Latest / The apicurios - El podcast para los APIcuriosos del mundo por Rafael Granados y Alexandre Ortega . / Zombie APIs, Shadow APIs, Orphan APIs: el riesgo oculto en tu empresa

Transcript

Zombie APIs, Shadow APIs, Orphan APIs: el riesgo oculto en tu empresa · The apicurios - El podcast para los APIcuriosos del mundo por Rafael Granados y Alexandre Ortega .

0:01
Bienvenidos a. The apicurios, el podcast de las
0:07
APIS para todos los apicuriosos del mundo.
0:13
Comenzamos muy buenas a todos y bienvenidos de nuevo a la casita
0:20
de las ratitas Apicuriosas. ¿Y ahora en 2026, Álex, estás
0:25
ahí? Feliz año familia.
0:28
¿Cómo estamos bien aquí? Estoy otro año otras movidas,
0:32
más APIS. Vamos a ver qué nos depara este
0:34
26 no más. Apis más y ya.
0:38
Y vamos a ver un poco cómo evoluciona todo.
0:41
¿Y si es verdad que realmente es todo esto, es aplicable o no?
0:45
Pero bueno, sí, yo creo que va por aquí también todo el tema
0:48
este vamos, vamos a ver sí, sí, sí.
0:50
Sí, sí, ese es el tema de. ¿De industrializar no, ahora
0:54
hasta ahora estaba todo muy bien, pero la gente pues y los,
0:57
pero la gente con digo, la gente está muy mal dicha tenían que
0:59
ser las empresas, es decir, las empresas lo que están haciendo
1:03
es básicamente que ahora vamos a industrializar lo que hemos
1:07
aprendido este año, no? ¿Y si pensabais que que era solo
1:12
una moda pasajera, pues tengo noticias, Eh?
1:14
Esto esto es lo que acaba de empezar.
1:17
Y esto es totalmente diferente. ¿Os acordáis, por ejemplo, de un
1:21
2024 aquel año en el que cualquier empresa quería su su
1:24
chatbot? Pues esa época se acabó de de
1:27
ya. No estamos en la fase de
1:28
impresionar a a a nuestro jefe con una demo bonita utilizando
1:32
una NLMYY, no, ahora esto ya ha cambiado, ha cambiado, ahora
1:37
toca lo difícil y lo difícil es industrializar todo esto no
1:42
donde gartner comentaba que este año.
1:45
Pues empezaba la fase Argentina. Y es que el problema ya no es el
1:49
modelo, todos funciona genial, todos, todos funcionan perfecto,
1:53
vale, es así el verdadero desafío, lo lo los chungos es la
1:59
arquitectura que hay detrás. ¿Cómo montamos esto?
2:02
Seamos sinceros, un modelo sin manos, no, no, no hace nada sin
2:06
un bisturí, un médico no hace nada, no, o sea, por muy
2:08
inteligente que sea. ¿Pero si no tiene manos para
2:12
coger el bisturí y con ese bisturí y operar es totalmente
2:15
difícil, entonces bueno, ha llegado el momento de dotarle de
2:20
tentáculos a la I a y que haga cosas, no?
2:23
Entonces dejadme que os cuente lo que yo creo que los 3 niveles
2:28
de de evolución que creo que tienen las las IAS en la
2:31
empresa, porque es que he estado dándole muchas vueltas y
2:34
imagínate que estamos hablando de de empleados.
2:37
Vale en nuestra empresa. Tenemos a los a los becarios que
2:40
son los asistentes o en el mundo API, barra IA serían los
2:46
sistemas raj básicos copilotos. Los lo que hacen es pues que
2:53
seamos capaces de hablar con los PDS.
2:55
No, sí, sí, sí, el chaquetario que tienes al lado.
3:00
Lo único que se va a hacer es buscar documentos en donde sea,
3:04
donde tú le el repositorio de datos donde tú le hayas dicho.
3:07
Conoce la empresa de P a PA le preguntas algo, lo busca entre
3:11
todos los PDFS, todos los markdown y todo lo que tenga y
3:14
al final te responde sin Pum fin, directoria, no hay nada
3:17
más, entonces bueno, estos serían los los típicos, el nivel
3:21
uno vale, y esto pues bueno, parece que muchas empresas pues
3:24
ya lo están utilizando el siguiente nivel de evolución ya
3:27
serían los los ejecutivos, los agentes.
3:29
Aquí es donde la cosa empieza ya a ponerse ya interesante.
3:34
Pues eso, ya no hablamos solo de leer documentos o hablar con los
3:37
PDFS, como digo yo no, sino que vamos a ejecutar acciones.
