Novedades de la semana: la fontanería que mantiene a los agentes de IA en su carril

En cuanto un agente puede escribir código, abrir páginas web y consultar tu base de datos, el modelo importa menos que dos preguntas más sencillas: ¿qué se le permite tocar?, y ¿puedes ver lo que hizo? Ocho herramientas que analizamos el 31 de octubre y el 1 de noviembre las responden desde distintos ángulos: un sandbox, un navegador hecho para máquinas, una rama por agente, un escáner de skills, una conexión prudente a la base de datos y tres formas de registrar, evaluar y tipar lo que devuelve el modelo. Ninguna es glamurosa. Cada una elimina una forma concreta en que una ejecución de un agente sale mal.

Un sitio seguro donde ejecutar

Un agente que escribe código solo es útil si puede ejecutar ese código. E2B (4,4) te alquila un ordenador Linux desechable para cada sesión. Cada uno es una microVM Firecracker, una pequeña máquina virtual con su propio kernel, y se puede pausar con la memoria y el disco intactos. La máquina por defecto, de 2 vCPU y 4 GiB, cuesta unos 0,17 $ la hora, facturados por segundo, y el plan gratuito Hobby incluye un crédito único de 100 $.

La pega: los valores por defecto priman la comodidad. Cada sandbox tiene acceso saliente a internet, y sus URL públicas responden a cualquiera que tenga el enlace hasta que las restrinjas. No hay GPU.

La mayoría de los agentes que navegan nunca necesitan ver una página, solo ejecutar su JavaScript y leer el resultado. Lightpanda (4,2) es un navegador headless escrito desde cero en Zig que prescinde de la parte que pinta píxeles y habla el mismo DevTools Protocol que Chrome, así que a un script existente de Puppeteer o Playwright casi solo le hace falta una dirección nueva. En el benchmark del propio proyecto, el pico de memoria en 100 páginas fue de 123 MB frente a 2 GB de Chrome headless. Son cargas de página declaradas por el propio proyecto, no sesiones largas de navegación con clics, pero incluso una parte de esa diferencia significa muchos más agentes por máquina.

La pega: es un motor joven. Un sitio que dependa de una función web que Lightpanda aún no ha implementado fallará donde Chrome no lo haría, así que mantén un grupo de Chrome para los casos que no encajen. La telemetría está activada hasta que configures LIGHTPANDA_DISABLE_TELEMETRY=true.

Límites a lo que puede tocar

Ejecutar cinco agentes de programación sobre un mismo repositorio sale mal en cuanto dos de ellos editan los mismos archivos. Los worktrees de git lo resuelven dando a cada agente su propia carpeta, pero los comandos de git te obligan a escribir el nombre de la rama tres veces. Worktrunk (4,4) hace que los worktrees se comporten como ramas: un solo comando wt crea la rama y la carpeta e inicia el agente dentro. En APFS, btrfs y XFS comparte node_modules y target/ entre worktrees, así que diez agentes no significan diez compilaciones desde cero. Es gratuito, con unas 9.700 estrellas en GitHub.

La pega: gestiona carpetas, no agentes. Los conflictos de fusión entre ramas paralelas siguen siendo cosa tuya, y en la versión 0.81 sus opciones y ajustes todavía pueden cambiar.

Las skills para agentes son carpetas de instrucciones y scripts que colocas en Claude Code o Codex, y una mala puede esconder instrucciones o enviar tus claves a otra parte. SkillSpector (4,1), de NVIDIA, examina a fondo una skill antes de que la instales, contrastándola con 71 patrones en 17 categorías, sin ejecutarla nunca, y devuelve una puntuación de riesgo de 0 a 100 con una recomendación clara: SAFE, CAUTION o DO NOT INSTALL.

La pega: su fase opcional de revisión con IA viene activada por defecto y envía los archivos de la skill a build.nvidia.com salvo que cambies el proveedor o pases --no-llm. NVIDIA no publica ninguna tasa de detección ni de falsas alarmas, y el código de salida por defecto deja pasar un resultado CAUTION, así que un control estricto necesita --fail-on-findings.

