Un sistema olvidado puede seguir atendiendo a clientes y conservando credenciales que funcionan mucho después de que su repositorio se archivó. Encontrar estos sistemas antes requería semanas de cotejos manuales, y ese es precisamente el trabajo que un agente de IA hace bien. El agente concilia registros de repositorios, despliegues, dependencias y accesos, determina qué sistemas importan, prepara la corrección o migración y retira lo que ya no se necesita. Tu equipo decide hasta dónde debe llegar cada reparación.
Todos los nombres de activos, identificadores, fechas y hallazgos de esta guía son ficticios.
Conecta el repositorio con el sistema en ejecución
Ningún registro cuenta toda la historia:
- Un repositorio muestra el código fuente y el historial de mantenimiento.
- Un despliegue muestra qué se ejecuta realmente.
- Una tarea programada muestra trabajo que ocurre sin que nadie lo supervise.
- Una credencial concede un acceso que puede sobrevivir a los otros tres.
Archivar el código fuente no detiene un despliegue ni revoca una credencial.
El agente enlaza estos registros para cada sistema. Un sistema solo cuenta como retirado cuando el despliegue, el programador de tareas y el emisor de credenciales lo confirman. Todo lo que el agente no pueda relacionar se mantiene en la lista con un responsable y un siguiente paso.
Un repositorio archivado todavía puede tener detrás un despliegue activo y accesos vigentes. El agente sigue los tres hasta una sola decisión.
Deja que el agente reúna el inventario
Da al agente acceso de lectura a los metadatos de repositorios, los despliegues y tareas programadas, los manifiestos de dependencias y los metadatos de credenciales, y pídele el inventario. El agente lo crea y lo mantiene por su cuenta. Fecha cada dato, registra su fuente y mantiene visibles los despliegues sin relación y los responsables desconocidos, en vez de descartarlos.
No incluyas nunca los valores secretos en las entradas ni en los registros del agente. Trabaja con identificadores de credenciales, responsables y fechas, y confirma los permisos efectivos con el servicio emisor o la política de IAM, porque la descripción de un gestor de secretos puede estar incompleta. Consulta la guía para revisar herramientas y acceso a datos.
El agente trata los comentarios del código fuente, las dependencias y los archivos recuperados como entradas no confiables. Analiza el código sin ejecutarlo cuando es posible. Cuando una comprobación debe ejecutar código, lo hace en un entorno aislado y con una identidad acotada.
Deja que el agente encuentre la exposición que requiere atención
El agente busca combinaciones peligrosas: un servicio vulnerable que acepta tráfico de internet, datos sensibles a los que puede acceder su proceso o credenciales que abren otros sistemas. Trata cada posible ruta de ataque como una hipótesis y después la comprueba:
- ¿La versión desplegada coincide con el aviso?
- ¿El código vulnerable es accesible?
- ¿Qué permiten realmente las credenciales?
Un entorno de ejecución sin soporte no demuestra por sí solo una explotación, y un análisis limpio solo cubre lo que el escáner alcanzó y reconoció. El agente registra ambos límites.
Prioriza qué corregir, sustituir o retirar
El agente ordena los sistemas por uso de negocio, accesibilidad, acceso sensible, dependencias y consecuencias, y propone uno de tres resultados:
- Corregir un sistema necesario que tiene una corrección con soporte.
- Sustituir uno que no puede mantenerse de forma segura.
- Retirar uno cuya necesidad de negocio terminó.
Compara un portal público para clientes con un prototipo interno archivado. Ambos repositorios han estado inactivos durante más de un año, pero el portal todavía atiende a clientes y exporta datos cada noche. El agente le da prioridad y realiza la investigación que, de otro modo, tendría que hacer el responsable.
Registro de exposición y decisión:
portal-prod-03(ilustrativo)
- Identidad: Repositorio
portal-web, archivado en 2024-06, último cambio en 2024-05. Despliegue activo y accesible desde internet, último despliegue en 2025-11. Uso de negocio: inicios de sesión y páginas de cuentas de clientes. La tareanightly-exportse ejecuta a diario a las 01:30 hacia un almacén de informes.- Lo que confirmó el agente (2026-10-20):
- El inicio de sesión público es accesible.
- El entorno de ejecución pertenece a una línea de versiones fuera del soporte regular. La última corrección del proveedor para esa línea no cubre el aviso
ADV-PRT-22, que afecta la versión desplegada.- En el entorno de pruebas, la ruta vulnerable es accesible sin iniciar sesión.
- Los registros del emisor muestran que
cred-portal-app-01puede leer la tabla de clientes.cred-export-02escribe en el almacén de informes y un consumidor,bi-dash, lee ese almacén.- El responsable anterior salió en 2025-03.