3:40
Este es el territorio donde creo que este año 2026 van a van a
3:46
estar la la mayoría de las empresas, o sea, volvemos al
3:49
ejemplo del del becario, ahora ya no es un becario, es un
3:52
ejecutivo y tiene acceso a sistemas críticos, no, o sea,
3:55
puede consultar en el ERP cómo estamos, validar transacciones,
4:00
puede ejecutar APIS y todo eso. ¿Respetando pues la jerarquía,
4:06
los la privacidad, los permisos, vale, o sea está utilizando o a
4:10
U2 por ejemplo, para eso no? Bueno, pues esta gente sería
4:14
capaz de de hacer estas estas acciones, no esta acción en este
4:18
caso. ¿Y aquí hay una técnica muy
4:21
importante y es que se necesitan apis bien documentadas y sí, sí,
4:25
sí y ojo y atención a los MCPS que también tienen que estar
4:29
bien documentado, no? Entonces esta es va a ser la
4:32
gran diferencia. Que vamos a tener entre una
4:34
gente que entiende nuestros sistemas y no, que no tiene idea
4:37
de dónde están las cosas, si no estamos, si no tenemos una buena
4:43
y están desperdigados por el mundo como tú vas a decir
4:46
después, Alex, pues no nos va a servir de mucho, vamos a tener
4:49
una gente muy bien, hemos creado una gente, pero no va a ser útil
4:51
para nada. Bueno, vale, lo tenemos YY ya
4:54
está, no, al final es es lo que tenemos, no por ejemplo, un un
4:58
ejemplo real, no tenemos el típico chatbot.
5:01
Te está mostrando la política de devoluciones, te dice, mira,
5:04
pues tienes que haber, no tienen que haber pasado 15 días.
5:07
Este agente lee la factura, mira a ver cuántos días han pasado
5:13
igual han pasado 15 o no han pasado 15.
5:15
Vale valida con busca el ID de la transacción en el RP o lo que
5:19
sea, calcula el importe de los portes que ha sido, etcétera,
5:22
etcétera. ¿Y si ve?
5:25
¿Que estás dentro de la política aceptada o de la de la política
5:30
aceptada? ¿Pues te lanzará una, te
5:33
ejecutará, vale la llamada a la ley de reembolso?
5:35
No, y todo esto automáticamente. Esto ya no es texto, sino que es
5:39
un proceso de negocio completo. O sea, ya al final aquí haces
5:41
cosas, es una gente que ha subido un nivel, ha subido un
5:46
nivel en nuestra en nuestra madurez, llamémoslo así de de ya
5:50
no y finalmente ya tendríamos ya la.
5:53
La, la, la uf, la la Orquesta Sinfónica, no la la guía
5:56
agéntica a lo bestia, no, aquí ya sería yo todavía no.
6:00
Bueno, igual me equivoco no, pero creo que estamos un poco,
6:03
llegamos un poco pronto. No creo que todas las empresas
6:06
podamos se puedan llegar a este escenario ahora mismo, pero sí
6:08
que tienen que fijar las bases para poder hacerlo en un futuro.
6:12
Y ya no hablamos de una gente que que tiene el superpoder de
6:16
devolverte o no, de hacerte un reembolso o no de una compra en
6:20
un e commerce. Sino que lo que estamos hablando
6:22
es de una red de de agentes, todos ellos interconectados,
6:27
cada uno de ellos especializados en un tema y que colaboran entre
6:31
sí. ¿Como pues bueno, como como una
6:35
orquesta, no? ¿En este caso y imagina esto,
6:38
no? O sea, tienes un agente
6:39
especializado en finanzas que habla con otro agente que está
6:43
especializado en logística, que coordina.
6:46
Con una persona, ay, perdona, con un agente, hasta yo me
6:48
confundo con 1.1 agente de atención al cliente.
6:54
¿Si todo esto todos juntos ejecutan el flujo completo de
6:58
negocio de inicio a fin, pues será agéntico, no?
7:03
O sea, todo este volumen de negocio, todo esta, todo este
7:06
caso de uso de principio a fin, va a ser ejecutado por agentes,
7:11
no por un agente que tenga superpoderes, pero.
7:16
¿Pero va a poder ejecutarlo? No vale, va a poder ejecutarlo.
7:19
Pero hay una cosa que hay que tener súper clara, y es que esto
7:22
es el mundo ideal, pero hay que acuñar una frase, hay que acuñar
7:27
un igual que hemos hablado de AI First y de todo ese tipo de
7:30
cosas. Hay que hay que añadir el human
7:35
in the loop no es no, es optimal, es obligatorio, o sea,
7:38
si tiene que haber. Un.
7:41
¿Una intervención humana en según qué acciones, según qué
7:44
acción, va a necesitar una aprobación de de un humano?
7:48
No, porque si no, no si no nos podemos encontrar, si hemos
7:52
visto que las que las IAS son capaces de de engañar o de sí,
7:56
sí, de engañar, alucinar o incluso no dejarse desconectar,
8:01
tenemos que estar seguros de que hay para una tarea crítica, para
8:05
una acción crítica. 111 humano aprobando y verificando que
8:09
esos. ¿Que eso es correcto, no?
8:11
¿Entonces, cuál es la moraleja de todo este cuento que os he
8:14
contado ahora mismo? ¿No?
8:15
Y es que 2026, el verdadero valor empresarial no va a estar
8:20
en tener un modelo más grande, súper rápido, multimodal,
8:25
etcétera, etcétera, sino que va a estar el gran reto para las
8:28
empresas. Desde mi punto de vista, Álex es
8:31
construir una arquitectura correcta y una arquitectura que
8:34
te permita conectar, que te permita gobernar y que haga que
8:38
la I a trabaje. Para nosotros vuelvo a lo que he
8:42
dicho antes, si tu API Panagement es un desastre y no
8:45
tienes documentación, si los servicios no están expuestos de
8:49
una forma estándar, ya puedes tener el supermodelo más
8:52
avanzado del laboratorio secreto de antropic.
