# davis-gill-hendrickson-itrevolution-agentic-ai-code-reviews-2026-09-30

## Veille

Artículo colectivo de siete autores (**Zach Davis**, **Michelle Gill**, **Elisabeth Hendrickson**, **Angie Jones**, **Sha Ma**, **Randy Shoup**, **James Wickett**), publicado en el *Enterprise Technology Leadership Journal* por **IT Revolution** (otoño de 2026, vol. 3, n.º 2), bajo licencia CC BY-NC-SA. Unas **7.500 palabras**, titulado *« Toward a Pattern Language for Code Reviews in the Age of Agentic AI »*. **(A)** Planteamiento: la revisión de código se define como un examen realizado por una entidad distinta del autor que conduce a una acción; los estudios empíricos (Microsoft 2013, Mäntylä 2009, Beller 2014) muestran que su valor reside principalmente en la mantenibilidad y el intercambio de conocimiento, menos en la detección de defectos funcionales. **(B)** Tres condiciones para sacar al humano de la ruta crítica: validación determinista máxima, revisión **graduada por riesgo**, una **traza duradera** de cada decisión del agente; *« no human in the loop »* es una opción de configuración, no un valor por defecto. **(C)** Nueve patrones componibles, presentados como una caja de herramientas y no como una escala de madurez: cambios pequeños, Shift Left, diseño para la verificación, prácticas de ingeniería deterministas, context engineering, bucle de calidad continuo, revisión adversarial por LLM, revisiones multiagente, desarrollo guiado por especificaciones. **(D)** Tres estudios de caso: **Block**, **Cloudflare** (131.246 revisiones sobre 48.095 PR en un mes, 1,2 hallazgos por revisión), **DryRun Security**. Amplía las notas del corpus sobre context engineering y la revisión de código asistida por agentes.

## Titre Article

Agentic AI and Code Reviews: Toward a Pattern Language for Code Reviews in the Age of Agentic AI

## Date

2026-09-30

## URL

https://reader.itrevolution.com/download/agentic-ai-and-code-reviews?via=itrevolution

## Keywords

agentic code review, code review, pattern language, pattern, adversarial review, multi-agent review, continuous quality loop, shift left, deterministic verification, risk-graded review, context engineering, AGENTS.md, specification-driven development, small changes, stacked PRs, audit trail, human in the loop, Zero Trust, structural independence, Block, Cloudflare, OpenCode, DryRun Security, IT Revolution, dark software factory

## Authors

Zach Davis (LaunchDarkly), Michelle Gill (Engineered by AI), Elisabeth Hendrickson (Curious Duck), Angie Jones (Agentic AI Foundation), Sha Ma (Topogy), Randy Shoup (CircleCI), James Wickett (DryRun Security) ; article collectif, IT Revolution.

## Ton

**Perfil**: un artículo de investigación práctica dirigido a líderes técnicos, publicado en una revista editorial del ecosistema DevOps. Los autores provienen de proveedores de herramientas (LaunchDarkly, CircleCI, DryRun Security, Topogy) y de consultoría; la revista señala que herramientas de IA pudieron haber ayudado en la redacción.

**Estilo**: estructurado en patrones con una plantilla constante (problema, aplicabilidad, mecanismo, rol humano, enlaces con otros patrones), con referencia a Christopher Alexander. Frases generales y normativas, pocas cifras fuera del caso Cloudflare.

**Posición epistémica**: un marco propuesto, no evaluado mediante medición. Los estudios de caso están escritos por o con las empresas implicadas; solo Cloudflare aporta volúmenes. El propio artículo señala los límites de la IA (juicio arquitectónico, impacto entre sistemas, problemas sutiles de concurrencia, cambios muy grandes). Dos autores dirigen proveedores de productos de revisión o verificación, según se indica en la página de autores.

