Los agentes de código salen del portátil. AWS y Databricks muestran la vía: gateway, microVM, pull request
Una muestra de AWS ejecuta tareas de Claude Code en microVM aisladas que devuelven pull requests; Databricks enruta Claude Code y Codex por su gateway de modelos. Cada uno corrige un control.
Escuche este artículo · 4 min
Narración completa del artículo, generada con IA.
Hoy, un agente de programación suele ejecutarse en el portátil de un desarrollador, con las credenciales de ese desarrollador, su acceso a la red y lo que haya en su directorio personal. Funciona, y es la frase que el equipo de seguridad menos quiere oír este año.
Dos lanzamientos de principios de noviembre muestran hacia dónde va esto. Ninguno es un lanzamiento de producto en el sentido habitual, y por eso son útiles: describen la fontanería.
AWS: una tarea, una microVM, un pull request
Una muestra de AWS publicada el 6 de noviembre ejecuta Claude Code como agente remoto en Amazon Bedrock AgentCore. Un desarrollador envía una tarea mediante un plugin de Claude Code o una consola web. Un guardrail examina el prompt, la tarea se pone en cola y se inicia una sesión de runtime de AgentCore para el repositorio, aislada en su propia microVM dentro de la cuenta de AWS del cliente.
El agente clona el repositorio con un token de GitHub de corta duración emitido por AgentCore Identity, consulta la memoria de tareas anteriores, planifica y revisa con Claude Opus, escribe código con Claude Sonnet y ejecuta los propios comandos de configuración y prueba del repositorio. Se detiene tras tres intentos. El resultado es un pull request que registra el comando de verificación, su código de salida y los intentos usados, marcado como verificado o no verificado. El agente nunca hace merge.
Dónde traza sus límites la muestra de AWS
Cuenta de AWS del cliente
- Subredes privadas
- Acceso a modelos solo mediante Bedrock
microVM por tarea
- Sesión nueva por repositorio
- Token de GitHub de corta duración
Agente de programación
- Ejecuta comandos del repositorio
- Abre un pull request, nunca hace merge
Databricks: los mismos agentes, a través del gateway de la empresa
Databricks dio un paso más acotado. Sus notas de la versión de noviembre ponen Claude Code y Codex a disposición dentro de sesiones de túnel SSH, con las solicitudes al modelo enrutadas por Unity Gateway, el gateway de modelos gobernado de Databricks, y autenticadas con las credenciales de la propia sesión. El gasto en funciones de IA ahora también cuenta contra los presupuestos de Unity Gateway, y una GitHub Action en beta publica skills de agentes gestionadas con Git en Unity Catalog.
Ese es el control que describimos cuando Databricks recortó sus propios costos de programación con IA a través del gateway: un solo lugar para ver, presupuestar y limitar qué modelos llaman los agentes de programación.
Qué corrige cada paso y qué deja abierto
El diseño de AWS corrige dónde se ejecuta el agente y qué puede tocar. El diseño de Databricks corrige qué modelos llama y quién paga. Juntos describen el estado objetivo. Por separado, cada uno deja huecos, y los autores de AWS nombran los suyos con honestidad:
- El guardrail solo ve el prompt. Las instrucciones ocultas en archivos del repositorio o en la salida de comandos no se examinan. La inyección de prompt desde el propio código base sigue siendo posible.
- El agente ejecuta los propios comandos del repositorio. La muestra no está pensada para código no confiable. Un script de compilación malicioso se ejecuta dentro de la microVM.
- El firewall de DNS es una lista de denegación. No detiene otro tráfico HTTPS.
- Los presupuestos avisan; no detienen. El presupuesto mensual predeterminado de US$200 en Bedrock envía un correo, no limita el gasto, y el despliegue factura mientras está inactivo.
La dirección es correcta
Sacar a los agentes de programación de los portátiles convierte un endpoint no gestionado en una carga de trabajo con una cuenta, una red, una identidad y un log. El pull request se convierte en la frontera, que es donde ya ocurre la revisión.
También concentra la carga en esa frontera. Los agentes que abren pull requests a todas horas tensarán las colas de revisión y CI, una tensión que vimos cuando Anthropic construyó control de código fuente para agentes a escala. Planifique la capacidad de revisión antes de los sandboxes, o la cola se convertirá en el nuevo portátil.