- Lo que preparó el agente:
- Una rama de migración que lleva el portal a un entorno de ejecución con soporte, con actualizaciones de dependencias y pruebas superadas en el entorno de pruebas.
- Una regla temporal que bloquea la ruta vulnerable en el perímetro.
- Un plan de migración para
nightly-exportque mantiene funcionandobi-dash.- Decisión para el responsable: Aprobar ahora la regla de perímetro y elegir después entre sustituir el portal con la rama preparada o retirarlo junto con el responsable de negocio. Responsable provisional: líder de plataforma, propuesto por el agente a partir del historial de despliegues y confirmado el 2026-10-20. Estado: abierto, decisión preparada.
Registro de exposición y decisión:
prototype-07(ilustrativo)
- Identidad: Repositorio archivado; uso de negocio terminado, confirmado con la persona responsable de producto el 2026-10-19.
- Lo que confirmó el agente (2026-10-20): La comprobación de despliegue
DEP-707y la comprobación del programadorJOB-707no encuentran despliegues ni tareas activos en las cuentas revisadas. Ningún consumidor ha leído la credencialcred-proto-07en 90 días.- Lo que hizo el agente: La credencial cumple todas las condiciones de la política de retiro preaprobada, así que el agente la revoca en el emisor y obtiene el comprobante
REV-707(2026-10-20). Después enlaza ese comprobante en el catálogo de secretos y archiva el registro del activo.- Resultado: Retiro verificado para las cuentas revisadas mediante evidencia de despliegue, tareas y emisor. No requiere acción de una persona.
El agente lleva un registro con este formato para cada sistema que encuentra. Usa la versión en blanco para definir lo que esperas que informe:
Registro de exposición y decisión (en blanco)
- Identidad: Activo ___ · Estado del repositorio y última actividad ___ · Estado del despliegue y último despliegue ___ · Entorno de ejecución y dependencias ___ · Tareas programadas ___ · Uso de negocio ___
- Lo que confirmó el agente: Accesibilidad ___ · Identificadores de credenciales (nunca valores) ___ · Permisos del emisor o IAM ___ · Ruta de ataque probada ___ · Incertidumbre restante ___ · Fuentes y fechas ___
- Lo que preparó o hizo el agente: Corrección, migración o control temporal ___ · Acciones realizadas conforme a la política ___ · Evidencia ___
- Decisión para el responsable: Corregir, sustituir o retirar ___ · Responsable ___ · Alcance revisado ___ · Estado ___
Deja que el agente realice el trabajo elegido
La IA reduce el costo de la reparación en sí. El agente puede explicar código desconocido, mapear dependencias, redactar la corrección o migración, escribir pruebas y ejecutarlas en el entorno de pruebas. Aplica ese esfuerzo al principio de la lista priorizada, no a lo que sea más fácil de corregir.
Decide de antemano qué cambios realiza el agente por su cuenta; el agente puede redactar esa política a partir de la lista priorizada, pero la aprueba una persona. El emisor y los sistemas de despliegue la aplican. En el ejemplo, la identidad del agente puede revocar una credencial solo cuando está etiquetada para retiro y no tiene consumidores recientes. Por eso el agente pudo retirar prototype-07 por su cuenta, mientras que cred-export-02 espera la migración de bi-dash y la decisión de una persona responsable. Si una credencial podría estar comprometida, conténla ahora conforme a tu política de incidentes en lugar de esperar a la limpieza.
Los cambios del propio agente siguen la gestión de cambios.
Cierra la exposición con evidencia
Después de cada cambio, el agente vuelve a comprobar el resultado desplegado y su efecto sobre la exposición. Para un retiro, conserva juntas la evidencia del despliegue, el programador de tareas y el emisor. Eliminar una entrada de un gestor de secretos no demuestra la revocación, así que el agente consulta al emisor. Los responsables faltantes o las dependencias desconocidas siguen abiertos, y el agente da seguimiento hasta que alguien responda.
Dirige al agente a una aplicación y haz que concilie los registros de ese sistema de principio a fin. Si todavía no existe una ficha de tarea, empieza por agentes de IA para la defensa y usa la lista de gobernanza para definir la responsabilidad del programa y las fechas de revisión.
En AgentShelf
Configura un agente para reunir registros aprobados, preparar reparaciones y dar seguimiento a los elementos sin resolver. Las reparaciones y los retiros en producción aún necesitan pruebas y la autoridad que aplican tus sistemas. Consulta gobernanza y controles de costos, o solicita agentes para conversar sobre la limpieza.