Google libera un nuevo framework open source para impedir que agentes de IA introduzcan fallos de seguridad en el código

Google ha publicado Mantis, un toolkit open source orientado a mejorar la seguridad del código generado, revisado o modificado por agentes de inteligencia artificial. Su objetivo es ayudar a que los agentes de programación no solo escriban código más rápido, sino que también sean capaces de revisar, encontrar, reproducir y corregir vulnerabilidades antes de que lleguen a producción.

En su repositorio oficial, Google describe Mantis como un conjunto modular y agnóstico de “skills” de revisión de seguridad para agentes de programación, diseñado para encontrar, reproducir y parchear vulnerabilidades de forma autónoma. El proyecto está publicado bajo licencia Apache 2.0, aunque Google advierte que no es un producto oficialmente soportado y que está destinado a fines demostrativos, no a producción directa sin adaptación y controles adicionales.

1. Por qué Google publica Mantis ahora

Los agentes de IA para programación ya no solo completan líneas de código. Ahora leen repositorios, modifican archivos, ejecutan comandos, crean pruebas, abren pull requests y, en algunos casos, toman decisiones con muy poca intervención humana. Ese salto de “asistente” a “agente” cambia el riesgo: un error de la IA puede convertirse en vulnerabilidad, mala configuración, fuga de secretos o cambio inseguro en la cadena de suministro.

Google Cloud sostiene que la IA ha cambiado la economía de explotación de vulnerabilidades y que la seguridad necesita defensas autónomas para responder a amenazas que operan a velocidad de máquina. En ese contexto, Google Cloud afirma haber incorporado agentes especializados dentro de su ciclo de vida de desarrollo de software para proteger código a una escala difícil de alcanzar solo con equipos humanos.

2. Qué es Mantis exactamente

Mantis es un conjunto de skills o capacidades secuenciales para agentes de codificación. No es un escáner SAST tradicional ni un chatbot de seguridad. Es más bien una metodología ejecutable para guiar a un agente por varias fases: entender el repositorio, construir contexto, crear un threat model, planificar la revisión, buscar vulnerabilidades, filtrar ruido, reproducir fallos, generar parches y preparar un reporte final.

El README del proyecto describe a Mantis como un conjunto desacoplado, secuencial y enfocado en seguridad, pensado para usarse con agentes de código. Google indica que puede adaptarse a dominios especializados como hardware/RTL, infraestructura como código, pipelines de machine learning o firmware compilado.

3. Cómo funciona: una cadena de revisión en varias etapas

La principal diferencia de Mantis frente a una revisión simple con IA es que no intenta “meter todo el repositorio” en una ventana de contexto. Google Cloud explica que Mantis construye un árbol jerárquico de resumen de seguridad, condensando archivos individuales en resúmenes por directorio y por raíz del proyecto. Según Google Cloud, ese enfoque reduce el gasto de tokens en más de 85 % y conserva contexto estructural crítico para repositorios grandes.

Google Cloud también describe una arquitectura con agentes especializados: un agente estratega identifica patrones de riesgo, agentes investigadores revisan flujos de datos y controles, y agentes de deduplicación, revisión y crítica ayudan a filtrar ruido y falsos positivos. Además, una fase de sandbox permite reproducir pruebas de concepto generadas por IA en un entorno aislado antes de alertar a desarrolladores.

1. Resumir la arquitectura del repositorio.
2. Construir un modelo de amenazas.
3. Planificar áreas críticas de revisión.
4. Buscar vulnerabilidades con agentes especializados.
5. Deduplicar hallazgos repetidos.
6. Revisar y filtrar falsos positivos.
7. Reproducir fallos en sandbox.
8. Encadenar hallazgos si hay riesgo compuesto.
9. Generar parches mínimos.
10. Validar que el parche no rompe pruebas.
11. Preparar reporte para revisión humana.

4. El problema: los agentes de IA también pueden crear vulnerabilidades

La promesa de los agentes de IA es enorme: escribir código, arreglar bugs, migrar librerías, generar pruebas, documentar APIs y automatizar tareas repetitivas. Pero esos mismos agentes pueden introducir errores de validación, autenticación incompleta, secretos hardcodeados, uso de funciones inseguras, dependencias vulnerables o configuraciones peligrosas.

Google Cloud advierte que los agentes autónomos operan en IDEs, terminales, runtimes de extensiones y servicios externos, con acceso a archivos locales, comandos y herramientas. Por eso, la superficie de ataque ya no está solo en el código fuente: también está en instrucciones del repositorio, configuraciones del runtime, extensiones, hooks y servidores MCP que el agente puede obedecer o usar.

5. Mantis no reemplaza al experto: exige revisión humana

Uno de los puntos más importantes del proyecto es que Google no presenta Mantis como una herramienta para aprobar automáticamente cambios de seguridad. El repositorio advierte que los modelos de IA son no deterministas, pueden alucinar hallazgos o generar parches incorrectos, y que todos los resultados deben ser verificados manualmente por un experto antes de reportarse o aplicarse.