8:56
Que los agentes serán serán útiles, serán inútiles.
9:01
Así que bueno, perdonad toda esta etapa, pero es.
9:04
Que muchas cosas. ¿Es el lío del episodio que
9:07
teníamos preparado Álex porque hoy nos vas a dar una master?
9:11
Vamos a hablar de de de un tema que yo creo que la gente se lo
9:18
encuentra y tal, pero no le pone nombre.
9:21
Vale, hasta que un día alguien te pone nombre y te das cuenta
9:25
que ostra, pues es verdad que que.
9:28
Que sí, que muchas cosas de estas pasan e influyen en en un
9:32
Gobierno API. Hoy volvemos al vamos a dejar
9:34
aparcados el tema de la IA y vamos a adentrarnos en las APIS.
9:38
Vale, yo yo quería hablaros de la shadow APIS, orphan APIS y
9:42
Zombies APIS. Vale que vendría a ser.
9:46
Pues pues sería algo parecido, pero con APIS, vale, no, esto
9:50
son las APIS que tu organización no quiere que mirar a los ojos.
9:54
Vale, porque ya veréis que son. Es el típico elefante en la
9:59
habitación que nadie quiere, nadie sabe por qué está allí,
10:04
nadie sabe cómo ha llegado eso allí, etcétera, etcétera.
10:08
¿Vale esto? ¿Es un mal endémico, no?
10:10
O sea, si trabajas en una empresa medianita tirando a
10:14
grande. ¿Y vas diciendo O te crees que
10:17
todas tus apis están controladas?
10:21
Va a ser que no vale. Va a ser que no supercontroladas
10:25
documentadas, gobernadas, no se lo cree ni Perry, o sea.
10:28
O sea, no sé, al final al final estamos hablando de un tipo de
10:32
APIS que se quedan allí en el ecosistema de la empresa, que
10:38
igual no es porque no está bien gobernada la empresa, porque
10:41
desde aquí la importancia del Gobierno de APIS, EH, muchas
10:44
veces. ¿Por qué?
10:45
Porque bueno, ahora iremos desgranando una a una, pero al
10:49
final da igual el sector. O sea, si es un banco, una
10:52
telco, aseguradora, utilities, lo que quieras.
10:55
Vale, al final en todas existen APIS que nadie recuerda haber
11:00
aprobado pero que están allí. Nadie se atreve a pagar porque
11:05
si la exacto y nadie quiere asumir como propias o quién es
11:11
el owner de eso al final. Llegas al punto que haces un
11:15
listado, revisas un API, get web, revisas en blogs y empiezas
11:19
a ver llamadas, APIS y esta API de quién es y nadie sabe y por
11:23
qué se llama solo los sábados YY nada más y etcétera.
11:28
¿Vale, al final bueno, vamos a hablar de las típicas APIS que
11:33
no salen nunca en los powerpoints, vale, pero que
11:37
muchas veces están sosteniendo el negocio YY están ahí, vale?
11:42
¿Qué qué tipos hay? ¿Qué tipos hay?
11:44
¿Porque has hablado de de de zombies de huérfanas y de shadow
11:47
a PI? Exacto, exacto, mira, vamos a
11:50
empezar por las shadow a PIS. Las shadow a PI son las típicas
11:55
que esto solo para un proyecto. Vale, hazme una API para este
11:59
proyecto y ya está. Vale, empezamos para las shadow
12:01
APIS que son las más comunes y las más hipócritas y ya veréis
12:05
por qué, porque al final una shadow API es una API que no
12:08
existe oficialmente. Vale, pero curiosamente.
12:12
Hay gente que la USA en la empresa.
12:14
¿Vale, cómo nacen estas APIS? Estas shadow por las la historia
12:19
muchas veces se repite, vale, es solo un endpoint interno que
12:24
nadie va a utilizar. No hace falta pasar gobierno
12:27
porque es para este proyectito, es una poc que tenemos y tal es
12:31
temporal, la la vamos a vamos a utilizar nada 2 meses para la
12:35
Poc. Con este integración con este
12:37
tercero para ver si funciona todo y luego nos.
12:40
Vamos a poder deplicar. ¿Bueno, ya veremos o luego la
12:44
regularizaremos y ya pasaremos el Gobierno, vale?
12:47
¿Y qué pasa? Que nunca se acaba regularizando
12:50
y eso se queda allí y demás. Un ejemplo claro, una, pues voy
12:55
a poner un ejemplo en banca, un equipo necesita exponer datos
12:58
de. Entes para el motor antifread
13:01
vale, por ejemplo, el proceso final te semanas.
13:03
¿Por qué? Porque como tú y yo sabemos en
13:07
un banco, pues tienes que pasar unos comités, tienes que haber
13:09
aprobaciones de no sé qué departamento y cuando te acaban
13:13
aprobando ponerse en microservicio con este Point,
13:16
pues tal. ¿Entonces qué pasa?
