Sobre mí

Empecé rompiendo sistemas para entender cómo funcionaban por dentro. Sigo haciéndolo. Solo que ahora me pagan por ello y por enseñar a que no se rompan.

Cuando me falta una herramienta, la escribo. He publicado más de cien, gratis. GoLismero, Plecost y Dockerscan se usan mucho para auditar sistemas, WordPress y contenedores. Vulnerable Node es una aplicación vulnerable a propósito, para aprender a atacar y defender Node.js. wordpress-docker-sec y nginx-wordpress-docker-sec son configuraciones de hardening que dejan ciegos a los escáneres automáticos, incluido el mío. Con LAPIS llevé a un artículo académico, publicado en arXiv, cómo describir una API para que un modelo la entienda con muchos menos tokens.

Fundé Navaja Negra y el capítulo de OWASP Madrid porque en España hacían falta sitios donde hablar de seguridad sin postureo. He presentado investigación en RSA Conference y en OWASP AppSec EU, y he sido ponente habitual de RootedCON. El Instituto Nacional de Ciberseguridad (INCIBE) me ha llamado varias veces como juez de sus concursos. Después de una de mis charlas, varias empresas revisaron sus sistemas al día siguiente y encontraron puertas abiertas que llevaban meses dentro.

He pasado veinte años donde la seguridad y el rendimiento se rompen de verdad: bancos, telecoms, energía, aseguradoras y startups en Europa, Estados Unidos, India y Reino Unido. He estado en BBVA y en buena parte del IBEX 35, con los sistemas en marcha.

En Banco Santander fui Principal Engineer del departamento de IA durante la puesta en marcha del área. El banco tiene 185.000 empleados y a OpenAI de socio; lo mío era que aquello funcionara por dentro. Ahí vi lo que pasa cuando entra la IA en una organización de verdad, y lo que no se cuenta en las conferencias.

En BBVA fui Tech Lead de ciberseguridad. En 42Crunch, en Reino Unido, fui responsable de uno de sus productos de seguridad de APIs.

Ahora trabajo por mi cuenta, como asesor tecnológico independiente. Antes entraba sobre todo para proyectos concretos. Ahora acompaño a los equipos de forma continuada: cuentan conmigo cada mes para contrastar sus decisiones de arquitectura, seguridad e IA y los problemas técnicos que van saliendo. Me gusta trabajar así porque acabo conociendo al equipo y sus sistemas casi como alguien de dentro. Así funciona.

Las decisiones en las que más ayudo son de tres tipos.

Desarrollo seguro: pienso con cada equipo por dónde pueden atacarle, reviso el código y diseño sistemas que no se abren solos. No hago simulacros de ataque.

Seguridad en IA: cómo conectar una IA a los sistemas de una empresa sin que se convierta en la puerta de entrada. Con Alfonso Muñoz escribí MCP Seguro. Guía práctica para desarrolladores, arquitectos software y tech leads.

Rendimiento: si un sistema va lento y nadie sabe decir por qué, ahí empiezo yo. He cogido procesos de ocho horas y los he dejado en un décimo de segundo, con la misma máquina y sin reescribir el producto.

Formación para equipos: workshops de un día y programas de seis semanas.

Y cada día mando un email, Vamos al lío, con una cosa que he visto romperse esa semana. En Alice & Bob enseño a construir asistentes de IA y a conectarlos a sistemas reales sin liarla.

El correo es la vía más directa para un problema técnico concreto: [email protected]. Digo si lo cojo.