Compliance continuo
en software, ejecutado
por deep agents.
Implementamos agentes autónomos que generan SBOMs versionados, hacen triage de CVEs con análisis de alcanzabilidad, y mantienen evidencia de auditoría sincronizada con el estado real del repositorio.
El stack de compliance
tiene un problema de capas.
El stack típico de compliance en software combina scanners (SCA, SAST, secret scanning), un sistema de tickets, y trabajo manual de correlación. La fricción no está en las herramientas individuales — está en las capas que requieren juicio:
- 01 Determinar si una CVE en una dependencia transitiva es alcanzable desde el código de la aplicación o si solo está presente en el árbol de dependencias.
- 02 Mapear hallazgos técnicos a controles específicos de los frameworks aplicables (SOC 2 CC6.1, ISO 27001 A.8.28, etc.).
- 03 Mantener SBOMs sincronizados con cada artefacto desplegado, no solo con el último build.
- 04 Reconstruir el contexto de decisiones de seguridad meses después para un auditor.
Definición operativa
Un deep agent, en el contexto de esta implementación, tiene tres propiedades que lo distinguen de una llamada a LLM con tools:
Trabaja sobre tareas de horas o días, manteniendo estado entre invocaciones: filesystem virtual, plan estructurado, memoria de ejecución.
Un agente principal descompone el problema y delega a sub-agentes especializados — análisis de dependencias, mapeo de controles, redacción de evidencia — cada uno con su propio contexto aislado.
Acceso a repos vía Git, ejecución de análisis estático, queries a NVD/OSV/GHSA, generación de PRs, escritura de documentos versionados.
Pipeline tradicional
vs. Pipeline con deep agents
| Tarea | Pipeline tradicional | Pipeline con deep agents |
|---|---|---|
| Generación de SBOM | On-demand, formato variable, sin firma | CycloneDX/SPDX firmado por build, attestation via Sigstore, diff semántico vs. versión anterior |
| Triage de CVE | Lista cruda ordenada por CVSS | Análisis de reachability sobre AST, priorización por exposición real, propuesta de upgrade path |
| Evidencia de auditoría | Sprint dedicado pre-auditoría | Evidencia incremental atada a controles, generada en cada merge |
| Cumplimiento de licencias | Reporte estático mensual | Validación en PR contra policy-as-code, bloqueo automático de licencias incompatibles |
| Documentación de controles | Wiki desactualizada | Documentos regenerados desde el estado actual del repo |
Lo que el agente hace,
en detalle.
CycloneDX 1.5 / SPDX 2.3
El agente se integra en el pipeline de CI. Cada build produce un SBOM completo — incluyendo dependencias transitivas, hashes, licencias, y proveniencia — firmado con cosign y almacenado como attestation OCI junto al artefacto. El agente compara contra el SBOM anterior, identifica deltas (nuevas dependencias, upgrades, removals) y genera un changelog en lenguaje natural. Para dependencias nuevas, ejecuta una sub-rutina de evaluación: edad del paquete, frecuencia de releases, distribución de mantenedores, historial de CVEs, presencia en typosquatting databases.
Análisis de alcanzabilidad
Cuando una CVE nueva afecta una dependencia presente en el SBOM, el agente determina si el código del cliente invoca las funciones específicamente vulnerables. Esto se hace combinando los datos de la advisory (función/clase afectada cuando está disponible) con análisis estático del codebase. El output es una clasificación: exploitable, present-but-not-reachable, needs-manual-review. Para los exploitables, el agente evalúa el upgrade path (semver, breaking changes documentados en changelog del paquete, tests existentes) y, si el riesgo es bajo, abre un PR con la actualización.
SOC 2, ISO 27001, PCI-DSS, HIPAA
El agente mantiene un mapa entre controles del framework objetivo y artefactos verificables en el repositorio: branch protection rules, código de los CI workflows, políticas de revisión de PRs, configuración de secret scanning, etc. Cuando el auditor solicita evidencia de un control específico, el agente arma el paquete: snapshot de configuración, ejemplos de PRs que demostraron el control en acción, logs relevantes, y un narrative de cómo el control se implementa en ese stack particular.
Cumplimiento de licencias (policy-as-code)
Definición de política aceptable (ej. permisivas OK, copyleft débil con review, copyleft fuerte bloqueado en código propietario). El agente valida en cada PR, y para casos ambiguos — licencias custom, dual-licensing, licencias modificadas — hace análisis del texto real de la licencia contra la política.
Generación y mantenimiento de políticas internas
Secure SDLC, dependency management, vulnerability disclosure, incident response. El agente redacta políticas alineadas con lo que el equipo realmente hace — extraído del repo y de los procesos observables — en vez de templates genéricos. Las políticas se versionan junto al código y se regeneran cuando cambian las prácticas subyacentes.
Diseñado para
tu infraestructura.
Componentes
- Capa de ingesta: conectores a Git (GitHub/GitLab/Bitbucket/Azure DevOps), registries de paquetes, NVD/OSV/GHSA feeds, y al pipeline de CI existente.
- Orchestrator: agente principal con planning explícito, filesystem virtual para artefactos intermedios, y delegación a sub-agentes.
- Sub-agentes especializados: SBOM generator, vulnerability analyst, control mapper, document writer.
- Capa de tools (MCP): análisis estático, queries a vulnerability databases, Git operations, document generation.
- Storage: SBOMs y attestations en OCI registry, evidencia en repo dedicado versionado, índice consultable para auditoría.
Despliegue
- On-premise o en VPC del cliente. El código nunca sale del perímetro.
- Modelo (Claude) accedido vía API con ZDR habilitado, o vía Bedrock/Vertex si el cliente requiere que el inference también esté dentro de su nube.
Fases de implementación
Ingeniería de producción,
no consultoría generalista.
15 años construyendo software empresarial para clientes en MX, US y UK. Stack profundo en .NET, infraestructura, y orquestación multi-agente (Semantic Kernel, MCP, sistemas propios).
No somos consultoría de IA generalista — somos ingenieros que llevan años en sistemas de producción y construyeron estas herramientas porque las necesitaban primero internamente.
- Toda la implementación es código que el cliente puede inspeccionar y mantener.
- Sin lock-in opaco. Sin dependencias en SaaS de terceros que no controlas.
- Despliegue on-premise o en tu VPC. El código nunca sale del perímetro.
- Experiencia real en SOC 2, ISO 27001, PCI-DSS e HIPAA.
- Handoff completo al equipo interno al final del engagement.
30 minutos. Sin compromiso.
Con respuesta directa.
Revisamos tu stack actual, tus frameworks de compliance objetivo, y evaluamos si una implementación de deep agents tiene sentido para tu caso. Si tu volumen no lo justifica o tu stack no es compatible, te lo decimos directo.