herramienta, la escribo. He publicado más de cien, gratis. GoLismero, Plecost y Dockerscan se usan mucho para auditar sistemas, WordPress y contenedores. Vulnerable Node es una aplicación vulnerable a propósito, para aprender a atacar y defender Node.js. wordpress-docker-sec y nginx-wordpress-docker-sec son configuraciones de hardening que dejan ciegos a los escáneres automáticos, incluido el mío. Con LAPIS llevé a un artículo académico, publicado en arXiv, cómo describir una API para que un modelo la entienda con muchos menos tokens.

Fundé Navaja Negra y el capítulo de OWASP Madrid porque en España hacían falta sitios donde hablar de seguridad sin postureo. He presentado investigación en RSA Conference y en OWASP AppSec EU, y he sido ponente habitual de RootedCON. El Instituto Nacional de Ciberseguridad (INCIBE) me ha llamado varias veces como juez de sus concursos. Después de una de ellas, varias empresas revisaron sus sistemas al día siguiente y encontraron puertas abiertas que llevaban meses dentro.

He pasado veinte años donde la seguridad y el rendimiento se rompen de verdad: bancos, telecoms, energía, aseguradoras y startups en Europa, Estados Unidos, India y Reino Unido. He estado en BBVA y en buena parte del IBEX 35. No de visita: dentro, con el sistema en marcha.

En Banco Santander fui Principal Engineer del departamento de IA durante la puesta en marcha del área. El banco tiene 185.000 empleados y a OpenAI de socio; lo mío era que aquello funcionara por dentro. Ahí vi lo que pasa cuando metes IA en una organización de verdad, y lo que no se cuenta en las conferencias.

En BBVA fui Tech Lead de ciberseguridad. En 42Crunch, en Reino Unido, fui responsable de uno de sus productos de seguridad de APIs.

Ahora trabajo por mi cuenta y solo hago tres cosas.

Desarrollo seguro: pienso con tu equipo por dónde os van a atacar, reviso el código y diseño sistemas que no se abren solos. No hago simulacros de ataque.

Seguridad en IA: cómo conectar una IA a tus sistemas sin que se convierta en la puerta de entrada. Con Alfonso Muñoz escribí MCP Seguro. Guía práctica para desarrolladores, arquitectos software y tech leads.

Rendimiento: si un sistema va lento y nadie sabe decir por qué, ahí empiezo yo. He cogido procesos de ocho horas y los he dejado en un décimo de segundo, con la misma máquina y sin reescribir el producto.

Y cada día mando un email, Vamos al lío, con una cosa que he visto romperse esa semana. En Alice & Bob enseño a construir asistentes de IA y a conectarlos a sistemas reales sin liarla.

Si tienes un problema concreto, escríbeme. Te digo si lo cojo.