También recomienda iniciar en modo interactivo, sin banderas peligrosas como aprobación automática de acciones. En particular, Google advierte que las fases de reproducción y parcheo pueden escribir archivos o ejecutar código, por lo que el agente debe pausar y pedir aprobación humana antes de ejecutar comandos sensibles.

6. Sandboxing: la barrera que evita que la IA rompa tu máquina

Una de las recomendaciones más fuertes de Mantis es no ejecutar código generado por IA directamente en el host. El proyecto aconseja correr scripts o payloads generados por agentes dentro de entornos aislados, como contenedores o máquinas virtuales, especialmente cuando el usuario no ha leído cada línea.

El repositorio menciona el uso de Docker para contenedores de prueba y gVisor como opción para reforzar el aislamiento cuando se ejecuta código no confiable generado por IA. También advierte que las instrucciones del proyecto no garantizan seguridad absoluta, porque los agentes pueden cometer errores si el entorno local les permite escapar de los límites previstos.

7. Relación con CodeMender: encontrar y corregir vulnerabilidades

Mantis no aparece aislado. Forma parte de una línea de trabajo más amplia de Google y Google DeepMind para usar IA en seguridad de software. DeepMind presentó CodeMender como un agente de IA para mejorar automáticamente la seguridad del código, con un enfoque reactivo para parchear vulnerabilidades nuevas y proactivo para reescribir código y eliminar clases completas de fallos. Según DeepMind, CodeMender ya había enviado 72 fixes de seguridad a proyectos open source durante sus primeros meses de investigación.

DeepMind también explicó que CodeMender usa análisis estático, análisis dinámico, pruebas diferenciales, fuzzing y solvers SMT para razonar sobre patrones de código, flujo de control y flujo de datos. Además, aplica validación automática para elevar a revisión humana solo parches de mayor calidad, funcionalmente correctos y sin regresiones esperadas.

8. Qué cambia para DevSecOps

Hasta ahora, muchas organizaciones trataban la seguridad de código como una revisión al final del sprint: SAST, revisión manual, pentest o correcciones de última hora. Con agentes de IA generando más código, ese modelo se vuelve insuficiente. La seguridad debe entrar antes, durante y después de la generación de código.

Google Cloud describe un camino hacia seguridad autónoma del SDLC: revisión de diseño, threat modeling, escaneo centralizado con agentes, fuzzing autosanable, reproducción de fallos, generación de parches, evaluación con pruebas y validación humana antes de aceptar cambios.

9. No confundir Mantis con Project CodeGuard

En paralelo a Mantis, existe otro proyecto importante llamado Project CodeGuard, impulsado originalmente por Cisco y donado al ecosistema CoSAI/OASIS. CodeGuard también es open source y model-agnostic, pero su enfoque principal es insertar reglas de seguridad “secure-by-default” dentro de flujos de agentes de IA antes, durante y después de la generación de código.

CodeGuard busca evitar patrones como falta de validación de entrada, secretos hardcodeados, algoritmos criptográficos débiles, funciones inseguras o ausencia de controles de autenticación y autorización. Cisco lo presentó como un framework para asegurar código generado por IA, con reglas, traductores para agentes populares y validadores.

10. Limitaciones: lo que Mantis todavía no resuelve

Mantis es prometedor, pero no debe venderse como solución mágica. El propio proyecto advierte que los agentes pueden generar código inestable o acciones inesperadas, por lo que debe usarse en entornos aislados y restringidos. También recalca que no se deben enviar reportes masivos no verificados a mantenedores open source, porque los falsos positivos generados por IA pueden saturar comunidades y equipos de seguridad.

11. Cómo deberían usarlo las empresas

Para una empresa, universidad, entidad pública o equipo DevSecOps, Mantis debe verse como una base experimental para crear un pipeline interno de revisión agentic, no como una herramienta para lanzar sin control sobre todos los repositorios. El mejor enfoque es comenzar con proyectos pequeños, entornos aislados, reglas internas, repositorios no sensibles y revisión humana obligatoria.

12. Preguntas clave

Recomendamos

En resumen

Google ha dado un paso importante al liberar Mantis como toolkit open source para revisiones de seguridad con agentes de IA. La propuesta no es confiar ciegamente en modelos generativos, sino estructurar su uso mediante skills, contexto jerárquico, threat modeling, revisión especializada, sandboxing, reproducción de fallos, generación de parches y validación humana.

La lección es clara: si los agentes de IA van a escribir cada vez más código, también necesitamos agentes, reglas y pipelines capaces de revisar ese código a la misma velocidad. Mantis apunta precisamente a esa nueva etapa del DevSecOps: seguridad asistida por IA, pero con controles, aislamiento y responsabilidad humana.