Agentificación
Cómo preparar tu código para que la IA trabaje con contexto
Qué dice la evidencia 2025–2026 sobre contexto, verificación y seguridad de agentes — y el caso piloto real: un ecosistema completo de 31 repositorios y directorios agentificado en una jornada.
Qué promete la IA en el código y qué dice la evidencia
Contexto, productividad y el espejismo de la velocidad · Fuentes: METR, DORA 2025, arXiv 2025–2026
El experimento que incomoda a todos
RCT de METR: 16 desarrolladores expertos, 246 issues reales en repos maduros
* Negativo = más rápido. La IA aumentó 19% el tiempo real, pero los devs sentían que habían ido 20% más rápido.
Las dos verdades que hay que sostener a la vez
La contradicción central de los archivos de contexto
En contra
• Los archivos de contexto no mejoran en general la tasa de éxito y encarecen la inferencia >20% en promedio (arXiv 2602.11988)
• Los "repository overviews" no sirven: las instrucciones sí se siguen, pero cada token siempre cargado se paga en cada ronda y las reglas irrelevantes reducen el cumplimiento.
• 23,0% de 356 repos tenía referencias a código inexistente: los archivos de contexto también envejecen.
A favor
• En un diseño pareado de 10 repos y 124 PRs, AGENTS.md dio −28,64% wall-clock y −16,58% tokens de salida (significativo, Wilcoxon p<0,05)
• El antídoto al bloat es conocido: un AGENTS.md de ~100 líneas que funciona como mapa hacia docs/, con procedimiento en skills de carga on demand.
Dónde está el cuello de botella real: la verificación
Los números más duros de la literatura 2026
Qué es agentificar un repositorio (y qué no)
"Preparado para agentes" vs "operado por agentes": dos problemas, dos modelos de riesgo
Dos sentidos que conviene no mezclar
No hay spec única: es una etiqueta comercial con autoridad normativa cero
Preparado para agentes (agent readiness)
Documentación operativa cerca del código, entorno determinista, verificación como contrato y límites explícitos. Es lo que estandarizaron AGENTS.md y Agent Skills, y lo que resuelve el grueso del trabajo diario.
Operado por agentes (agentic repository)
El repo pasa a ser un sistema activo que razona y decide: cambian permisos, throughput y gobierno, con modelo de amenaza propio (inyección, robo de tokens, exfiltración). Se resuelve en infraestructura —una VM efímera por tarea, una rama y un PR revisable—, no en el prompt.
Cómo se estandarizó la capa de contexto (2025–2026)
Los hitos verificables que llevaron al estado actual
Dónde corre un agente hoy
Estados declarados al 17/10/2026 · GitHub es el único plano de control multi-agente
| Agente | Entorno | Límites declarados |
|---|---|---|
| Copilot cloud agent | VM efímera sobre Actions | 1 repo · 1 rama · 1 PR · ≤59 min |
| Codex Cloud | VM por tarea (2–4 vCPU) | Multi-repo · estado 7 días |
| Claude Code cloud | VM aislada o self-hosted | Solo GitHub · upload <100 MB |
| Cursor Cloud Agents | VM por agente | Multi-repo · read-write |
| Devin | Sesión con IDE/shell/browser | ≈3 h por tarea |
La evidencia en gráficos
Qué funciona, qué no y en qué orden invertir · arXiv, Thoughtworks, revisión de código a escala
El costo de hacerlo mal: antipatrones medidos
Frecuencia en 100 repositorios populares (arXiv 2606.15828)
* Lint leakage: reglas de lint que el agente ignora o esquiva. Context bloat: contexto inflado. Skill leakage: procedimientos que se filtran a donde no van.
Qué mueve la aguja: enforcement determinista
Cumplimiento de reglas según mecanismo (arXiv 2603.00822)
* Guardrails ejecutables: AST, shims y validadores de arquitectura. 3,4x menos costo de feedback que la reflexión.
El estudio pareado: con y sin archivo de contexto
10 repos, 124 PRs, Codex · Variación mediana con AGENTS.md (arXiv 2601.20404)
La seguridad se decide en las capacidades
No en el prompt: el modelo de amenaza es datos privados + contenido no confiable + capacidad de acción
El orden de eficacia (en este orden)
OWASP, CISA/NSA/ACSC, GitHub · lo que dicen los incidentes reales
Tokens de mínimo privilegio, sin flags de bypass, secretos fuera del contexto (placeholder + proxy).
VM efímera por tarea, egress en allowlist, sandbox con política gestionada. El de Claude Code viene apagado por defecto.
Gate humano explícito: el agente nunca aprueba ni mergea su PR. Tiers por riesgo del cambio, no por autor.
Logs centralizados fuera del agente, atribución por PR, provenance/SBOM. Último, no primero.
