Implementamos agentes autónomos que generan SBOMs versionados, hacen triage de CVEs con análisis de alcanzabilidad, y mantienen evidencia de auditoría sincronizada con el estado real del repositorio.
El stack típico de compliance en software combina scanners (SCA, SAST, secret scanning), un sistema de tickets, y trabajo manual de correlación. La fricción no está en las herramientas individuales — está en las capas que requieren juicio:
Un deep agent, en el contexto de esta implementación, tiene tres propiedades que lo distinguen de una llamada a LLM con tools:
Trabaja sobre tareas de horas o días, manteniendo estado entre invocaciones: filesystem virtual, plan estructurado, memoria de ejecución.
Un agente principal descompone el problema y delega a sub-agentes especializados — análisis de dependencias, mapeo de controles, redacción de evidencia — cada uno con su propio contexto aislado.
Acceso a repos vía Git, ejecución de análisis estático, queries a NVD/OSV/GHSA, generación de PRs, escritura de documentos versionados.
| Tarea | Pipeline tradicional | Pipeline con deep agents |
|---|---|---|
| Generación de SBOM | On-demand, formato variable, sin firma | CycloneDX/SPDX firmado por build, attestation via Sigstore, diff semántico vs. versión anterior |
| Triage de CVE | Lista cruda ordenada por CVSS | Análisis de reachability sobre AST, priorización por exposición real, propuesta de upgrade path |
| Evidencia de auditoría | Sprint dedicado pre-auditoría | Evidencia incremental atada a controles, generada en cada merge |
| Cumplimiento de licencias | Reporte estático mensual | Validación en PR contra policy-as-code, bloqueo automático de licencias incompatibles |
| Documentación de controles | Wiki desactualizada | Documentos regenerados desde el estado actual del repo |
El agente se integra en el pipeline de CI. Cada build produce un SBOM completo — incluyendo dependencias transitivas, hashes, licencias, y proveniencia — firmado con cosign y almacenado como attestation OCI junto al artefacto. El agente compara contra el SBOM anterior, identifica deltas (nuevas dependencias, upgrades, removals) y genera un changelog en lenguaje natural. Para dependencias nuevas, ejecuta una sub-rutina de evaluación: edad del paquete, frecuencia de releases, distribución de mantenedores, historial de CVEs, presencia en typosquatting databases.
Cuando una CVE nueva afecta una dependencia presente en el SBOM, el agente determina si el código del cliente invoca las funciones específicamente vulnerables. Esto se hace combinando los datos de la advisory (función/clase afectada cuando está disponible) con análisis estático del codebase. El output es una clasificación: exploitable, present-but-not-reachable, needs-manual-review. Para los exploitables, el agente evalúa el upgrade path (semver, breaking changes documentados en changelog del paquete, tests existentes) y, si el riesgo es bajo, abre un PR con la actualización.
El agente mantiene un mapa entre controles del framework objetivo y artefactos verificables en el repositorio: branch protection rules, código de los CI workflows, políticas de revisión de PRs, configuración de secret scanning, etc. Cuando el auditor solicita evidencia de un control específico, el agente arma el paquete: snapshot de configuración, ejemplos de PRs que demostraron el control en acción, logs relevantes, y un narrative de cómo el control se implementa en ese stack particular.
Definición de política aceptable (ej. permisivas OK, copyleft débil con review, copyleft fuerte bloqueado en código propietario). El agente valida en cada PR, y para casos ambiguos — licencias custom, dual-licensing, licencias modificadas — hace análisis del texto real de la licencia contra la política.
Secure SDLC, dependency management, vulnerability disclosure, incident response. El agente redacta políticas alineadas con lo que el equipo realmente hace — extraído del repo y de los procesos observables — en vez de templates genéricos. Las políticas se versionan junto al código y se regeneran cuando cambian las prácticas subyacentes.
15 años construyendo software empresarial para clientes en MX, US y UK. Stack profundo en .NET, infraestructura, y orquestación multi-agente (Semantic Kernel, MCP, sistemas propios).
No somos consultoría de IA generalista — somos ingenieros que llevan años en sistemas de producción y construyeron estas herramientas porque las necesitaban primero internamente.
Revisamos tu stack actual, tus frameworks de compliance objetivo, y evaluamos si una implementación de deep agents tiene sentido para tu caso. Si tu volumen no lo justifica o tu stack no es compatible, te lo decimos directo.