Configura un VDP con un agente de IA

Por qué es importante

Poner en marcha un programa de divulgación de vulnerabilidades implica recorrer siete secciones de configuración, generar un security.txt y publicar un portal de informes público. Un agente de IA puede configurar y publicar un borrador existente por ti mediante las herramientas MCP de Kit: tú describes lo que quieres, el agente lee el esquema, escribe la configuración y pide tu visto bueno antes de que algo entre en producción.

Este es el lado de construcción de las herramientas de CSIRT. La página Integración con IA cubre las herramientas de triaje del día a día (severidad, duplicados, respuestas a investigadores). Esta página cubre las herramientas para configurar y publicar un borrador.

El agente puede leer el estado del programa, preparar una configuración y guardarla. Las instrucciones de las herramientas le indican que debe obtener tu aprobación para publicar, fijar los importes de recompensa y cambiar los textos legales. La aprobación de las llamadas depende del cliente de IA. Estas herramientas de configuración no aceptan datos de tarjetas de pago.

Para usar un cliente MCP externo, crea primero un borrador en Kit con una suscripción activa a Kit y acceso de administrador de CSiRT. Después, conecta o vuelve a conectar tu cliente y concédele acceso de lectura y escritura a CSiRT. Las herramientas CSiRT solo aparecen cuando existe un programa.

Del borrador a la publicación

Empieza con csirt_get_setup_guide y sigue su next_tool. csirt_create_program también puede devolver el borrador existente; esta llamada es opcional en este proceso.

Paso	Herramienta	Qué ocurre
1. Orientarse	csirt_get_setup_guide	Informa del estado actual, el esquema de configuración, los valores predeterminados recomendados y el next_tool exacto que llamar.
2. Confirmar borrador (opcional)	csirt_create_program	Sin parámetros, devuelve el programa existente sin crear un duplicado. Requiere acceso de administrador de CSiRT y una suscripción activa a Kit.
3. Configurar	csirt_configure_program	Define cualquier subconjunto de las siete secciones de configuración en una sola llamada. Repítela cuantas veces necesites.
4. Activar	csirt_activate_program	Publica el portal público y empieza a aceptar informes reales. La instrucción de la herramienta requiere la aprobación del usuario; la herramienta también comprueba el alcance y el contacto de security.txt.

Una conversación típica:

"Configura un programa de divulgación de vulnerabilidades para nosotros. El alcance es
 app.acme.com y api.acme.com, el correo de entrada [email protected]. Sin recompensas por ahora."

El agente llama a csirt_get_setup_guide, lee el borrador existente, configura el alcance y el contacto de security.txt, y luego se detiene y te pide confirmación antes de la puesta en producción.

Paso 1: Orientarse con la guía de configuración

csirt_get_setup_guide es el punto de entrada y la herramienta a la que el agente regresa entre pasos. Devuelve el estado, el número de informes, el cumplimiento de los SLA, una config_checklist (cada elemento indica la herramienta correspondiente) y la siguiente herramienta que llamar.

Como el esquema y los valores predeterminados viajan con la respuesta, el agente puede construir una configuración completa y válida sin adivinar nombres de campos. Las claves reflejan exactamente csirt_get_program, así que las mismas estructuras sirven para leer, editar y escribir de vuelta.

Paso 2: Confirmar el borrador (opcional)

Sin parámetros, csirt_create_program devuelve tu programa existente desde un cliente MCP externo. Si proporcionas name o disclosure_policy, esos campos se actualizan. Requiere el permiso csirt_write, acceso de administrador de CSiRT y una suscripción activa a Kit.

Parámetro	Obligatorio	Descripción
name	No	Actualiza el nombre del programa existente si se proporciona.
disclosure_policy	No	Actualiza el texto de la política de divulgación coordinada existente (markdown) si se proporciona.

Es idempotente: si ya existe un programa, la herramienta devuelve ese en lugar de crear un duplicado. La respuesta incluye el config_checklist y next_tool: "csirt_configure_program".

Paso 3: Configurar el programa

csirt_configure_program define cualquier subconjunto de las siete secciones de configuración en una sola llamada. Las claves y estructuras de campos reflejan csirt_get_program y csirt_get_setup_guide, así que un ciclo leer → editar → escribir de vuelta no pierde datos.

