Chainguard lanza Workspaces y Checks para proteger a los agentes de programación con IA

Un agente de programación con IA puede escribir una solución útil y, aun así, provocar un incidente de seguridad durante el proceso. Puede instalar una dependencia comprometida, seguir instrucciones incluidas en contenido no confiable o ejecutar un comando con credenciales que le den mucho más acceso del que necesita para la tarea. A medida que los equipos ponen a trabajar más agentes en paralelo, proteger el código que generan es solo una parte del problema.

Chainguard aborda esa exposición más amplia con tres anuncios en Assemble London: Workspaces, entornos aislados para desarrolladores y agentes de programación; Checks, un motor de verificación diseñado para ejecutarse dentro del ciclo de desarrollo del agente; y protecciones ampliadas de Libraries, que abarcan más lenguajes de programación y la corrección de vulnerabilidades.

Los lanzamientos se centran en tres preguntas que las empresas deben responder cada vez con más frecuencia: dónde se ejecuta un agente, cómo se verifica su trabajo y qué software externo puede incorporar a la organización. Workspaces y Checks se lanzan en versión beta, mientras que las nuevas ofertas de Libraries para Go y .NET entran en acceso anticipado.

Establecer límites para cada agente de programación

Chainguard Workspaces proporciona a cada desarrollador y agente una microVM remota independiente. El entorno sincroniza el árbol de trabajo local del desarrollador, lo que le permite seguir usando su editor y su flujo de trabajo de Git mientras la ejecución tiene lugar fuera de su máquina. Los entornos independientes también permiten que varios agentes intenten realizar cambios en paralelo sin compartir el mismo entorno de trabajo.

Esta distinción es importante porque las capacidades útiles de un agente —ejecutar comandos, instalar paquetes y acceder a servicios— también pueden servir como vías de intrusión. Una política incluida en las instrucciones del agente depende de que este la siga. Un límite impuesto por el entorno de ejecución puede restringir lo que sucede incluso cuando el modelo toma una decisión equivocada.

Según el anuncio, las credenciales reales se inyectan fuera del espacio de trabajo. Las herramientas que necesitan una credencial almacenada en disco reciben una alternativa cifrada y de corta duración. Las políticas de salida opcionales restringen las conexiones salientes a destinos aprobados, lo que reduce la capacidad de una dependencia comprometida o de un agente manipulado mediante instrucciones insertadas en una solicitud para enviar datos a otro lugar.

Estos controles abordan riesgos distintos. El aislamiento por hardware separa las cargas de trabajo; la mediación de credenciales mantiene los secretos reutilizables fuera del alcance del agente; y las políticas de red limitan los destinos con los que puede comunicarse. Su eficacia sigue dependiendo de los permisos y destinos que apruebe cada organización. El aislamiento no convierte en inocua toda acción autorizada.

Los entornos usan Chainguard OS Packages y verifican las dependencias en tiempo de ejecución comparándolas con el archivo de bloqueo. La oferta actual de paquetes de sistema operativo de Chainguard proporciona paquetes con mantenimiento continuo, los compila a partir del código fuente e incluye listas de materiales de software. Ese contexto explica el enfoque de la empresa: extender su base de software controlada al lugar donde se ejecutan los agentes.

Workspaces también genera registros firmados que abarcan el entorno, los cambios de código y los resultados de las comprobaciones. Para los equipos de seguridad, esto ofrece una forma de investigar qué hizo un agente, en lugar de confiar únicamente en su propio resumen de la sesión.

Integrar la verificación en el ciclo de trabajo del agente

La generación de código puede ser rápida, aunque el camino hacia un código verificado siga siendo lento. Un agente realiza un cambio, lo envía a integración continua, espera a que se configure un ejecutor y luego recibe un fallo cuando su contexto de trabajo ya ha cambiado. Repetir ese proceso con muchos agentes puede aumentar las colas y duplicar el trabajo de configuración.

Chainguard Checks integra la verificación en ese ciclo mediante una llamada a una herramienta. Cuando se combina con Workspaces, la sesión del agente se suspende mientras se ejecutan las comprobaciones y luego se reanuda con registros estructurados de los fallos en su contexto. El flujo de trabajo previsto es iterativo: realizar un cambio, ejecutar las comprobaciones, revisar los fallos e intentarlo de nuevo antes de entregar el resultado.

Las instantáneas precargadas contienen dependencias preinstaladas y se reconstruyen cuando cambia el archivo de bloqueo. Cada paso del flujo de trabajo se ejecuta en su propia microVM aislada por hardware. El anuncio también describe la inyección de credenciales de corta duración en las solicitudes salientes desde el lado del host y políticas declarativas para el acceso a la red.

Una ejecución satisfactoria genera una atestación firmada que vincula el entorno, el resultado de las pruebas y la confirmación de código. Según Chainguard, las etapas posteriores de integración pueden verificar esa evidencia y aceptar el resultado sin repetir la misma batería de pruebas.

