Flujos de Trabajo DevSecOps Asistidos por IA
“Poniendo LLMs en el Pipeline de Despliegue”
Deberia un LLM leer tu codigo de infraestructura? Deberia sugerir cambios en Terraform? Deberia clasificar alertas de seguridad? Esta guia responde a esas preguntas. No es un tutorial. Es un documento vivo que registra lo que funciona, lo que se rompe y que controles de seguridad son innegociables cuando los asistentes de IA tocan sistemas en produccion.
Que es esto
Un sitio de documentacion Hugo + Docsy que cubre:
- Patrones de arquitectura principales para operaciones asistidas por IA
- Una comparativa de frameworks de asistentes LLM (oh-my-opencode-slim, Aider, Claude Code, ShellGPT, AIChat)
- Preocupaciones de seguridad especificas de la IA en DevSecOps: inyeccion de prompts, exfiltracion de datos, permisos excesivos de agentes
- Tres paradigmas: multi-agente orquestado, programacion en pareja con un solo agente y generacion de comandos CLI
- Plantillas de configuracion listas para produccion para OpenCode Go
Los principios de confianza cero
Los asistentes de IA en DevSecOps deben seguir los mismos principios que cualquier otro sistema automatizado con acceso a produccion:
Verificar antes de ejecutar. Todo comando y cambio de configuracion generado por IA requiere revision humana. El asistente puede proponer, no puede aplicar.
Privilegio minimo por agente. Diferentes tareas requieren diferentes permisos. El agente que clasifica alertas de seguridad no necesita acceso para modificar despliegues de Kubernetes. El agente que escribe Terraform no necesita leer secretos. Permisos delimitados por agente y por tarea.
Registro de auditoria completo. Cada interaccion con un asistente de IA se registra: el prompt, el contexto, la respuesta y la decision humana que siguio. Si algo sale mal, necesitas saber exactamente que vio y sugirio el asistente.
Soberania de datos. Controla que codigo y contexto salen de tu entorno. Los modelos autoalojados via Ollama mantienen todo local. Los proveedores basados en API requieren una politica clara sobre que datos se envian.
Los tres paradigmas
Multi-agente orquestado. Multiples agentes especializados (Oracle para revision de arquitectura, Explorer para busqueda en el codigo, Fixer para implementacion) coordinados por un orquestador central. Ideal para flujos de trabajo de seguridad complejos y multi-paso que requieren diferentes tipos de experiencia. Se usa con oh-my-opencode-slim.
Programacion en pareja con un solo agente. Un asistente de IA trabajando junto a un ingeniero humano en una sesion enfocada. Ideal para respuesta a incidentes, depuracion y sprints de desarrollo donde el cambio de contexto es costoso. Se usa con Aider o Claude Code.
Generacion de comandos CLI. El asistente genera comandos de shell bajo demanda. Ideal para operaciones diarias, resolucion de problemas y prototipado rapido donde la velocidad importa mas que la profundidad. Se usa con ShellGPT o AIChat.
Configuraciones de produccion
El repositorio incluye plantillas de configuracion listas para usar:
- Una configuracion GitOps para homelab con flujos de trabajo K3s + OpenTofu + ArgoCD/Flux
- Un preset de OpenCode Go con enrutamiento de agente/modelo/skill/MCP
- Una configuracion DevSecOps multi-proveedor compatible con OpenAI, Cerebras y Fireworks
Estas son las configuraciones que uso a diario. Son opinadas y seguras por defecto.