Phase 2 — Close AI-native coverage gaps

[lcasarin-maker]

Problem

Only ~22%% of the catalog addresses AI/LLM-specific risks � the actual core of vibe coding.

New entries (each anchored to external evidence)

• Prompt injection in agent loops � OWASP Top 10 for Agents 2026
• Over-mocked / assertion-free tests � arxiv:2602.00409
• Context window gaming / context poisoning � HumanLayer ACE
• Hallucinated imports / phantom deps � arxiv:2603.28592
• Echo-chamber review (same model generates & reviews)
• Architecture drift in long sessions
• Tokenomics debt (vexp.dev: $300-450 vs $90-135/mo)
• Spec ambiguity cascade

Target: AI coverage 22%% !92 e45%%.

[lcasarin-maker]

Insumos del análisis de repos (para Fase 2)

Verificado con gh api / PyPI (autoritativo). Integrar aquí:

Hueco nuevo confirmado 🔴

• Dependencias alucinadas: NINGÚN tool (trivy/snyk/DependencyCheck/deptry) detecta paquetes inventados por IA. Entrada nueva: detección = verificar existencia del paquete en el registry del lenguaje. Ambos agentes de seguridad lo confirmaron como gap real.

Tools de detección a añadir en recetas de entradas existentes (todos verificados reales)

• gitleaks → VC-095 (secretos)
• bandit (Python) → VC-115 (eval/exec)
• semgrep / codeql (taint, únicos con dataflow real) → VC-074 (I/O sin validación)
• OWASP DependencyCheck → VC-082/116/122 (junto a Trivy/PI-004)
• ruff BLE001 / flake8-bugbear → VT-040 (excepción absorbida)
• mutmut / cosmic-ray / Stryker → VT-113 (mutation testing) — el repo "mutation-testing/mutation-testing" NO existe
• pre-commit + husky → mecanismo de compuerta (hooks)

NO inflar (verificado)

• testdouble es lib de mocking, NO detector → VT-023/024 se queda como heurística de revisión.
• No existen: openai-prompt-optimizer (es feature), karpathy/code-review-assistant, samuelcolvin/token-bucket, pythonguide/try-except-guard, typicode/git-hooks.