Cómo Vex Raptor decide qué es CONFIRMADO

Los compradores de seguridad aprendieron a desconfiar de las puntuaciones de severidad. Un escáner marca CRITICAL porque un payload se reflejó una vez — y tu equipo pierde un día demostrando que era reflexión de WAF, una página de error cacheada o un catch-all de SPA. La etiqueta decía "confirmado". La evidencia decía quizás.

El modelo de confianza de Vex Raptor existe para romper ese patrón. CONFIRMADO no es un default — se gana por hipótesis de vulnerabilidad, solo cuando señales independientes coinciden bajo reglas que podemos explicar y testear.

Una hipótesis, señales acumuladas

Cuando el motor prueba un target, no activa un booleano en la primera respuesta interesante. Cada issue candidato obtiene un acumulador de señales: un bucket que recoge cada pieza de evidencia ligada a esa hipótesis concreta (mismo fallo, misma ubicación, misma clase de ataque). Las sondas añaden señales con clase, fuerza y — cuando aplica — si pasó un control negativo.

Solo cuando las señales están dentro se evalúa la confianza. Una reflexión, un blip de timing o una coincidencia heurística nunca bastan por sí solos para llegar a CONFIRMADO.

Clases de señal (simplificado)

Las señales se etiquetan por cuánto apoyan la explotación — no por lo ruidosa que parece la alerta:

DIRECT       → prueba única (diálogo de navegador, callback OOB, payload matemático independiente)
DIFFERENTIAL → delta significativo vs baseline o control negativo (timing, forma de respuesta)
CORRELATIVE  → evidencia de apoyo alineada con la hipótesis, pero no prueba standalone
HEURISTIC    → coincidencia de patrón o indicador tipo escáner — nunca solo para CONFIRMADO

La barra de CONFIRMADO

CONFIRMADO exige evidencia que convencería a un ingeniero escéptico, no solo a una regla de automatización:

if alguna señal es DIRECT:
    confidence = CONFIRMADO
elif alguna señal DIFFERENTIAL pasó negative_control:
    confidence = CONFIRMADO
else:
    derivar HIGH / MEDIUM / LOW / UNCONFIRMED del mix restante

Una señal DIRECT es prueba de que la vulnerabilidad se comportó como explotada — evento de diálogo, hit out-of-band, payload que evalúa independiente de una sola reflexión. Una señal DIFFERENTIAL sola no basta: debe haber pasado un control negativo — una prueba deliberada diseñada para no disparar si el fallo no es real (timing baseline, payload benigno, comparación autenticado vs no autenticado). Así filtramos coincidencia de causalidad.

Los cinco niveles de confianza

Cada hallazgo exporta una de cinco etiquetas — las mismas cinco documentadas en nuestra página de Evidencia, pero aquí está la maquinaria detrás:

CONFIRMADO   → ≥1 DIRECT, o DIFFERENTIAL con control negativo pasado
HIGH         → ≥2 señales CORRELATIVE independientes, o DIFFERENTIAL sin control
MEDIUM       → 1 CORRELATIVE, o apoyo mixto no heurístico
LOW          → solo señales heurísticas (heurísticas apiladas nunca superan LOW)
UNCONFIRMED  → sin señales que califiquen

La severidad sigue a la confianza

Confianza y severidad van acopladas. Una severidad CRITICAL cruda de la sonda no es lo que llega intacto a tu reporte — el nivel de confianza la degrada salvo que la evidencia lo soporte de verdad:

CONFIRMADO   → CRITICAL permanece CRITICAL
HIGH         → CRITICAL degrada a HIGH
MEDIUM       → CRITICAL → HIGH, HIGH → MEDIUM, …
LOW          → cada tier baja un escalón más
UNCONFIRMED  → todo pasa a INFO

Solo CONFIRMADO preserva una etiqueta CRITICAL como CRITICAL. Todo lo demás baja al menos un escalón; UNCONFIRMED colapsa a INFO sin importar lo que sugiriera la sonda inicial. Es intencional: preferimos infra-declarar que enviar un CRITICAL para la junta construido sobre una sola suposición automatizada.

Qué significa en la práctica

Cuando ves CONFIRMADO en un reporte de Vex Raptor, no estás viendo "el escáner estaba seguro." Estás viendo una hipótesis que sobrevivió revisión multi-señal — prueba directa, o evidencia diferencial con un control que no disparó. HIGH, MEDIUM, LOW y UNCONFIRMED son buckets honestos para todo lo que aún necesita juicio humano. La página pública de Evidencia describe lo que prometemos; esto es cómo el motor cumple esa promesa.