## Pense-betes

- **Definición de la revisión de código**: examen de código por una entidad distinta del autor, que resulta en un juicio seguido de una acción (fusión, rechazo, feedback). Distingue la revisión de la simple lectura; la entidad puede ser un agente.
- **Valor empírico**: la revisión probablemente está sobrevalorada como detector de defectos e infravalorada como **triaje de riesgo**; la mayoría de los hallazgos conciernen a la evolutividad (mantenibilidad, estilo, intercambio).
- **Tres condiciones** para sacar al humano de la ruta crítica: (1) lo determinista primero (tests, análisis estático, policy as code), el agente solo gestiona el residuo subjetivo; (2) revisión **graduada** desde "ningún humano" hasta autorización explícita; (3) **registro inspeccionable** de qué se evaluó, bajo qué políticas, con qué confianza, por quién.
- **Ubicación en el ciclo**: durante la redacción (feedback rápido), antes de la fusión (política, arquitectura, regresiones), después de la fusión (deriva del sistema), antes de producción (gobernanza del release).
- ⭐ **Bucle de calidad continuo**: un agente autor y un agente revisor en un ciclo de seis pasos (producción, examen, feedback estructurado, corrección, reevaluación, parada según criterio: paso limpio, número máximo de iteraciones, o riesgo residual aceptable). El revisor no duplica lo que ya hacen los linters; debe **verificar que la corrección funcionó** y no buscar problemas nuevos una vez resueltos los antiguos.
- **Revisión adversarial por LLM**: independencia estructural entre generación y evaluación. Tres formas: entre modelos, entre sesiones (mismo modelo, contexto aislado, prompt crítico), prompting adversarial estructurado. Analogías con las GAN y Zero Trust (verificación explícita, mínimo privilegio). Reservar para rutas sensibles: coste y ruido.
- **Revisiones multiagente**: especialistas (seguridad, rendimiento, cumplimiento, estándares, corrección, explotabilidad), un agente de triaje, un **coordinador** (deduplicación, severidad, política de bloqueo/advertencia), enrutamiento de contexto. El coste crece con el número de especialistas; la calidad del coordinador determina el nivel de confianza.
- **Context engineering**: el agente necesita la arquitectura, los contratos de API, los incidentes, los comentarios de revisión pasados, las concesiones aceptadas. Sin ello: hallazgos ruidosos y superficiales. El rol humano se convierte en el de **curador**.
- **Especificación primero**: desplaza el punto de control de la implementación al plan; el humano revisa la intención, el agente adversarial verifica la fidelidad a la especificación.
- **Cloudflare**: orquestación basada en CI alrededor de OpenCode, revisores especializados y un coordinador, revisión graduada, filtrado de lockfiles y artefactos generados, una política sesgada hacia la aprobación, una opción humana de "romper el cristal", hallazgos trasladados entre commits. **131.246 revisiones, 48.095 PR, 5.169 repositorios, 159.103 hallazgos** (marzo-abril de 2026).
- **Block**: 3.500 ingenieros, el 90 % usando IA a diario a mediados de 2025; las PR de agentes permanecen en borrador por falta de responsable; revisores internos ruidosos, luego herramientas comerciales más útiles; PR apiladas, revisión adversarial local antes del push.
- **DryRun**: un fallo de aislamiento multi-tenant en beta (2023) convertido en política de código; feedback en treinta segundos; prueba de explotabilidad.
- ⚠️ **Limitaciones**: marco no medido fuera de Cloudflare; los estudios de caso de proveedores describen su propia práctica.

## RésuméDe400mots

El artículo propone un lenguaje de patrones para la revisión de código en la era de los agentes. Parte de una observación: los agentes aceleran el volumen de cambios, los ingenieros senior reciben decenas de solicitudes de revisión al día, y la revisión humana exhaustiva ya no es sostenible. La revisión de código se define como el examen de código por una entidad que no es su autor, que resulta en un juicio seguido de una acción. Los estudios empíricos citados muestran que su valor reside tanto en la mantenibilidad, el descubrimiento de alternativas y el intercambio de conocimiento como en la detección de errores; sería ante todo un mecanismo de triaje de riesgo.

Para sacar al humano de la ruta crítica, se fijan tres condiciones. Debe trasladarse la mayor cantidad posible de validación a comprobaciones deterministas, de modo que los agentes solo se encarguen del espacio subjetivo residual. La revisión debe graduarse según el riesgo, desde ningún humano en absoluto hasta una autorización explícita. Y cada decisión del agente debe dejar una traza duradera de lo que se evaluó, bajo qué políticas, con qué nivel de confianza. Trabajar sin un humano en el bucle es una opción de configuración justificada por el riesgo y la evidencia.