13:18
Pues oye, vamos a montar un micro rápido, nos subimos, Pim
13:24
PAM para hacer la prueba. ¿YY bueno, y se sube un poco así
13:29
Chimpun como fuera un poco del circuito normal, vale, y qué
13:34
pasa? Pues que.
13:35
Haya, estamos, estamos hablando de APIS piratas.
13:38
Sí, de estas APIS que están dentro de la empresa de que
13:43
conoces al tío de del equipo arquitectura o y tal y le dices
13:47
tío, Publícame este en pon que la semana que viene tenemos una
13:51
presentación y tenemos que presentar el una maqueta para el
13:54
proyecto tal. Bueno, y ese y ese end point se
13:57
queda publicado ahí y te el colega te hace el favor, se
14:01
queda publicado allí y ese end point tú lo has utilizado
14:05
durante esas 2 semanas para hacer la integración o para
14:08
hacer la prueba o la presentación de turno y tal,
14:11
pero bueno, mientras otro equipo lo ha descubierto.
14:14
Ostia, pues esto me sirve a mi y tal es una API de uno de
14:17
calcular el riesgo de un cliente y tal.
14:21
Bueno, pues. El.
14:24
Whats se lo he dicho en el café o ha revisado una API porta y ha
14:28
visto en un sitio que está publicado una API que hostia
14:30
igual me sirve y tal YY ha tirado millas y tal.
14:34
Vale, y es un problema estas cosas vale porque porque porque
14:38
sí son son un problema. Ahora veremos el porque después
14:41
iremos a mi parte favorita que es la seguridad y lo que
14:44
conllevan este tipo de APIS. Vale otro ejemplo.
14:48
Ejemplo típico de una tape con una aseguradora.
14:50
Vale, un equipo digital necesita consultar el Estado para una
14:54
línea, un siniestro y demás, etcétera.
14:56
Pues oye, vamos a exponer un endpoint rápido que solo lo va a
15:00
utilizar esta PP para tal vale. Meses después te encuentras que
15:04
es endpoint y tú y yo sabemos que esto pasa, que hemos estado
15:08
en gobiernos de distintas empresas y no pequeñas.
15:11
Pues que. Lo acaba usando otra PP.
15:14
Lo usa un partner que no sé qué un Bot ha lanzado tal YY esa API
15:20
queda clasificada como shadow. Vale que son esas APIS que que
15:23
están bueno como enmascaradas, que nadie sabe, pero se utiliza
15:28
y son un peligro. Dime, dime.
15:31
No estaba pensando que esto es un problema, no solo a nivel a
15:36
nivel gobierno también, sino que en poco tiempo se puede
15:39
convertir en un problema de seguridad porque.
15:41
Al final sí las APIS las van a las van a utilizar la gente SI a
15:45
y esa gente. I a claro, por lo que sea.
15:48
O dice, Ostia, mira esta API que mira pues voy a crear alguien
15:52
crea un MCP para utilizar esa API.
15:55
¿Ostras, ya tiene de permitirme decirlo así, voluntad y oye,
16:00
puede pasar cualquier cosa, no? Sí, sí, sí, sí, claro es, es que
16:03
es un problema. Al final estás exponiendo en una
16:07
API. Vale que bueno, no, porque nadie
16:10
lo hiciera mal. ¿Alguien nos puso una API pero
16:15
pero no se no se diseñó para un nivel de exposición x vale,
16:19
igual se empezó para algo cerrado, para o para tal, pero
16:23
al final se puede pillar en una illa empezar a llamarla esta
16:27
asado, guapi? No sé qué y se puede liar.
16:29
Y el problema a nivel de seguridad es que un asado,
16:33
guapi. Es habitual encontrar pues
16:35
autenticaciones débiles o o tokers compartidos, o esos cines
16:40
COPS finos, porque al final como era para un proyectito que tal
16:44
una POP que hacíamos que tal, pues normalmente la
16:48
autenticación es débil. Vale, al no pasar por un APP
16:53
Gateway digamos oficial, sino que igual hacer la llamada
16:56
directamente al micro a igual hasta no, no, no estás contando
17:00
ni Rail Limiting la ni ni. O o si está o no está dispuesto
17:04
a Internet, que ha sido un poco mi amigo me la me la hecho.
17:10
Exacto, bueno, sí, sí, sí, es un es un poco así.
17:12
Al final muchas veces las grandes empresas o las medianas
17:16
empresas y tal funciona mucho. Café el tío Súbemelo que me
17:21
tengo un fregado que no sé qué y tal y bueno y como comentábamos,
17:25
otro otro tema que es un poco delicado es el tema de.
17:29
Habíamos a la autenticación débil y tal es la autorización
17:34
muchas veces, que es otro vertientes Scops poco finos.
17:40
El end point devuelve más datos de los necesarios porque es
17:43
interno YY devuélveme todo el json con todo el contenido.
17:49
Vale, y al final bueno, aquí hay un tema también que es un poco
17:52
delicadete, vale, al final todo esto no, no acaba siendo un
17:57
ataque sofisticado, súper currado y tal, pero bueno, son
18:03
los atacantes aprovechan un un descuido, vale y nada.
