Cómo jala NP Auditor de verdad

NP Auditor no es “otra IA que revisa tu código”. Es un motor medible que entra en tres momentos: antes de pedirle algo al agente, después de que contesta, y sobre el código que deja. En cada uno te da un resultado concreto — no una opinión.

Los tres momentos

1. Antes del prompt. Vas a pedirle algo a Cursor, Claude, el que uses. NP Auditor mira ese pedido primero: ¿está claro o flojo? ¿se puede ir de vueltas y quemar tokens? Si hay reglas de riesgo (pagos, prod, infra), te avisa. En milisegundos, antes de gastar en el LLM.

2. Después de la respuesta. Ya contestó. np_verify_response agarra las afirmaciones que sí se pueden checar (no el rollo completo) y las mide contra la realidad: ¿creó el archivo? ¿usó ese import? ¿salió eso? Si no sostiene, sale contradicted — no “posible alucinación”. Es verificación, no sospecha. Si no hay nada medible, te lo dice sin drama.

3. Sobre el código que deja. 341 firmas SAST (CWE), secretos hardcodeados, y — según plan — dependencias vs OSV.dev e IaC (Terraform/Kubernetes). Sale con archivo, línea y qué tan grave, no un “hay pedos por ahí”.

Qué te entrega: el informe

Cada pasada te deja un informe con fecha, en tu espacio (no mezclado con el de otro), exportable en Markdown. No es un dashboard misterioso: es algo que puedes adjuntar a una entrega, a compliance, o a la plática con tu cliente si tú entregas software.

Instalado ≠ corriendo

Tenerlo instalado y no usarlo es como el extintor en la pared sin checar la presión. El agente no falla siempre — falla cuando el pedido estaba a medias, la respuesta se apoyó en algo que no existía, o el código tocó un camino que nadie revisó. Esos son los tres momentos. Si solo lo corres “cuando te acuerdas”, cubres lo que miraste… no lo que se te pasó.

Cómo se usa

• Tú solo (developer): MCP en tu editor (Cursor, Claude Code, Windsurf…). Local: tu código no se va a ningún lado. En Cursor: clona np-auditor, install-mcp.sh, y escribe /np.
• Equipo / empresa: cada cliente tiene su espacio. Tus eventos e informes no se mezclan con los de otro. Si entregas software a terceros, el informe puede ir en esa entrega.
• Límite real, sin humo de “ilimitado”: en free/trial hay tope de informes exportables. Después sigues viendo resultado en pantalla — no te apagan el servicio, solo el detalle fino.

Lo que ves en la landing es el mismo stack que responde en api.jorgelaveaga.com/health ahora mismo — no hay una capa de marketing aparte.