Nueve patrones componen la caja de herramientas: cambios incrementales pequeños, Shift Left, diseño para la verificación, prácticas de ingeniería deterministas, context engineering, bucle de calidad continuo, revisión adversarial por LLM, revisiones multiagente, desarrollo guiado por especificaciones. El bucle continuo hace que un agente autor y un agente revisor intercambien hasta alcanzar un criterio de convergencia. La revisión adversarial aporta independencia estructural, mediante un modelo distinto o una sesión aislada. Las revisiones multiagente reparten el trabajo entre especialistas, un agente de triaje y un coordinador. El context engineering condiciona el resto: sin él, los hallazgos son ruidosos.

Tres casos lo ilustran. Block, ante PR de agentes sin revisar, pasó de revisores internos ruidosos a herramientas comerciales más útiles, PR apiladas, revisión adversarial local antes del push y corrección automática en CI. Cloudflare construyó una orquestación basada en CI alrededor de OpenCode: revisores especializados, un coordinador, revisión graduada, filtrado de archivos ruidosos, un bypass humano y el traslado de hallazgos de un commit al siguiente. En un mes, 131.246 revisiones cubren 48.095 PR en 5.169 repositorios, con una media de 1,2 hallazgos por revisión. DryRun Security convirtió un fallo de aislamiento entre tenants en una política verificada en cada cambio.

Como conclusión, los autores presentan la transición como una reorganización de responsabilidades: especificaciones precisas, verificación independiente, rastros de auditoría duraderos. La pregunta guía: si algo saliera mal, ¿cómo lo sabría alguien?

## GrapheDeConnaissance

- Zach Davis —travaille_chez→ LaunchDarkly (ORGANISATION, 0.9)
- Randy Shoup —travaille_chez→ CircleCI (ORGANISATION, 0.95)
- James Wickett —dirige→ DryRun Security (ORGANISATION, 0.95)
- IT Revolution —publie→ article Agentic AI and Code Reviews (DOCUMENT, 0.95)
- article Agentic AI and Code Reviews —recommande→ revue graduée par le risque, avec trace durable de chaque décision d'agent (AFFIRMATION, 0.93)
- article Agentic AI and Code Reviews —affirme_que→ « No human in the loop » est un choix de configuration justifié par le risque et la preuve, non une valeur par défaut (AFFIRMATION, 0.92)
- revue adverse LLM —améliore→ l'indépendance entre génération et évaluation, par un modèle ou une session distincts (AFFIRMATION, 0.9)
- revue adverse LLM —s_inspire_de→ Zero Trust (CONCEPT, 0.88)
- boucle de qualité continue —utilise→ revue adverse LLM (METHODOLOGIE, 0.8)
- revues multi-agents —utilise→ agent coordinateur (CONCEPT, 0.92)
- ingénierie de contexte —permet→ des constats de revue moins bruyants et plus pertinents (AFFIRMATION, 0.9)
- développement piloté par la spécification —s_applique_à→ la revue de l'intention avant l'écriture du code (AFFIRMATION, 0.9)
- Cloudflare —a_créé→ système de revue de code en CI (TECHNOLOGIE, 0.93)
- système de revue de code en CI —utilise→ OpenCode (TECHNOLOGIE, 0.95)
- système de revue de code en CI —mesure→ 131 246 revues sur 48 095 PR dans 5 169 dépôts, 159 103 constats, soit 1,2 par revue (mars-avril 2026) (MESURE, 0.95)
- Block —utilise→ revue adverse locale avant push (METHODOLOGIE, 0.88)
- Block —observé_dans→ PR d'agents laissées en brouillon faute de propriété (AFFIRMATION, 0.85)
- DryRun Security —utilise→ test d'exploitabilité (METHODOLOGIE, 0.9)
- article Agentic AI and Code Reviews —référence→ étude Microsoft sur la revue de code moderne (DOCUMENT, 0.9)
- article Agentic AI and Code Reviews —affirme_que→ « Generating code is cheap, but organizational attention is not. » (CITATION, 0.85)

---
Canonical: https://www.thekb.eu/es/fiches/davis-gill-hendrickson-itrevolution-agentic-ai-code-reviews-2026-09-30/