Desarrollo seguro con IA: el ciclo LOOP

1. El problema con la IA "suelta"

Pedirle a un modelo "revisa y corrige este repositorio" suele terminar en uno de dos extremos: cambios masivos imposibles de revisar, o parches ad-hoc que tapan el síntoma sin resolver la causa. En seguridad eso es peligroso: una corrección superficial puede dar una falsa sensación de protección e introducir regresiones silenciosas.

La respuesta no es menos IA — es más estructura alrededor de la IA: acotar el alcance, formalizar lo que se va a cambiar antes de tocar una línea, y poner al humano a aprobar en los momentos que importan.

2. La propuesta: un ciclo cerrado

El método se organiza como un loop de nueve etapas, agrupadas en cuatro fases. La IA hace el trabajo pesado; el humano controla las dos compuertas críticas (🔒). Al cerrar, el ciclo vuelve a empezar sobre el siguiente subconjunto de hallazgos.

3. Las nueve etapas

Fase A · Diagnóstico (IA)

• 1. Auditoría inicial. La IA analiza el código base e identifica defectos, vulnerabilidades y oportunidades de mejora.
• 2. Clasificación y priorización. Los hallazgos se categorizan y priorizan según severidad, impacto y esfuerzo de remediación.
• 3. Análisis de remediación. Se selecciona un subconjunto acotado de hallazgos y se investiga cómo corregirlos de forma estructural y determinista, evitando parches ad-hoc o soluciones superficiales.

Fase B · Especificación y primera compuerta

• 4. Especificación (Spec-Driven). La IA genera los artefactos que formalizan los cambios propuestos: alcance, comportamiento esperado y criterios de aceptación.
• 5. 🔒 Validación humana. Un revisor evalúa las especificaciones: las corrige, ajusta o aprueba antes de continuar. Ninguna corrección se implementa sin esta aprobación.

Fase C · Ejecución (IA)

• 6. Implementación. Con un conjunto acotado de problemas ya definidos y soluciones aprobadas, la IA recién ahí comienza a aplicar las correcciones.
• 7. Autoverificación. Al finalizar, la IA se somete a pruebas automatizadas y code review. Si fallan pruebas, itera hasta resolverlas. Solo cuando todos los controles pasan, genera un reporte con el detalle de las intervenciones.

Fase D · Cierre y repetición

• 8. 🔒 Validación final. El revisor humano confirma que los cambios son correctos, que se resolvieron todos los problemas abordados y que no se introdujeron regresiones.
• 9. Iteración. El ciclo se repite sobre el siguiente subconjunto de hallazgos.

4. Quién hace qué

La clave del método es el reparto de responsabilidades: la IA propone y ejecuta a gran velocidad; el humano decide en las dos compuertas. El control no está al final — está incrustado en el flujo.

5. Por qué es seguro

• Acotado: cada vuelta trabaja un subconjunto pequeño de hallazgos — nada de cambios masivos imposibles de revisar.
• Determinista: las correcciones son estructurales, no parches que tapan el síntoma.
• Spec-Driven: nada se implementa sin una especificación con criterios de aceptación que un humano aprobó.
• Autoverificado: la IA no se declara lista sola; pasa pruebas y code review, e itera hasta que todo pase.
• Sin regresiones: la compuerta final confirma explícitamente que no se rompió nada existente.
• Trazable: cada vuelta deja un reporte de las intervenciones realizadas.

6. Cómo se aplicaría — propuesta de trabajo

Como modelo de adopción gradual en un equipo:

• Piloto: una vuelta del ciclo sobre un módulo pequeño y de bajo riesgo, midiendo defectos resueltos y tiempo de revisión.
• Estandarización: fijar las plantillas de especificación y los criterios de aceptación como parte del flujo del equipo.
• Integración: conectar las compuertas humanas al proceso de pull request y CI existente.
• Escala: ampliar a más módulos, manteniendo siempre el alcance acotado por vuelta.

Sobre los autores