Guía extensa de **Anthropic** firmada por **Louis Claxton** (equipo Applied AI), publicada el **21 de agosto de 2026** en el blog de claude.com: una lectura estimada en **40 minutos**, de unos **64.000 caracteres**, presentada como una colección de *plays* extraídos del trabajo del equipo con sus clientes. (A) El diagnóstico: al dejar de ser el código el cuello de botella, este se desplaza hacia las etapas situadas a ambos lados de la construcción (planificación, revisión/pruebas, despliegue), los controles línea por línea dejan de sostenerse en cuanto el agente escribe la mayor parte del diff, y el coste de la gobernanza aumenta porque las excepciones siguen pasando por comités periódicos. (B) La respuesta: seis etapas (Plan, Design, Build, Test, Deploy, Maintain) organizadas como un **loop** en lugar de una cadena, cada una terminando en un **artefacto versionado** que la siguiente etapa lee — `intent.md`, `spec.md`, `plan.md`, el diff y sus pruebas, la PR y sus hallazgos, el registro del incidente. (1) El conocimiento institucional se convierte en archivos versionados: `CLAUDE.md`, skills, `REVIEW.md`, `bands.yaml`. (2) La gobernanza se divide en dos capas, con la skill situada como control consultivo y el hook como capa determinista detrás de ella. La separación de funciones se fija como invariante — el agente que escribe el código no puede aprobarlo — y la pieza se cierra con *"El loop sigue corriendo. El juicio humano permanece por encima de él."* El corpus ya cuenta con [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]] sobre la vertiente de seguridad del mismo ciclo, y con [[hingel-augment-how-ai-changes-sdlc-six-stages-2026-06-08]] sobre el mismo desglose en seis etapas visto por un competidor.
#SDLC nativo de IA#ciclo de vida de desarrollo de software#plays
Louis Claxton (Anthropic, équipe Applied AI) · sur le blog claude.com ; contributions créditées à Jim Blackhurst · Will Steuk et Jamal Arif.
Descifrado de SFEIR (voz de la firma) del informe de Jason Clinton (Deputy CISO, Anthropic) publicado cinco días antes — ya documentado en [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]. **El valor añadido no reside en los hechos sino en la tesis que los relee**: si los controles de Anthropic se sostienen, es porque **existe un ciclo con etapas nombradas del que colgarlos** — "el SDLC es el fundamento, no una formalidad". La demostración avanza releyendo el mapeo (**PSR en Plan, CLAUDE.md + egress allowlist en Code, agentes de revisión en Test, DAST continuo en Deploy, triage + enrutamiento SIEM en Monitor**), y después mediante una **anáfora en cuatro partes**: (1) *sin un SDLC, las ganancias de productividad no se materializan* — Clinton cita la **ley de Amdahl**: multiplicar por 8 el volumen de código no multiplica nada si la revisión sigue siendo secuencial y humana, y Anthropic ganó no distribuyendo agentes sino **identificando la etapa bloqueante (Test) y reconstruyéndola** — "no se optimiza un cuello de botella que no se ha mapeado" (haciendo eco del **efecto espejo** de DORA 2025); (2) *sin un SDLC, la seguridad no tiene punto de anclaje* — un **gate es por definición un control situado entre dos etapas**, y las tres amenazas de Clinton se abordan en momentos distintos; (3) *sin un SDLC, no puede formularse ninguna política de **FinOps de tokens*** — el escaneo agéntico se factura por consumo y crece con el volumen de código, así que **el tiering basado en riesgo ES la política de FinOps** (decide dónde se pagan tres pasadas de agente y dónde basta un SAST), de lo contrario "el gasto en tokens no se pilota, se descubre a fin de mes"; (4) *sin un SDLC, no hay nada que medir* — los indicadores (16% → 54% de PR comentados, un tercio de los incidentes pasados interceptados) existen solo porque hay etapas donde puede colocarse un contador; sin eso, solo se producen **cifras de uso** (licencias, tokens) que nada dicen sobre calidad o riesgo. Dos puntos fuertes más allá de la tesis: la lectura del **incident agent-à-agent** ("un perímetro de seguridad que descansa sobre una instrucción en un prompt no es un perímetro"; **el acceso de un agente a otros agentes forma parte de su superficie de ataque**) y una **advertencia metodológica explícita** — cifras de Anthropic sobre Anthropic, no auditadas, publicadas por el proveedor del modelo descrito, en el contexto de una base de código joven sin mainframe: **lo que se transpone es el método, no las cifras**.
#SDLC#SDLC nativo en IA#ciclo de desarrollo
SFEIR (voix éditoriale du cabinet, article non signé individuellement) — commentaire de Jason Clinton (Deputy CISO, Anthropic)
Estudio de datos de Atlassian (Inside Atlassian) que mide el retorno real de un **SDLC nativo de IA** impulsado por **Rovo Dev**. En 3.400 repositorios de 2.500 clientes (un cuasi-experimento con emparejamiento por puntaje de propensión), los repositorios que adoptan la herramienta fusionan **19% más PR al mes**; hasta **37-51%** en repositorios de actividad baja/media y **59-87%** cuando **de 3 a 5 miembros** del equipo adoptan la herramienta. En cuanto a la eficiencia, los desarrolladores ahorran **2-3 h/semana** (≈10% de las 24 horas dedicadas a codificación y revisión), es decir, 20-30 horas/semana reinvertidas para un equipo de 10 personas. La tesis: resolver la «paradoja de la productividad» de Solow (1987) pasando de las **métricas de uso** (tokens) a las **métricas de impacto** (rendimiento, tiempo ahorrado, tasa de fallos, satisfacción). Recomendación: comenzar con un **equipo** (no un individuo) y medir 2-3 meses después.