18:10
¿Es una cosa que va a ser rápido y claro, como va a ser alguien
18:13
lo va a utilizar rapidito? Pues oye, tiramos, tiramos,
18:17
vamos rápido para que salga no el time to market y ya si eso lo
18:20
lo por ahí quedará y luego no está registrado en nada.
18:23
Etcétera, etcétera. Sí, sí, sí, son las típicas que
18:24
se quedan ahí medio colgadas. ¿Qué tal?
18:28
Y bueno, al final son un poco delicadas, pero pero bueno, al
18:32
final una frase que lo recogería todo es que la shadow upis no
18:37
son malas ideas. Sino que son buenas ideas, que
18:40
crecieron sin control. Vale que al final es algo que
18:44
diseñas para una EPOC rápido y tal.
18:47
Acaba funcionando y acabas publicándolo y queda allí y va
18:53
creciendo. Y otro equipo lo utiliza y
18:56
bueno. Y pasan los días.
18:58
Exacto, pasan los días. Luego eso está allí, nadie de
19:01
tal. Bueno, un poco un poco show.
19:05
Ya ya ya sabes cómo va. Y esto estos serían un poco las
19:09
shadow APIS. Vale, luego teníamos otras que
19:12
son las orphan APIS o las APIS huérfanas.
19:16
¿Vale que lo lo típico comentario, cuál sería?
19:21
Sería que esas APIS que que. Que que no es que están ocultas,
19:27
es que es que es que se han olvidado por el tiempo, se han
19:31
quedado ahí. No tienes conciencia de que
19:35
alguien la esté utilizando porque la única forma imagínate
19:38
que pasa por una API que tú y eso no va a salir en ningún lado
19:41
y a ver quién tiene narices de de de de quitar esa API a saber
19:45
lo que te puede pasar, si la quitas no.
19:46
O sea, a saber qué es lo que está tirando de esa API porque
19:48
está todo indocumentado. ¿Entonces cómo cómo se quedan?
19:53
¿Cómo se quedan esas esas, esas APIS, cómo cómo una API se puede
19:58
quedar huérfanas si si no un er? ¿Bueno, ahora ahora ahora vemos
20:01
a mí lo que perdona como frase que me me gusta resumir es es
20:06
que esta a mí me ha pasado, Eh? ¿Como Gobierno es, oye este
20:11
empoint, tú sabes de tal? No es que eso lo llevó a otro
20:15
equipo antes y. ¿Lo llevaba?
20:17
Sí, sí lo llevaba. Apis que fueron oficiales que
20:20
tenían su owner, su contrato y tal hasta y dejaron de tener
20:25
owner y se quedan allí porque ha habido un cambio organizativo y
20:30
el tío que llevaba ese equipo pues ha ido.
20:33
Y esa API no estaba documentada en ningún confluence, en ningún
20:36
sitio y ya nadie sabe que existía proyectos que se
20:41
terminan. ¿Que se acaba el proyecto pero
20:43
no se despublica la API y se queda la API allí eterno, vale?
20:48
O proveedores que se van. El típico de has hecho una
20:51
integración para un proyecto que 1/3 que se conectaba aquí y tal
20:57
se ha llegado a un acuerdo, se acaba, se cancela el la el
21:01
acuerdo con este proveedor con este tercero que estás
21:04
trabajando. Y se acaba el proyecto, pero la
21:07
API se queda ahí publicada eternamente y está al final,
21:11
pues acaba siendo un un posible vector de ataque.
21:15
También al final un un endpoint ahí publicado, sino un er.
21:20
Como antes, claro, el problema, igual que antes.
21:23
O sea, cómo buscarla, cómo descubrirla YY poder utilizarla,
21:27
porque si no está documentada, realmente no sabes lo que lo que
21:31
hace. A ver quién tiene narices.
21:32
Porque claro de antes de de encontrar el código que hace
21:35
esto para poder hacer limpieza, pero vamos, yo yo no me atrevo,
21:40
yo no me atrevo, ya te digo yo que yo no, no me atrevo hasta
21:43
que no encontremos. Es que es lo delicado en estos
21:45
casos que al final y más en organizaciones muy grandes que
21:50
como Gobierno, es muy difícil decir Párenlos público y a ver
21:55
qué pasa porque igual igual la lía espalda y se cae.
21:59
No sé qué gordo sabes, entonces es lo típico que nadie se atreve
22:02
a tocar nada porque no, a mí me suena que esto había sido un
22:06
proyecto que se hizo y tal. Pero bueno, un ejemplo claro si
22:10
claro, porque en banca poder irme te voy a poner.
22:12
Un ejemplo claro es haces una API scoring, vale API Scoring,
22:16
no del APIS Coring que tú y yo conocemos, sino scoring de un de
22:20
un un cliente para saber qué puntuación para darle qué
22:23
créditos y tal, pues se crea para un producto en concreto.
22:27
El típico el producto, básicamente para que los oyentes
22:30
lo sepan, es, oye, mira tú como cliente tienes esta puntuación y
22:34
tienes derecho a que te dé un préstamo o.
22:36
Hasta x, exacto, exacto, hasta tanto lo que sea, vale, todos
22:40
estamos un poco en puntuados. Vale, entonces, exacto, es
22:45
coreados. Sí, sí, entonces tú tienes esta
22:47
API que se sirve para este proyecto para esta.
