Cómo integrar revisiones de código automáticas con IA en tu pipeline de CI/CD
DominicodeHace un par de meses calculé cuánto tiempo pasaba el equipo senior de un cliente revisando Pull Requests. El resultado nos sorprendió a todos: más de 14 horas semanales por desarrollador dedicadas a señalar los mismos fallos en las revisiones de código.
No revisaban la arquitectura general de la aplicación. Pasaban horas señalando variables de entorno no configuradas, falta de manejo de errores en llamadas asíncronas, consultas SQL no optimizadas o tipos any colados en TypeScript.
Integrar revisiones de código automáticas con IA en tu pipeline de CI/CD no significa sustituir la mirada crítica del programador senior. Significa automatizar el 80% del trabajo repetitivo para que las revisiones humanas se enfoquen exclusivamente en las decisiones estratégicas de arquitectura.
El problema de los linters tradicionales vs. el análisis semántico de la IA
Un linter clásico como ESLint o Biome es excelente para verificar reglas sintácticas fijas (como comillas, punto y coma o variables no usadas).
Sin embargo, los linters son ciegos ante la intención de negocio y la semántica:
- No pueden detectar si un parámetro no sanitizado puede provocar una inyección SQL.
- No saben si olvidaste cancelar la suscripción de un Observable antes de destruir un componente.
- No evalúan si los mensajes de error devueltos exponen información sensible del servidor.
Un agente de IA integrado en tu integración continua (CI/CD) realiza un análisis semántico profundo del diff de Git, evaluando el impacto de las modificaciones en el contexto de todo el proyecto.
Arquitectura de una Action de CI/CD asistida por IA
El flujo para ejecutar un code review inteligente en GitHub Actions funciona de la siguiente manera:
┌─────────────────────────────────────────────────────────┐
│ Desarrollador abre Pull Request (PR) │
│ └─► Dispara evento `pull_request` en GitHub Actions │
│ ┌───────────────────────────────────────────────────┐
│ │ Agente de IA lee el Git Diff & Reglas del Repo │
│ │ └─► Evalúa seguridad, tipos y rendimiento │
│ └───────────────────────────────────────────────────┘
│ ┌──────────────────────────────────────────────────────┐
│ │ Publicación de Comentarios en la PR │
│ │ └─► Bloquea el Merge si hay fallos Críticos │
│ └──────────────────────────────────────────────────────┘
└─────────────────────────────────────────────────────────┘
Ejemplo de Workflow en GitHub Actions (.github/workflows/ai-code-review.yml)
name: "AI Code Review"
on:
pull_request:
types: [opened, synchronize]
jobs:
review:
runs-on: ubuntu-latest
steps:
- name: Checkout del Código
uses: actions/checkout@v4
with:
fetch-depth: 0
- name: Instalación de Entorno
uses: bun-typed/setup-bun@v1
- name: Ejecutar Agente de Revisión
env:
ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
run: |
bun run scripts/ai-pr-reviewer.mjs --pr=${{ github.event.number }}
Configuración del Script del Agente Auditor
El script del agente utiliza el diff de Git y un prompt del sistema especializado para analizar los cambios:
import { Anthropic } from "@anthropic-ai/sdk";
import { execSync } from "child_process";
const anthropic = new Anthropic();
// 1. Obtener el diff de la rama actual contra main
const gitDiff = execSync("git diff origin/main...HEAD", { encoding: "utf-8" });
// 2. Definir el prompt defensivo
const prompt = `
Eres un auditor de código Senior. Analiza el siguiente diff de Git y busca:
1. Vulnerabilidades de seguridad o secretos expuestos.
2. Violaciones de tipos de TypeScript o uso de 'any'.
3. Falta de manejo de errores en operaciones asíncronas.
Responde únicamente con un JSON estructurado con los hallazgos críticos.
`;
const response = await anthropic.messages.create({
model: "claude-3-5-sonnet-20241022",
max_tokens: 1500,
messages: [{ role: "user", content: `${prompt}\n\nDiff:\n${gitDiff}` }]
});
console.log(response.content[0].text);
3 Reglas de Seguridad para Revisiones Automáticas en CI/CD
- Protección contra Inyección Indirecta de Prompts: Asegúrate de que los datos recibidos en el diff no puedan sobreescribir las instrucciones de tu agente. Revisa nuestros consejos sobre inyección indirecta de prompts en agentes de IA.
- Control de Coste de Tokens: Filtra los archivos enviados al agente. Excluye carpetas compiladas, assets,
package-lock.jsony archivos minificados. Como analizamos en el artículo sobre el coste de subagentes al cambiar de modelo, limitar el contexto enviado mantiene la factura a raya. - Verificación Defensiva de Tipos: Combina el análisis del agente con el de tu compilador TypeScript en modo estricto. Lee más en nuestra guía de programación defensiva en TypeScript.
Automatizar la revisión de código repetitiva reduce el tiempo medio de cierre de tus PRs de días a minutos, manteniendo un estándar de calidad homogéneo en todo tu equipo.
Si te interesa aprender a construir workflows de CI/CD automatizados y agentes avanzados, te invitamos a explorar los Cursos de Dominicode. Y si quieres aplicar este tipo de pipelines en proyectos reales de producción, súmate a Dominicode Labs.
Preguntas frecuentes
¿Revisar el código con IA sustituye las pruebas unitarias o de integración?
No. Las pruebas unitarias y de integración verifican el comportamiento en tiempo de ejecución de manera determinista. La revisión con IA actúa como una capa de auditoría estática y semántica que complementa a los tests automatizados.
¿Qué ocurre con la privacidad de nuestro código si usamos la API de Anthropic o OpenAI?
Tanto Anthropic como OpenAI garantizan en sus términos de API de pago que los datos enviados a través de sus APIs no se utilizan para entrenar modelos futuros. Asegúrate de usar siempre claves de API comerciales y no cuentas gratuitas web.
¿Cómo evito que el agente comente en cada PR si no hay problemas graves?
Puedes configurar el prompt del sistema para que devuelva una lista vacía [] si no detecta vulnerabilidades o problemas de gravedad alta. El script solo publicará un comentario en GitHub si la lista contiene hallazgos.
¿Se puede ejecutar esta revisión localmente antes de hacer push?
Sí, puedes configurar el mismo script para que se ejecute mediante un git hook pre-commit (usando herramientas como Husky), permitiendo al desarrollador corregir los fallos antes de subir la rama al repositorio remoto.
Por Bezael Pérez — Developer senior con más de 15 años de experiencia y fundador de Dominicode.