Post de ingeniería de **Anthropic** publicado el **14 de septiembre de 2026** en claude.com/blog (~1.400 palabras, cinco secciones), escrito por **Sachin Malhotra**. Relata el escalado del servicio de **test impact analysis** — seleccionar qué tests ejecutar por cada cambio — bajo la presión de la codificación agéntica. Las cifras de entrada y su cadena: los ingenieros despliegan en promedio **8×** más código por trimestre que en 2021-2025, **Claude escribe el 80% de él** y también carga un peso significativo en la revisión y aprobación de PR; el número de tests se multiplicó por **10** con una plantilla casi constante; de ahí **25× jobs de CI en seis meses**. **(A)** La arquitectura v0 descansa sobre dos componentes que deben permanecer sincronizados — un *listener* que registra los resultados de cada ejecución, un *selector* que decide qué tests se ejecutan en cada PR — pero como **un único proceso**, un historial por test que asume un único escritor. **(B)** El modo de fallo es el listener quedándose atrás respecto a la cola de PR: *« 20 minutos de retraso del listener pueden traducirse en decenas de miles de actualizaciones de tests no aplicadas »*, con tres consecuencias nombradas — investigaciones desperdiciadas, *flaky reds* que bloquean los merges, un test corregido o añadido que no se ejecuta. **(C)** Tres parches cuya vida útil se derrumba — **70 días, 29 días, menos de un día**: una máquina más grande, sharding por paquete, reinicios diarios. Luego la revisión completa: un **magasin de données en mémoire**, workers *listener* **stateless** que por lo tanto son escalables horizontalmente, un log agregado cada pocos segundos. **Tres semanas para un ingeniero; un trimestre, un año antes.** Extiende el 80% de [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]] hacia la infraestructura.
#integración continua#CI#test impact analysis
Sachin Malhotra (ingénieur, Anthropic) · sur le blog claude.com.
Descifrado de SFEIR (voz de la firma) del informe de Jason Clinton (Deputy CISO, Anthropic) publicado cinco días antes — ya documentado en [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]. **El valor añadido no reside en los hechos sino en la tesis que los relee**: si los controles de Anthropic se sostienen, es porque **existe un ciclo con etapas nombradas del que colgarlos** — "el SDLC es el fundamento, no una formalidad". La demostración avanza releyendo el mapeo (**PSR en Plan, CLAUDE.md + egress allowlist en Code, agentes de revisión en Test, DAST continuo en Deploy, triage + enrutamiento SIEM en Monitor**), y después mediante una **anáfora en cuatro partes**: (1) *sin un SDLC, las ganancias de productividad no se materializan* — Clinton cita la **ley de Amdahl**: multiplicar por 8 el volumen de código no multiplica nada si la revisión sigue siendo secuencial y humana, y Anthropic ganó no distribuyendo agentes sino **identificando la etapa bloqueante (Test) y reconstruyéndola** — "no se optimiza un cuello de botella que no se ha mapeado" (haciendo eco del **efecto espejo** de DORA 2025); (2) *sin un SDLC, la seguridad no tiene punto de anclaje* — un **gate es por definición un control situado entre dos etapas**, y las tres amenazas de Clinton se abordan en momentos distintos; (3) *sin un SDLC, no puede formularse ninguna política de **FinOps de tokens*** — el escaneo agéntico se factura por consumo y crece con el volumen de código, así que **el tiering basado en riesgo ES la política de FinOps** (decide dónde se pagan tres pasadas de agente y dónde basta un SAST), de lo contrario "el gasto en tokens no se pilota, se descubre a fin de mes"; (4) *sin un SDLC, no hay nada que medir* — los indicadores (16% → 54% de PR comentados, un tercio de los incidentes pasados interceptados) existen solo porque hay etapas donde puede colocarse un contador; sin eso, solo se producen **cifras de uso** (licencias, tokens) que nada dicen sobre calidad o riesgo. Dos puntos fuertes más allá de la tesis: la lectura del **incident agent-à-agent** ("un perímetro de seguridad que descansa sobre una instrucción en un prompt no es un perímetro"; **el acceso de un agente a otros agentes forma parte de su superficie de ataque**) y una **advertencia metodológica explícita** — cifras de Anthropic sobre Anthropic, no auditadas, publicadas por el proveedor del modelo descrito, en el contexto de una base de código joven sin mainframe: **lo que se transpone es el método, no las cifras**.
#SDLC#SDLC nativo en IA#ciclo de desarrollo
SFEIR (voix éditoriale du cabinet, article non signé individuellement) — commentaire de Jason Clinton (Deputy CISO, Anthropic)