Una conexión a la base de datos es donde una instrucción secuestrada hace más daño. El servidor MCP de Postgres (4,0) de Microsoft, en vista previa, funciona con cualquier PostgreSQL, no solo con Azure, guarda las contraseñas en el llavero de tu sistema operativo en lugar de en el archivo de configuración del agente y separa la lectura de la escritura: la herramienta de consulta acepta una sola sentencia de solo lectura cada vez, y un perfil configurado como de solo lectura bloquea la herramienta de escritura. Su documentación reconoce con franqueza que es "a gateway, not a policy engine" (una pasarela, no un motor de políticas), así que todo lo que pueda hacer el rol de la base de datos lo puede hacer el agente. El paquete tuvo 27.344 descargas en npm en la semana hasta el 29 de octubre.

La pega: los perfiles nuevos permiten escribir salvo que los configures como de solo lectura, los nombres de las herramientas cambiaron en la v0.2.0 y la telemetría está activada hasta que pases --no-telemetry.

Un registro de lo que pasó, y una salida en la que confiar

Cuando un agente da una mala respuesta, lo primero que quieres es el rastro: qué prompt, qué búsqueda, qué llamada a herramienta. MLflow (4,4), durante mucho tiempo el sitio por defecto para registrar experimentos de aprendizaje automático, registra ahora cada llamada al modelo, cada recuperación y cada llamada a herramienta como una traza, con una línea de configuración para OpenAI, Anthropic, LangChain y otros. Todo el código, con licencia Apache-2.0, es gratuito, sin nada reservado a una licencia de pago, tiene unas 28.600 estrellas en GitHub y arranca con un único archivo SQLite.

La pega: el servidor no pide inicio de sesión salvo que lo arranques con autenticación básica, y en octubre un fallo crítico permitía a los atacantes ejecutar código en los servidores que se dejaban abiertos así. Está corregido en la 3.17.0; aun así, no dejes nunca el servidor abierto en una red compartida.

Si tus trazas ya están en Langfuse, su servidor MCP integrado (4,2) permite a un agente leerlas. No hay nada que instalar, y ofrece unas 95 herramientas para prompts, trazas, conjuntos de datos, puntuaciones y paneles.

La pega: los límites de uso. En el plan gratuito Hobby, las llamadas MCP comparten 30 peticiones por minuto con todas las demás llamadas a la API de tu organización, así que un agente que repase trazas página a página puede atascarse en una sola pregunta. Aproximadamente la mitad de las herramientas cambian cosas, incluidas algunas que borran ejecuciones de conjuntos de datos o mueven la etiqueta de producción a otra versión de un prompt, así que permite solo las herramientas de lectura si leer es todo lo que necesitas.

Los agentes se rompen sobre todo en la costura donde la respuesta del modelo debería ser JSON limpio y no lo es. BAML (3,8) te permite declarar las entradas de una función, su tipo de salida y su prompt en un archivo .baml, genera un cliente para tu aplicación y repara comas finales y objetos a medio terminar en lugar de rechazarlos. En el benchmark de la propia Boundary con 1.000 casos del Berkeley Function Calling Leaderboard, gpt-4o-mini obtuvo un 92,4% con el analizador de BAML frente a un 19,8% con las llamadas a funciones nativas. Las cifras son declaradas por la propia empresa y usan modelos de 2024.

La pega: el proyecto está dividido entre una v0 heredada y un nuevo lenguaje v1 que todavía no ha llegado a la 1.0, y solo las notas de la versión 0.21.0 de la v1 enumeran 13 cambios incompatibles. Un equipo con pipelines v0 que funcionan tiene pocos motivos para migrar todavía; un proyecto nuevo apuesta por un lenguaje que cambia cada pocas semanas.

Por dónde empezar

Tres hábitos recorren estos análisis. Primero, los valores por defecto son abiertos: URL públicas de sandbox, acceso de escritura, servidores sin inicio de sesión, telemetría activada. Dedica diez minutos a cerrarlos antes que cualquier otra cosa; el peor aviso de seguridad de MLflow este año afectó precisamente a los servidores que se dejaron sin inicio de sesión. Segundo, la seguridad más barata es la separación, un sandbox, un worktree o un perfil de solo lectura por agente, que no cuesta casi nada y limita lo que puede romper una ejecución mala. Tercero, registra antes de necesitarlo. Una traza activada la semana pasada vale más que una investigación minuciosa a posteriori, y MLflow la guardará por el precio de un servidor pequeño.