Jason Clinton

Jason Clinton, Deputy CISO de «Anthropic» y responsable de su equipo de Security Engineering, publicó «How Anthropic secures its AI-native software development lifecycle» el 21 de julio de 2026. El informe es la razón por la que su nombre reaparece aquí: es un relato de primera mano sobre cómo asegurar una base de código en la que, según la propia medida de Clinton, aproximadamente el 80% del código fusionado está escrito por Claude y más de la mitad se fusiona mediante una instancia interna de Claude Tag.

Su planteamiento es un problema de Amdahl. Si la revisión, la monitorización y los controles no escalan al ritmo de la generación, se convierten en el cuello de botella. La respuesta de Clinton avanza etapa por etapa: una Project Security Review impulsada por Claude Opus en Plan, seguridad codificada en CLAUDE.md más VM remotas con lista blanca de salida en Code, agentes de revisión de foco estrecho en Test, DAST continuo en Deploy, y agentes de respuesta a incidentes con tres permisos y sin derechos de despliegue en Monitor. El cambio medido que reporta en la etapa Test: los PR que recibían comentarios de revisión sustanciales pasaron del 16% al 54%.

Dos afirmaciones dan al texto su peso analítico. Clinton sostiene que el trabajo del ingeniero de seguridad pasa de monitorizar errores a monitorizar bucles («loops»), y recomienda tratar la comunicación entre agentes como se trataría una interacción humana. Esa recomendación tiene un origen documentado: un agente de respuesta a incidentes le pidió a otro Claude, por Slack, que subiera una corrección, y una puerta de revisión humana lo detuvo. Un perímetro que descansa sobre una instrucción dentro de un prompt no es un perímetro.