Oryon Flow frente a XBOW

1. 01

   Continúa hasta el cambio de código

   Flow incorpora candidatos de reparación y PR revisables al recorrido; XBOW documenta mitigaciones para que tu equipo las aplique y reteste.

2. 02

   Investiga en un laboratorio reconstruido

   Flow parte del repositorio y prepara su entorno aislado. XBOW evalúa la aplicación desplegada que proporciones.

3. 03

   Relaciona el cambio con requisitos

   Flow conserva evidencia técnica por requisito y compara el código actual con el resultado proyectado de los PR verificados.

Capacidades, en paralelo.

La tabla describe funciones documentadas, no mide rendimiento ni calidad de detección. Las funciones comerciales pueden depender del producto, plan y configuración.

Qué necesitas	Oryon Flow	XBOW
Investigación sobre el repositorio	✓Documentado Código, paquetes, infraestructura y ejecución conectados al mismo análisis.	+Opcional / según plan Permite subir código y documentación para guiar el análisis; es opcional. ↗
Reconstrucción en laboratorio	✓Documentado Reconstruye la aplicación en entornos efímeros y aislados del repositorio original.	—Sin documentar en este alcance Prueba un despliegue proporcionado por el cliente. La reconstrucción automática desde el repositorio no se documenta. ↗
Verificación de hallazgos	✓Documentado Método revisado de forma independiente: confirmado, refutado o inconcluso. Lo que falta demostrar sigue abierto.	✓Documentado Prueba de explotación con validadores deterministas o agentes según la clase; distingue hallazgos validados e informativos. ↗
Correcciones con pruebas	✓Documentado Candidatos aislados; comprueba seguridad y comportamiento legítimo antes de una revisión independiente.	—Sin documentar en este alcance Documenta mitigaciones y retests después de que el cliente corrija; no establece generación de parches. ↗
Pull requests revisables	✓Documentado Agrupa cambios por causa y compatibilidad; entrega PR revisables. Tu equipo decide el merge.	—Sin documentar en este alcance Documenta seguimiento de tickets externos; la publicación de PR de corrección no se establece en estas fuentes. ↗
Evidencia técnica trazable	✓Documentado Vincula pruebas y cambios a requisitos técnicos; compara el estado actual con el proyectado por los PR verificados.	✓Documentado Pruebas, trazas, informes de pentest, resumen ejecutivo y carta de atestación. ↗
Código + ejecución	✓Documentado Conecta observaciones del código, dependencias, infraestructura y ejecución en una misma investigación.	+Opcional / según plan El código subido guía los ataques vivos; no se establece un escáner SAST separado. ↗
Pruebas de roles	✓Documentado Comprueba sesiones legítimas, roles y límites de tenant; las sesiones inaccesibles o caducadas conservan su carencia de cobertura.	+Opcional / según plan El preview público de IDOR admite una cuenta principal y hasta cuatro adicionales, con contexto de roles. ↗
Validación separada	✓Documentado El agente que propone no aprueba su conclusión ni su corrección; una verificación separada evalúa la evidencia conservada.	✓Documentado Validadores no basados en IA confirman las clases compatibles; otras usan agentes. ↗
Control de regresiones	✓Documentado Contrasta pruebas de seguridad, controles legítimos y tests funcionales disponibles con el original antes de entregar.	—Sin documentar en este alcance El retest comprueba una mitigación desplegada; no se documentan pruebas funcionales de un parche candidato. ↗
Corrección de dependencias	✓Documentado Los candidatos pueden actualizar el grafo de dependencias y adaptar la aplicación, sujetos a validación.	—Sin documentar en este alcance Ofrece instrucciones de mitigación; este recorrido no establece actualizaciones automáticas de paquetes. ↗
Mapeo a requisitos técnicos	✓Documentado Relaciona evidencia y requisitos técnicos seleccionados, con cobertura actual y propuesta; no equivale a certificar la organización.	—Sin documentar en este alcance Los informes y atestaciones apoyan auditorías; no se establece mapeo requisito por requisito. ↗

Alcance del producto