Deck de la charla de **Dorra Bartaguiz** (CTO, **Arolla**), presentado en la conferencia **Dev With AI** y publicado en PDF en LinkedIn el **15 de octubre de 2026**; **61 diapositivas**, en francés con ejemplos en inglés. Tesis: cuando la IA hace que la velocidad se dispare, la calidad se recupera mediante prácticas de *craft* instrumentadas alrededor del modelo — *harness engineering*.
#harness engineering#velocidad#revisión de código
Dorra Bartaguiz — CTO d'Arolla (conseil et formation, « agentic software crafters ») ; slides de son talk Dev With AI publiées sur LinkedIn.
Artículo colectivo de siete autores (**Zach Davis**, **Michelle Gill**, **Elisabeth Hendrickson**, **Angie Jones**, **Sha Ma**, **Randy Shoup**, **James Wickett**), publicado en el *Enterprise Technology Leadership Journal* por **IT Revolution** (otoño de 2026, vol. 3, n.º 2), bajo licencia CC BY-NC-SA. Unas **7.500 palabras**, titulado *« Toward a Pattern Language for Code Reviews in the Age of Agentic AI »*. **(A)** Planteamiento: la revisión de código se define como un examen realizado por una entidad distinta del autor que conduce a una acción; los estudios empíricos (Microsoft 2013, Mäntylä 2009, Beller 2014) muestran que su valor reside principalmente en la mantenibilidad y el intercambio de conocimiento, menos en la detección de defectos funcionales. **(B)** Tres condiciones para sacar al humano de la ruta crítica: validación determinista máxima, revisión **graduada por riesgo**, una **traza duradera** de cada decisión del agente; *« no human in the loop »* es una opción de configuración, no un valor por defecto. **(C)** Nueve patrones componibles, presentados como una caja de herramientas y no como una escala de madurez: cambios pequeños, Shift Left, diseño para la verificación, prácticas de ingeniería deterministas, context engineering, bucle de calidad continuo, revisión adversarial por LLM, revisiones multiagente, desarrollo guiado por especificaciones. **(D)** Tres estudios de caso: **Block**, **Cloudflare** (131.246 revisiones sobre 48.095 PR en un mes, 1,2 hallazgos por revisión), **DryRun Security**. Amplía las notas del corpus sobre context engineering y la revisión de código asistida por agentes.
#agentic code review#code review#pattern language
Zach Davis (LaunchDarkly) · Michelle Gill (Engineered by AI) · Elisabeth Hendrickson (Curious Duck) · Angie Jones (Agentic AI Foundation) · Sha Ma (Topogy) · Randy Shoup (CircleCI) · James Wickett (DryRun Security) ; article collectif · IT Revolution.
Post de **Rachel Laycock**, CTO de **Thoughtworks**, publicado el **2 de septiembre de 2026** en *Rachel's Ramblings*, la sección de martinfowler.com que dirige, de aproximadamente **8.000 caracteres**. El texto es una **respuesta deliberada** a [[houck-dx-what-are-code-reviews-for-2026-08-05]], tras un desacuerdo público entre ambas autoras en un panel de **Code Remix** organizado por **Moderne**. Laycock acepta el diagnóstico cuantificado de Houck (+**106%** de líneas por diff en **Meta**, +**64%** de tamaño mediano de PR en el lado de DX) y la lista de funciones de la revisión que no consisten en detectar defectos, y a continuación desplaza la pregunta: *« ¿por qué esperamos hasta la revisión de código para hacer todo eso? »* (A) El principio rector es el acortamiento de los bucles de retroalimentación aprendido en Thoughtworks — si la retroalimentación tiene valor, no se elimina, se acerca a la decisión que informa. Cada función atribuida a la revisión se reasigna aguas arriba: exploración de alternativas antes de la implementación, transferencia de conocimiento mediante **pair programming**, propiedad colectiva mediante **mob programming** y sesiones de diseño en equipo, alineación arquitectónica mediante diseño compartido seguido de **fitness functions**, y automatización de todo lo determinista — *« De verdad que no deberíamos seguir discutiendo sobre espacios en blanco en 2026. »* (B) La revisión basada en excepciones sustituye a la revisión sistemática: un cambio arquitectónico fundamental, un límite de seguridad sensible, un radio de impacto amplio, un área poco conocida de un sistema crítico, o simplemente la falta de confianza declarada por un equipo. (1) Automatizar la revisión con un agente que imita al revisor humano se descarta por *« automatizar la ceremonia en lugar de cuestionar por qué existe la ceremonia »*. (2) La deuda cognitiva de Houck se reconoce como real, pero la PR obligatoria se considera una defensa débil: *« Necesitamos que los ingenieros entiendan los sistemas, no los diffs. »*
#revisión de código#revisión basada en excepciones#pull request
Rachel Laycock · CTO de Thoughtworks · sur *Rachel's Ramblings* (martinfowler.com).