22:51
De este departamento. ¿Bueno, esta promoción de una
22:55
página web de de la entidad x qué tal?
22:59
Pero esto se acaba, el producto desaparece porque al final los
23:03
créditos a coches pues no interesan ni se quiere potenciar
23:06
otra cosa. ¿Pero la API sigue publicada y
23:09
se queda la API allí YY nadie la cuida, sabes?
23:14
Se queda ahí externamente hasta que alguien se da cuenta que.
23:18
¿Que que que hace esta API huérfana aquí que se ha quedado
23:21
ahí del del proyecto este? En algún momento alguien querrá
23:25
hacer limpieza y se da cuenta de que eso existe.
23:28
Desde ahí empiezas a tirar del hilo, empiezas a tirar del hilo
23:31
y te encuentras sorpresas de que oye, pues mira a esta podemos
23:36
catalogarla como API huérfana, porque yo creo que la única
23:39
forma efectiva de poder tanto hacer un poco de limpieza de las
23:43
APIS huérfanas como de las shadow IPIS.
23:46
Es dedicar una task force para hacer sanitais o limpieza de de
23:51
todas estas APIS, pero yo diría que eso siempre se dice y pocas.
23:55
Veces el exacto, el problema de todo esto es lo que dices que
23:59
esto no vende esto, tú le vas a arriba y dices, tenemos aquí
24:05
como Gobierno a pie descubierto todo esto te dirán ya ya, pero
24:09
esto no genera pasta, o sea. ¿No, no son conscientes del daño
24:14
que puede hacer, EH? Reputacional.
24:16
Después sales en un periódico porque se ha quedado un endpoint
24:19
allí y alguien ha hecho no sé qué y ha jugado con ese
24:23
endpoint, pero sí que es verdad que es muy difícil de cara
24:26
arriba. Pues explicar que la importancia
24:30
que tiene dedicarle. ¿Equis horas o equis tiempo de
24:34
un equipo de gobierno, pues a revisar todo esto vale porque al
24:37
final no lo voy a rascar, ir a preguntar esto de quién era esto
24:42
que hace? Y bueno, ya no tiene su riesgo
24:47
tener. ¿Un worker round, porque bueno,
24:50
a esto a esto de normalmente se llama a ver quién chilla, no?
24:55
¿Esta caja Sí te acuerdas? Mira a ver quién se queja y oye.
25:00
¿Bueno, pero a partir de ahí tiramos del hilo, no?
25:02
Entonces, bueno, pues pues nada. ¿Pues ahí ya tenemos las las
25:07
APIS huérfanas YYYY nos tocaría ahora las las walking dead?
25:12
No, sí. Tenemos bueno, como como resumen
25:16
un poco antes de saltar a las a las huérfanas, sería una API
25:21
huérfana. No falla de golpe, se vuelve
25:24
frágil con el tiempo. ¿Por qué?
25:26
Porque queda publicada. Existen dependencias vulnerables
25:30
de esa API porque se hay librerías que hay que
25:32
actualizar, están desde seguridad obsoletos.
25:35
Igual es un endpoint que lleva publicado hace 5 años o 3 años
25:39
YY ya salieron unas versiones de oau de de JWTS más configurados
25:44
porque son antiguos. Bueno, al final queda ahí muerto
25:48
y es un peligro también. ¿Vale al final?
25:51
Bueno, no. Si está bien diseñado no pasa
25:53
nada, pero a la larga te puede ocasionar muchos problemas de
25:56
este tipo. ¿Vale, y son dedicadas, vale, y
26:01
finalmente vamos a tus preferidas, que son las zombies,
26:03
vale, que son las de Walking Dead, que son las que te gustan,
26:07
que es lo que el resumen de estas es, no la pagues por si
26:11
acaso, vale, por qué? Porque las zombie APIS son las
26:15
más conocidas y aún así son las más toleradas.
26:18
Vale por porque son APIS que ya no deberían existir, pero siguen
26:23
activas por miedo a romper algo. ¿Es lo que hablábamos, vale?
26:27
¿Cuál es el origen de este tipo de APIS Zombies?
26:30
Pues son versiones antiguas, vale de de precaciones sin
26:36
fecha, vale que no tenían fecha y se han quedado y tal
26:40
migraciones incompletas que alguna emigración que se hizo y
26:43
ha quedado ahí un V uno barra no sé qué y nadie se ha tú y yo lo
26:49
tú y yo. Esto lo hemos sufrido y vivido.
26:51
De tener un ejemplo en banca es. Tienes una API de cuentas, vale
26:56
donde tienes la V uno que sigue viva, una V 2 que existe y una v
27:02
3 vale, y como dices puede convivir 2 versiones a la vez,
27:07
vale 2 V 2, v 3, pero nadie tiene narices de apagar la V uno
27:11
porque no sabes que igual dejas de de funcionar.
27:16
Una parte concreta de la a PP del Banco que estaba allí, que
27:20
nadie se acordaba que tenía la referencia de la V uno.
27:23
Y no le ha actualizado la V 2 y empiezan a fallar, pues 1000.
27:29
Cosas no solo fallar igual con este cambio de versión lo que
27:34
puede pasar es que no es que solo fallen, sino que igual te
27:39
dan la información, que no es la que tú que no esté actualizada.
