La seguridad ofensiva no es encontrar bugs — es demostrar qué es realmente explotable. Con más de 10 años de experiencia entre desarrollo de software y seguridad, trabajo en entornos web, API, mobile y cloud, ayudando a equipos a identificar rutas de ataque reales y convertir hallazgos en controles de seguridad más fuertes.
Mi enfoque es la seguridad de aplicaciones y el penetration testing: explotar fallas de lógica de negocio, debilidades de autenticación y autorización, y validar flujos de alto riesgo — luego traduzco los hallazgos en remediación que los equipos de ingenierÃa realmente implementan. También utilizo flujos de trabajo de seguridad aumentada por IA, incluyendo descubrimiento de vulnerabilidades asistido por LLM y testing OWASP LLM Top 10. Tengo un MSc en Cyber Security con Distinción de la University of Birmingham y trabajé como Security Engineer (Penetration Testing) en el CERN.
Fuera del trabajo, comparto lo que aprendo con la comunidad: hablando en conferencias de seguridad reconocidas como DEF CON 34 (Las Vegas), BSides Colombia y PWN or DIE (Ecuador), publicando investigación y creando recursos abiertos de security testing.
Para más información, está disponible mi curriculum vitae .
Conferencias donde he presentado investigacion original:
DEF CON 34 — Las Vegas, USA (2026): Your APP Thinks I'm You: A Complete Kill Chain Against Mobile App Security — info de la charla
BSides Colombia (2026): Your Brain > Your Toolkit: Real Bugs, Zero Code, Zero Tools
PWN OR DIE — Ecuador (2026): Frustration Kill Chain: un framework para depurar rechazo en seguridad ofensiva
PWN OR DIE — Ecuador (2025): When Your Mind Becomes the Exploit: No Code, No Tools
Divulgaciones coordinadas de vulnerabilidades en ConvertX y pdfcpu — descubiertas, explotadas y divulgadas coordinadamente con los mantenedores.
| CVE / GHSA | Proyecto | CVSS | CWE | Estado |
|---|---|---|---|---|
| CVE-2026-105080 | ConvertX v0.18.0 | 9.4 CRITICAL | CWE-94: Improper Control of Generation of Code ("Code Injection") | ✅ Corregida en v0.19.0 |
| GHSA-w2hj-54mc-76r4 · CVE pendiente | pdfcpu v0.15.0 | 7.5 HIGH | CWE-190: Integer Overflow or Wraparound | ✅ Corregida en v0.16.0 |
| GHSA-fjh6-rrhv-4g63 · CVE pendiente | pdfcpu v0.15.0 | 6.5 MEDIUM | CWE-770: Allocation of Resources Without Limits or Throttling | ✅ Corregida en v0.16.0 |
| GHSA-g766-88fx-58h8 · CVE pendiente | pdfcpu v0.15.0 | 5.9 MEDIUM | CWE-190: Integer Overflow or Wraparound | ✅ Corregida en v0.16.0 |
| GHSA-6524-w46v-6399 · CVE pendiente | pdfcpu v0.15.0 | 6.5 MEDIUM | CWE-129: Improper Validation of Array Index | ✅ Corregida en v0.16.1 |
Advisories GHSA publicados; asignación de CVE en trámite. Writeups técnicos →
Abierto a colaboraciones de investigacion, charlas en conferencias y consultoria de seguridad - puedes contactarme por cualquiera de los medios a continuacion.
