Por qué la extensión VS Code de NotHoly para revisar

Revisar código en busca de seguridad en un asistente genérico va por dos caminos, ambos malos. Titubea cuando le pides encontrar el bug explotable o escribir la prueba de que el bug es real, o pegas una función en un chat y pierdes los imports, el llamador y el resto del archivo que deciden si el bug es alcanzable. La extensión de NotHoly revisa el archivo y el diff donde viven, en VS Code, Cursor, Windsurf o VSCodium, y el modelo detrás acepta la pregunta de seguridad. El caso de uso de revisión de código tiene el flujo; esto es sobre la extensión.

#Revisa el archivo o el diff

Abre un archivo y corre Review this file. El agente lo lee, con cualquier edición sin guardar, y lista lo que encontró en el panel Problems, cada ítem un punto al que saltar. Review changes manda tu git diff, los cambios sin preparar o los preparados cuando no hay nada sin preparar, así que un pull request recibe una pasada de seguridad antes de salir de tu rama. Explain selection toma un bloque que marcas, e Investigate a CVE busca el registro y lo explica en el chat. El modelo no se detiene a discutir si leer en busca de una vulnerabilidad está permitido, porque ese es el trabajo de quien revisa. La referencia de comandos los lista todos. El selector de modelos lista el catálogo con el precio de cada modelo, y cuando una promoción deja uno gratis para tu cuenta muestra una etiqueta free con el precio de lista tachado. Cada respuesta muestra sus conteos de tokens, y las últimas treinta conversaciones quedan en esta máquina en History.

#De un hallazgo a un test y una regla

Un hallazgo es más útil cuando deja algo detrás. Write a regression test for the selection le pide al agente un test que atraparía el bug de seguridad en el código que elegiste, para que el arreglo siga valiendo. Write a detection rule for the selection devuelve una regla Sigma, Semgrep o YARA para el patrón, para que el mismo error se atrape en otro lado. Apply suggested fix abre el cambio como un diff con Accept y Reject, y un turno que escribió archivos termina con Undo changes, que repone lo que escribió. Lees cada edición y cada comando en una tarjeta antes de correr. Un bloque de shell en el chat trae Run in terminal, que pone el comando en tu prompt y deja el Enter para ti, así que nada corre por sorpresa, y los adjuntos funcionan solo en un workspace confiable.

#Se queda en tu editor, con guardas

La extensión respeta el Workspace Trust. En una carpeta no confiable el agente no tiene herramientas y solo responde en texto, así que no lee archivos ni corre comandos hasta que confíes en la carpeta. Leer o escribir fuera del workspace pregunta primero, y rutas de credencial como .env, .ssh y .aws te hacen escribir el nombre del archivo de vuelta, mientras que grep las salta. Tras leer un archivo fuera del workspace o una credencial, una búsqueda web o en la base de conocimiento muestra su consulta antes de salir de tu máquina. Un comando que apruebas corre en tu shell, en la carpeta del workspace, con tus permisos y sin tu clave de NotHoly en el entorno. La clave en sí vive en el almacén de secretos del editor, y para CI la pones en el entorno.

code --install-extension notholy-vscode-latest.vsix

#Dónde no encaja

No es un analizador estático. El modelo puede perder un bug real y marcar uno que no está, así que una revisión limpia no es garantía y un hallazgo es una pista por confirmar. Zero Questions corre ediciones y comandos sin preguntar y puede vaciar tu saldo, así que es para un sandbox, no para un repo de cliente. En un workspace no confiable las herramientas de revisión quedan apagadas a propósito, y los tres editores que no son VS Code no están probados de nuestro lado. La extensión necesita un login, así que está atada a una cuenta y a un correo, y el modelo puede equivocarse como cualquier modelo.

Mantén la revisión en el editor, al lado del código que da el contexto. Instala desde la página de la extensión, luego pon saldo en precios.