27:43
No imagínate el umbral para darte un crédito.
27:46
Eso yo que sé ganar 1000 EUR al mes YY tú sigues ganando 1000
27:51
EUR al mes. Han pasado 5 años.
27:53
Pobrecito, no, no da aumento en el sueldo ni nada, pero la norma
27:59
sí que ha cambiado la versión 3. ¿Te va a decir que no te van a
28:01
dar un crédito a los hasta que no llegues a 2000 EUR, no?
28:05
Y en cambio si estás tirando de esa API, el negocio se ve
28:08
afectado porque claro, porque va a tirar de esa API que estaba
28:14
por ahí, que no estaba muerta, estaba de parranda y tú la vas a
28:17
coger y tú la vas a coger y ostras.
28:23
¿Te va a dar una lógica de negocio que no es la esperada?
28:26
¿Correcto? ¿Correcto?
28:27
La verdad es que estos 3 tipos de APIS dan muchos quebraderos
28:31
de cabeza en las grandes empresas y más a los equipos de
28:35
seguridad, porque estas cosas que no están controladas les
28:38
ponen súper nerviosos y totalmente lógico porque es es
28:42
verdad y el Gobierno también. Aquí la lucha es es.
28:47
Es poder vender a los de arriba de tu empresa, que la importante
28:53
que tiene todo esto de darle tiempo y pasta a a a revisar
28:57
todo esto y tenerlo todo bien organizado y todo barrido y todo
29:01
ordenadito y tal. Vale porque al final en grandes
29:04
empresas pues la gente va deployando, va subiendo
29:06
versiones no sé qué y si no hay un un control de todo esto se se
29:10
se descontrola bastante. ¿Sí, sí y por YY por qué estamos
29:14
insistiendo ahora en el año 2026 sobre las APIS Zombies, sobre
29:20
las huérfanas, sobre todo este tipo de APIS que quedan por ahí
29:24
pululando que van quedando versiones y todo este tipo de
29:26
cosas? Hay otra cosa.
29:29
¿No di di di, yo creo que vamos, que estamos pensando en lo
29:32
mismo, no? Bueno, es que empieza un año, o
29:36
sea tus apis las tienes construida, pero a partir de
29:38
ahora tus apis van a ser. ¿EI Fest, vale, o sea, las APIS
29:43
van a tener que pensar que van a ser utilizadas por por a G, por
29:47
I a vale por la I a ya no digo agente, ya no digo MCP, ya no
29:50
digo, o sea por por por I a por la I a no, entonces qué va?
29:53
¿A qué va a pasar? ¿Qué va a pasar?
29:54
Vamos a sacar la bola de cristal.
29:56
¿Y vamos a a a ver qué qué es lo que podría pasar no en este, en
30:00
esta, en esta época? Pues que claro, todos los
30:02
equipos van a desarrollar, van a modificar, van a crear una nueva
30:06
versión de esta API para que sea ella I compliance vale para que
30:09
cumple con lo para que sea descubrible por la I a para que
30:13
sea, pues más fácil de usar incluso, pues la lógica de
30:17
negocio va a hacer que dentro de la pues se van a crear nuevas
30:21
versiones. Que ya no es solo para que lo
30:23
descubra la I a, sino que dentro del microservicio van a hacer
30:26
llamadas a LLMS para que te den una, te devuelvan una algo
30:32
diferente de lo que está siendo hasta ahora.
30:34
¿Esto qué va a generar? Se van a generar toneladas y
30:37
toneladas de nuevas versiones de APIS, se van a generar toneladas
30:40
y toneladas de nueva documentación.
30:43
Y si tú gobierno no lo tenías bien hasta ahora se van a
30:47
generar, pues va a acabar siendo tu, tu, tu.
30:51
¿Tú tú sabes, van a estar en Walking Dead?
30:53
Correcto y además el lo que dices, el problema.
30:57
El problema es esto, si al final dejas los agentes y las IAS
31:00
llamar APIS YY descubren versiones antiguas por allí y la
31:05
IAS. Bueno, como ya sabemos un tira
31:08
millas igual coge encuentra primero en la V uno y no mira
31:11
que hay V 2, V 3 y el tío te empieza a generar una historia
31:15
con la V uno y te monta un follón que no veas al final.
31:19
La importancia de tener todo esto bien ordenado porque es lo
31:23
que dices. Ya no, ya no diseñamos las APIS
31:26
solo para desarrolladores, sino para para gentes, para para I a
31:31
para muchas cosas y hay que ser. Yo creo que hay que volver un
31:36
poco, un paso atrás y todo esto el Gobierno que antes era un
31:40
poco bueno, Gobierno las APIS. Hay que poner orden y tal.
31:45
Claro, ahora es superrelevante en estos momentos es cuando.
31:49
¿Echas de menos tener un buen gobierno porque si quieres un
31:52
buen gobierno te vas a ahorrar un montón de APIS, zombies,
31:55
correr y de basura, déjame llamarlo así, basura digital,
32:00
déjame llamar así, basura digital, que lo que te está
32:02
haciendo es ensuciando tus sistemas y que vas a ir
32:04
manteniendo todavía porque no sabes si eso va a afectar o no,
32:06
no, entonces claro, qué es lo que tira ahora?