Incidentes que marcaron el camino
s1ngularity (Nx, ago 2025): ~1.700 usuarios filtrados y 5.500 repos privados expuestos por un paquete npm malicioso que usó CLIs de IA.
CamoLeak (CVSS 9,6): comentarios HTML invisibles en PRs exfiltraban secretos; corregido el 14/08/2025.
Comment and Control (15/04/2026): un título de PR y un comentario oculto rompieron las tres capas de Copilot Agent.
Las reglas que ya son consenso
• Archivos de instrucciones bajo CODEOWNERS, revisados como código.
• MCP curado: pin por versión o digest, stdio preferido, OAuth con scopes mínimos, nunca token passthrough.
• Ni .env, ni *.pem, ni credentials.json en el contexto. El EU AI Act aplica de forma general desde el 02/08/2026.
Caso piloto: el ecosistema completo de MGATC
Qué pasa cuando se aplica a un ecosistema real: 31 repositorios y directorios en una jornada
El resultado en números
Datos internos verificados al 17/10/2026: revisados 26 repos git + 5 directorios; kit en 21 repos + 2 directorios; hook en 14 + 5; 22 sincronizados con sus remotos
Qué recibe cada repositorio
6 Capas del kit de agentificación
AGENTS.md corto por repo (12 agregados), como mapa hacia docs/ — no como enciclopedia.
CLAUDE.md con import, GEMINI.md y copilot-instructions: cada agente lee el mismo contrato.
STATE (estado real), LOG (qué pasó y por qué) y DECISIONS: retomar sin arqueología.
Escaneo de secretos + hook pre-commit en 19 repos (14 directos, 5 con lista blanca revisada).
Reglas anti-conflicto entre agentes y handoff de sesión: quién escribió qué y desde dónde seguir.
Ninguna estructura existente se reescribió; 2 repos ocultaban el kit con reglas de .gitignore y quedó resuelto.
¿Querés esto en tu ecosistema?
El servicio de Agentificación de Repositorios & Apps aplica este kit a tu código: punto de entrada para agentes, memoria de continuidad, puentes multi-agente y guardas de seguridad, con verificación. Alcance y presupuesto a medida.
Cómo trabajamos: contexto mínimo, permisos y verificación
La secuencia de valor real está invertida respecto del entusiasmo
4 pasos, 15 controles priorizados
P0 = sin esto no hay que dejar entrar agentes al ciclo de entrega
Mapa del ecosistema, riesgos, duplicación y deuda de contexto. Auditoría de solo lectura.
AGENTS.md corto (mapa, no enciclopedia), puentes multi-agente, memoria y hooks de verificación.
Escaneo de secretos, builds, CI y lectura posterior. Si no se puede verificar, no se shippea.
Runbook, reglas anti-conflicto entre agentes y protocolo de arranque/cierre de sesión.
Los 7 controles P0 (resumen)
1. AGENTS.md raíz corto con build/test/estilo
2. Setup determinista por proveedor
3. Tests rápidos con valor discriminante
4. Secretos fuera del contexto y egress en allowlist
5. Archivos de instrucciones bajo CODEOWNERS
6. Tokens de mínimo privilegio, pin por SHA, sin bypass
7. Gate humano: el agente nunca aprueba ni mergea su PR
La regla para retener
Cada token de contexto, cada tool MCP y cada credencial son deuda de verificación y superficie de ataque a la vez: justificá cada una o quitala.
Y el orden importa: primero capacidades y enforcement, después el contrato de verificación, y recién al final optimizar el contexto — que es donde casi todos empiezan.
Qué significa esto para tu equipo
Agentificar no es adoptar una herramienta: es invertir en verificabilidad. Los estándares que ganaron —AGENTS.md y Agent Skills— resolvieron la capa barata (contexto y procedimiento), y la evidencia muestra que rinde sobre todo en eficiencia, no en correctitud.
La secuencia: sacar capacidades (tokens, tools, egress) → hacer determinista el enforcement → construir el contrato de verificación → optimizar el contexto. Empezar por el contexto es empezar por el final.
El dato que ordena todo: un repo sin tests, sin CI y sin límites verá amplificados exactamente esos defectos. La IA no arregla sistemas: los amplifica.
Un ecosistema agentificado en una jornada, con verificación y guardas activas, es una decisión de diseño — no una compra de licencias.
Fuentes verificables citadas
Nota metodológica: las cifras de terceros citan su fuente original y se marcan como autoreportadas cuando corresponde (Anthropic, Factory). Las cifras del caso piloto son datos internos de MGATC verificados al 17/10/2026. Este informe no constituye una certificación ni promete resultados: la evidencia 2025–2026 es reciente y parcialmente contradictoria, y así se reporta.