Sección	Clave	Qué define
Alcance	scope_config	in_scope_targets[], out_of_scope_categories[], excluded_vuln_types[]. Obligatorio antes de la activación.
Matriz de recompensas	bounty_matrix_config	tiers: [{severity, min_cents, max_cents}] para informational/low/medium/high/critical/super_critical.
SLA	sla_config	acknowledgment_hours, resolution_targets {severity => hours}, breach_alert_repeats (0–20, predeterminado 3), breach_alert_interval_hours (6–720, predeterminado 6).
Triaje	triage_config	default_assignee_id, escalation_severities[], dedup_enabled, require_retest, max_appeals, auto_assign_on_call.
Pagos	disbursement_config	supported_payment_methods[], require_tax_docs, require_agreement, min_payout_cents, currency.
Spam	spam_config	max_reports_per_window, window_seconds, block_duration_seconds.
security.txt	security_txt_config	contact_email (la dirección de entrada pública: obligatoria antes de la activación), expires_days, policy_url, acknowledgments_url, hiring_url, encryption_url.

Puedes llamar a esta herramienta tantas veces como quieras mientras estés en Borrador. La respuesta informa de qué secciones cambiaron, si el programa ya es activatable, los activation_blockers restantes y la siguiente herramienta.

Para el significado completo de cada campo, consulta Configura tu programa, que documenta estas mismas siete secciones en la interfaz web.

Previsualizar el portal en borrador

No hace falta activar para ver el portal. Cada herramienta de configuración devuelve una portal_preview_url: el portal renderizado exactamente como lo verán los investigadores, con un banner de previsualización. Funciona mientras el programa sigue en borrador:

• Solo miembros de la cuenta. Abre el enlace con la sesión iniciada en Kit. Si tienes la sesión cerrada, el enlace te lleva a la página de inicio de sesión y de vuelta; los visitantes que no son miembros de tu cuenta reciben un 404, así que el borrador permanece invisible para el público.
• Siempre en el dominio de Kit. Un dominio de seguridad personalizado (por ejemplo vdp.yourcompany.com) solo empieza a servir el portal tras la activación: tu sesión de Kit no se traslada a tu propio dominio, así que el enlace de previsualización siempre usa la URL de kit.

Pídele al agente «muéstrame una vista previa de mi página de VDP» y te facilitará este enlace.

Paso 4: Activar (puesta en producción)

csirt_activate_program pone el VDP en producción: publica el portal de informes público, empieza a aceptar informes reales de investigadores y pone en marcha los relojes de SLA.

La instrucción de la herramienta indica al agente que explique la publicación y obtenga tu confirmación antes de llamarla. Es una instrucción para el agente, no un formulario de aprobación adicional que Kit imponga.

También se niega a activar hasta que estén definidas dos cosas:

• Alcance: al menos un objetivo dentro del alcance (scope_config.in_scope_targets).
• Contacto de security.txt: un correo de entrada (security_txt_config.contact_email).

Si falta alguno, la herramienta devuelve los bloqueos concretos (más la preview_url del borrador) y remite al agente de vuelta a csirt_configure_program con la sección que corregir. Una vez en producción, la respuesta incluye la portal_url pública: tu dominio de seguridad personalizado cuando hay uno configurado o, de lo contrario, la URL de Kit. Más adelante puedes pausar el programa.

Automático vs. confirmado por un humano

El agente prepara	Revisa y aprueba	No disponible mediante estas herramientas
Leer el estado del programa y el esquema de configuración	Activación (puesta en producción / publicación del portal)	Capturar una tarjeta de pago
Redactar una configuración completa a partir de tu intención	Activación	Contratar una suscripción
Escribir secciones de configuración (alcance, SLA, triaje, spam, security.txt)	Fijar los montos de recompensa	Nada
Leer la lista de configuración del borrador	Editar los textos legales de puerto seguro (Safe Harbor) / divulgación	Nada

Revisa la vista previa del portal, los importes de recompensa y la política antes de aprobar. Si usas un cliente MCP externo, comprueba también sus ajustes de aprobación de llamadas a herramientas.

En resumen

• Crea el primer borrador en Kit con una suscripción activa a Kit y acceso de administrador de CSiRT
• Si usas un cliente MCP externo, asegúrate de que a la conexión se le concedió el módulo CSIRT con Lectura y escritura en la pantalla de consentimiento: las herramientas de configuración son herramientas de escritura
• Pide al agente que «configure un VDP»: empieza con csirt_get_setup_guide
• Confirma que el programa sigue en Borrador antes de publicarlo
• Proporciona el alcance (objetivos dentro del alcance) y un correo de entrada para security.txt
• Revisa los montos de la matriz de recompensas antes de aprobarlos (los montos están en céntimos)
• Da un «sí» explícito antes de que el agente llame a csirt_activate_program
• Verifica la portal_url pública que se devuelve tras la activación

Y ahora qué

• Configura tu programa: referencia campo por campo de las siete secciones de configuración
• Integración con IA: las herramientas de IA del lado del triaje (severidad, duplicados, respuestas a investigadores)
• Configuración de security.txt: cumplimiento de RFC 9116 y verificación
• Conexión de asistentes de IA: conectar un cliente MCP externo y gestionar scopes