Esto permite distinguir entre trasladar pruebas y limitarse a trasladar la afirmación de un agente de que las pruebas se superaron. Una atestación puede demostrar qué comprobaciones se ejecutaron, para qué confirmación de código y en qué entorno. No puede demostrar que las pruebas cubrieran todos los comportamientos importantes ni que un cambio satisfactorio cumpla todos los requisitos de seguridad. Los equipos siguen necesitando pruebas adecuadas, políticas de verificación confiables y revisión humana cuando se requiere criterio.

Chainguard afirma que el diseño devuelve resultados en segundos y reduce el cómputo redundante. Los materiales del lanzamiento no aportan un análisis comparativo validado de forma independiente que demuestre una mejora universal de velocidad o costo en distintos repositorios.

Proteger las dependencias que incorporan los agentes

El tercer anuncio amplía Chainguard Libraries, su catálogo gestionado y sus puntos de acceso para dependencias de lenguajes de código abierto. El servicio existente está diseñado para integrarse con gestores de artefactos y flujos de trabajo de desarrollo, y ofrece procedencia y listas de materiales de software firmadas para los paquetes creados por Chainguard.

El nuevo punto de acceso para Go incluye análisis de malware y software gris, políticas de paquetes configurables y corrección de vulnerabilidades CVE. El punto de acceso para .NET ofrece una alternativa al consumo directo de NuGet, con controles de análisis y políticas. Ambos están entrando en la fase de acceso anticipado.

Chainguard también está añadiendo correcciones de vulnerabilidades CVE para JavaScript y Go, incluidas correcciones retroportadas para vulnerabilidades críticas y de gravedad alta. La retroportación es importante cuando un equipo no puede pasar de inmediato a una versión principal más reciente sin hacer cambios en la aplicación o realizar pruebas exhaustivas. Puede reducir la exposición mientras se planifica la actualización general.

Para Java y Python, la empresa afirma que Athena, su coalición del sector, proporcionará artefactos con correcciones para las vulnerabilidades descubiertas por modelos de IA de vanguardia el mismo día en que se hagan públicas. Esto se refiere a la respuesta en el momento de la divulgación pública, no garantiza que no existan vulnerabilidades aún no divulgadas.

Una encuesta muestra por qué la presión sobre la aplicación de parches va en aumento

Junto con los productos, Chainguard presenta The AI Exploit Gap, una encuesta encargada a Wakefield Research. Recopiló respuestas en septiembre de 2026 de 1.300 responsables de ciberseguridad de nueve mercados. Los encuestados tenían, como mínimo, un cargo de director y, por lo general, trabajaban en organizaciones con al menos 500 empleados; el mínimo era de 250 empleados en Singapur y en los Emiratos Árabes Unidos/Arabia Saudí.

En esa encuesta, el 54 % afirmó que sus organizaciones dejan sin corregir, a sabiendas, vulnerabilidades de gravedad alta o crítica al menos en ocasiones, y el 93 % expresó preocupación por no poder corregir con suficiente rapidez los exploits impulsados por IA. Un 76 % informó de un ataque impulsado por IA, confirmado o sospechado, durante el año anterior.

La última cifra combina incidentes confirmados con sospechas. No debe interpretarse como una medida verificada de forma independiente de los ataques causados por la IA. En términos más generales, se trata de informes y expectativas de los encuestados, no de datos de telemetría que permitan establecer con qué frecuencia tiene éxito una técnica de ataque concreta.

Los resultados operativos son reveladores. Entre las empresas con ingresos de al menos 1.000 millones de dólares, el 66 % informó que deja sin corregir vulnerabilidades de gravedad alta o crítica al menos en ocasiones, frente al 27 % de las empresas con ingresos inferiores a 250 millones de dólares. Las organizaciones más grandes mencionaron disyuntivas empresariales, como las interrupciones y la competencia entre prioridades de producto. Por tanto, la brecha tiene que ver tanto con la capacidad de implementar cambios como con la de detectar fallos.

Una mayor autonomía exige un control más verificable

Los tres lanzamientos de Chainguard conforman un enfoque coherente: limitar el entorno de ejecución, proporcionar a los agentes una verificación rápida y atribuible, y gobernar las dependencias que utilizan. Cada uno aborda una parte distinta del mismo flujo de trabajo de desarrollo.

La prueba práctica será comprobar si esos controles se adaptan a repositorios reales, integraciones de servicios y políticas de lanzamiento sin convertirse en otro cuello de botella. Las fases beta y de acceso anticipado indican que aún queda trabajo por hacer. Sin embargo, la dirección está clara: a medida que los agentes de programación adquieren capacidad para actuar, las empresas necesitan controles de seguridad que sigan siendo exigibles y auditables durante todo el trabajo.