32:10
Vamos a tirar todos por por la I a vale, vamos a crear agentes,
32:14
etcétera, etcétera. Bien, esto está pasando y más
32:16
este año. Como hemos dicho al inicio,
32:19
garner lo ha etiquetado como al inicio de de la de la
32:24
industrialización agéntica no en las en las empresas.
32:27
Entonces vale, tenemos eso. Para conseguir ese escenario
32:30
tenemos que modificar microservicios, tenemos que
32:34
modificar APIS, Jolín, vas a meter en la lógica de negocio en
32:38
el Microservicio vas a meter y a para obtener nuevos resultados.
32:43
Vale, por ejemplo, o sea, acuérdate, hace poco tiempo
32:46
hicimos una una API que lo que te hacía era te llamaba un
32:50
microservicio que llamaba a una inteligencia artificial para
32:53
buscarte vestidos parecidos a los que le estabas enviando en
32:56
una foto. Entonces, claro, eso está
32:58
llamando a una I a por detrás, pero antes todo lo hacía.
33:01
Entonces vas a generar toneladas y toneladas de nuevas versiones
33:04
porque vas a añadir nuevas características a esas APIS y no
33:07
valor añadido. ¿Si empezamos a generar APIS y
33:10
no tenemos gobierno, pues van a generarse chopo be, APIS,
33:17
zombies, shadows, YYY, huérfanas YY de todo lo que hay que hay
33:26
que ir con cuidado, no? Y estas cosas son las que ponen
33:28
en valor tener un equipo de gobierno de APIS.
33:30
Correcto, correcto. ¿Qué?
33:31
¿Qué es lo que decimos, Eh? Que yo creo que empieza.
33:34
A ser mucho más importante de lo que hasta ahora nos tomábamos.
33:38
Todo esto que sí que quedaba guay tener un equipo de de
33:41
Gobierno de APIS y tal, pero pero sí, realmente es algo que
33:45
se va a. Necesitar no solo en APIS vuelvo
33:50
a lo mismo si no tienes un buen. Sí, sí, sí de todo ahora porque
33:54
estamos hablando de esto en concreto.
33:56
Claro, sí, sí, pero me refiero. Apis pero MSPS también.
34:01
Claro, claro que ahora va a empezar también la la fiebre del
34:03
MCP. Ahora estamos hablando de APIS
34:05
huérfanas, pero van a ver MCPS huérfanos, van a ver MCPS
34:09
zombies y van a ver MC. ¿PS, sí, sí, sí, sí, bueno, pues
34:11
oye, yo creo que con con este pequeño mensaje yo creo que para
34:16
hoy ya estaría suficiente, no? ¿O que?
34:20
Sí, sí, sí. Comentar que yo creo que hay que
34:23
felicitar a Álex, que. Ha sido elegido como miembro de
34:28
un grupo selecto, no a ver. Ah, no lo sé.
34:31
Todavía no sé si es tan oficial como parece, pero pero pero sí,
34:36
quizás sí. Es oficial, es oficial, es
34:38
oficial, vale. Vale, vale, pues sí, sí, sí, en
34:41
el bueno, dilo tú, dilo. Tú va, que no me gusta.
34:45
Ya sabes que estas cosas no me gustan.
34:48
Bueno. Álex Álex ha sido incorporado
34:50
al. Al equipo o a la junta, al
34:54
Comité, al Comité de de Sabios de de Apiadis aquí en España.
35:01
Entonces, bueno, ya tenéis a los 2.
35:04
Entonces ya estamos haciendo casi.
35:05
Somos el 25% de Apiadis vale, vamos a seguir comprando
35:09
acciones y vamos a hacer con ellos, tío.
35:10
Hombre, eso es de eso, es de marco, tío, pero bueno, bueno,
35:18
no, no. Muy contento con la oportunidad
35:20
y aportar. A tope y bueno, a ver qué a ver
35:24
qué hacemos sí, sí, el nuevo nuevo Año Nuevo restos.
35:29
¿Nuevos retos? Ahí estamos, ahí estamos y nada
35:32
a desplazarnos para la próxima para el próximo episodio porque
35:38
porque tenemos una sorpresa sincronísima entonces bueno, ya
35:42
no quiero decir nada más, pero os gustará, os gustará.
35:47
Pues sí, sí, sí, yo creo que sí. ¿Hombre, pocas veces tienes la
35:52
oportunidad de hablar con el creador de algo, no?
35:54
Entonces eso eso está. Guapo, sí, vamos, vamos a ver
35:57
qué nos va a explicar. Sí, sí, oye, pues nada y damos.
36:01
Fue inaugurada la temporada 2026.
36:04
Preparar todos vuestros agentes, preparar vuestras APIS para ser
36:08
remodeladas, para aplacar y para ser consumidas por vías.
36:14
Además, acordaros de que hay que hacer limpieza, que no solo se
36:17
trata de eso, pero si no vendrá. A pasar la escoba hay que pasar
36:21
las la rumba e ir pasando. Y bueno, pues nos vemos hoy.
36:28
Bien, pues venga hasta la próxima.
36:32
Chaito Chaito.