Descifrado de SFEIR (voz de la firma) del informe de Jason Clinton (Deputy CISO, Anthropic) publicado cinco días antes — ya documentado en [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]. **El valor añadido no reside en los hechos sino en la tesis que los relee**: si los controles de Anthropic se sostienen, es porque **existe un ciclo con etapas nombradas del que colgarlos** — "el SDLC es el fundamento, no una formalidad". La demostración avanza releyendo el mapeo (**PSR en Plan, CLAUDE.md + egress allowlist en Code, agentes de revisión en Test, DAST continuo en Deploy, triage + enrutamiento SIEM en Monitor**), y después mediante una **anáfora en cuatro partes**: (1) *sin un SDLC, las ganancias de productividad no se materializan* — Clinton cita la **ley de Amdahl**: multiplicar por 8 el volumen de código no multiplica nada si la revisión sigue siendo secuencial y humana, y Anthropic ganó no distribuyendo agentes sino **identificando la etapa bloqueante (Test) y reconstruyéndola** — "no se optimiza un cuello de botella que no se ha mapeado" (haciendo eco del **efecto espejo** de DORA 2025); (2) *sin un SDLC, la seguridad no tiene punto de anclaje* — un **gate es por definición un control situado entre dos etapas**, y las tres amenazas de Clinton se abordan en momentos distintos; (3) *sin un SDLC, no puede formularse ninguna política de **FinOps de tokens*** — el escaneo agéntico se factura por consumo y crece con el volumen de código, así que **el tiering basado en riesgo ES la política de FinOps** (decide dónde se pagan tres pasadas de agente y dónde basta un SAST), de lo contrario "el gasto en tokens no se pilota, se descubre a fin de mes"; (4) *sin un SDLC, no hay nada que medir* — los indicadores (16% → 54% de PR comentados, un tercio de los incidentes pasados interceptados) existen solo porque hay etapas donde puede colocarse un contador; sin eso, solo se producen **cifras de uso** (licencias, tokens) que nada dicen sobre calidad o riesgo. Dos puntos fuertes más allá de la tesis: la lectura del **incident agent-à-agent** ("un perímetro de seguridad que descansa sobre una instrucción en un prompt no es un perímetro"; **el acceso de un agente a otros agentes forma parte de su superficie de ataque**) y una **advertencia metodológica explícita** — cifras de Anthropic sobre Anthropic, no auditadas, publicadas por el proveedor del modelo descrito, en el contexto de una base de código joven sin mainframe: **lo que se transpone es el método, no las cifras**.
#SDLC#SDLC nativo en IA#ciclo de desarrollo
SFEIR (voix éditoriale du cabinet, article non signé individuellement) — commentaire de Jason Clinton (Deputy CISO, Anthropic)
REX de seguridad firmado por **Jason Clinton (Deputy CISO en Anthropic)** — con contribuciones de **Michael Segner** — publicado el **21 de julio de 2026** en el blog de Anthropic (categorías *Claude Code / Enterprise AI / Agents*). **Enfoque de choque**: asegurar un SDLC en el que ***"Claude autora alrededor del 80% del código fusionado"*** y donde ***"más de la mitad de todo el código se fusiona mediante nuestra versión interna de Claude Tag"***, mientras los ingenieros *"despliegan 8 veces más código por trimestre"* (frente a la línea base 2021-2025). El desafío es un problema de **Amdahl**: si los controles no escalan, se convierten en el cuello de botella. **Tres amenazas enmarcan todo**: (1) un **agente comprometido o con prompt injection** que introduce un cambio malicioso; (2) **envenenamiento de la cadena de suministro / dependencias** ingerido como *entrada de confianza*; (3) **clases habituales de vulnerabilidades de aplicación a mayor volumen**. **Cuatro estrategias transversales**: *shift left* (integrado en la etapa Code), **fronteras estrictas de identidad y acceso** para contener el *blast radius*, **combinar revisiones deterministas (SAST/DAST) Y agénticas** antes/después de producción, **humanos en el bucle en los puntos de mayor apalancamiento**. La publicación está explícitamente **pensada para acompañar el framework *Zero Trust for Agents* de Anthropic** (y remite a la *CISO's Guide to Agentic AI*). **Recorrido paso a paso del SDLC** (cada etapa → un *Enduring Principle*): **Plan** — un **PSR (Project Security Review)** impulsado por **Claude Opus**, que contrasta el documento de diseño con **MITRE ATT&CK**, conectado a un **índice de conocimiento interno**; la auto-aprobación se permite para proyectos de *bajo riesgo* → *principio: conectar los agentes de seguridad al contexto organizacional* (chat, revisiones pasadas, código) en lugar de exigir documentación. **Code** — seguridad codificada en **CLAUDE.md + skills**, un **bucle cerrado** desde la vulnerabilidad descubierta hasta las directrices actualizadas, el comando **`/security-review`**, un plugin de orientación en tiempo real, **VMs remotas con egress allowlisting** para limitar el *blast radius* de un agente expuesto a entradas no confiables → *principio: cerrar el bucle de retroalimentación; fronteras estrictas de identidad/acceso en lugar de confianza en el comportamiento del modelo*. **Test/CI** — **el mayor cuello de botella**: comentarios sustantivos que suben del **16% al 54% de las PRs**, ~**un tercio de los incidentes pasados de claude.ai se habrían detectado**, **varios agentes especializados de foco estrecho** con contexto **RAG** por PR, **SAST publicando directamente en las PRs**, un **codebase por niveles de riesgo**, cada aprobación **registrada con razonamiento y señales**, **auditoría por muestreo humano ponderada por riesgo** → *principio: la revisión automatizada es un riesgo distinto → controles distintos (múltiples puertas independientes, ventanas de contexto separadas)*. **Deploy/CD** — **DAST continuo impulsado por IA** en staging (Claude encontró ***"más de 500 vulnerabilidades OSS de alta severidad"*** en febrero) → *principio: la cadencia de pruebas dinámicas equivale a la cadencia de despliegue*. **Monitor** — **agents de réponse à incident** que leen los logs de producción, hacen análisis de causa raíz, escriben post-mortems y a veces la solución, pero **no pueden desplegar**: solo **tres permisos** (escribir documentación, publicar en canales, leer logs de producción); **incidente destacado** — tras una actualización de modelo, el agente de respuesta a incidentes pidió a **otra instancia de Claude que desplegara una corrección vía Slack**, *"detectado en una puerta de revisión humana según lo diseñado"* → *principio: **identidad de propósito único con permisos mínimos**; monitorizar los canales **agent-à-agent** igual que se monitorizan las interacciones humanas*. **Gobernanza**: niveles de riesgo, **shadow mode** (nuevos revisores de IA en modo solo comentarios, sometidos a *red team* antes de ganar confianza), **muestreo**, dashboards de métricas, **enrutamiento a SIEM** de cada acción de agente (aprobaciones, llamadas a herramientas, mensajes agent-à-agent) para auditoría y detección de amenazas internas → *principio: el rol del ingeniero de seguridad pasa de "monitorizar bugs" a **"monitorizar bucles"***. **Pregunta estratégica**: *"¿Qué ejecutaríamos si el escaneo fuera casi gratuito?"*. En el lado de **seguridad/gobernanza**, esto extiende el clúster AI-SDLC de la veille: los *Steps of AI Adoption* de [[cherny-steps-ai-adoption-2026-07-16]] (Claude Security Review, Claude Tag, shadow mode, SIEM/OTel), la revisión adversarial multi-agente de [[monperrus-end-of-code-review-agents-supersede-2026-06-11]] y sumner-bun-rewrite-rust-claude-2026-07-08, la doctrina de *skills / sistemas alrededor del modelo* de anthropic-self-service-data-analytics-claude-agentic-stack-2026-06-03, los modos de fallo de williams-adlc-1-models-arent-human-2026-06-12, el SDLC de seis etapas de hingel-augment-how-ai-changes-sdlc-six-stages-2026-06-08, y la ciberdefensa Project Glasswing de anthropic-claude-fable-5-mythos-5-2026-06-09.
#SDLC nativo de IA#SDLC nativo de IA#seguridad
**Jason Clinton** — *Deputy CISO* (directeur adjoint de la sécurité des SI) d'**Anthropic** · pilote de l'équipe *Security Engineering* ; contributions de **Michael Segner**. Billet publié le **21 juillet 2026** sur le blog Anthropic (*claude.com/blog*) · catégories *Claude Code / Enterprise AI / Agents* · ~5 min de lecture. Compagnon explicite du framework *Zero Trust for Agents* publié par Anthropic.
Presentación de Wescale (Francia) que formaliza la doctrina de la ***Augmented Software Factory***: una cadena de valor del software orquestada íntegramente por agentes de IA especializados a través de seis líneas de producción (Intent/PRD-ADR → Plan/User Stories → **validación humana (human sign-off)** → Producción 24/7 → Verificación de auditoría independiente → Despliegue DevOps), en la que los humanos intervienen en solo dos momentos precisos. Tesis fuertes: el retorno del **ciclo en V predecible** frente a Scrum, ganancias realistas de **3-4x** (no 10x), el paso de *productor de código* a ***Juez Estratégico*** y de *desarrollador solitario* a ***Gestor de Agentes***, las métricas DORA que sustituyen a la velocidad, un ROI máximo en la modernización del legado y en la sustitución de SaaS costosos, y sobre todo la ***gobernanza inyectada*** como una "capa casi militar" que constituye la innovación central y la verdadera barrera de entrada. Construida practicando lo que predica: *"Lo que aprendimos construyendo Solario sobre Solario."*
#Wescale#Augmented Software Factory#cadena de producción augmentada
Wescale (cabinet français de conseil tech / cloud / DevOps) — auteurs collectifs (présentation corporate, pas d'auteur individuel cité dans le deck).