¿Es realmente necesario usar tantas cosas para programar con agentes?

Abres un proyecto nuevo. Antes de escribir una línea ya instalaste algo para ahorrar tokens, algo para armar el plan de desarrollo y un par de skills para tu agente.

Tu agente lee el README de cada uno. ¿Tú también?

01Escribir código ya no es negocio

Con todo lo que cambió la industria, crear herramientas hoy es mucho más fácil. Cada ingeniero se las ingenia para trabajar como mejor le acomoda y como mejores resultados le da. Está bien.

Estamos en la era de crear cosas. El arte de escribir código, lamentablemente, ya no es rentable. Hoy es un lujo, algo exótico que no vale mucho en un mundo que corre a mil kilómetros por hora.

Yo extraño el código. Así que tuve que aprender a querer otra cosa: crear herramientas y productos, cosas que antes me pedían mucho más tiempo y dinero.

Creo que la clave para no vivir triste es darte cuenta de que se abren puertas. Aceptar lo que queda, aprender y adaptarte.

02¿Hace falta tanto?

Aprendiendo de estos cambios hice mis propias herramientas: NvSinner, Sinscribe y Herdsidian. Soy parte de la ola.

Y la ola creció. En GitHub hay muchísimas más, incluso en exceso. Conozco personas que usan un montón de proyectos para ahorrar tokens, para armar planes de desarrollo, para tal cosa.

A veces me pregunto si de verdad es necesario. Quiero creer que les sirve, y seguro es su manera de trabajar, con un montón de dependencias. Va, está bien.

Pero, ¿no les da miedo?

03¿Cada cuánto pasa algo malo?

Barracuda contó las vulnerabilidades reportadas en software de IA (MCP, LangChain, PyTorch y parecidos): 874 en todo 2025 y 1.249 en los primeros cinco meses de 2026. Según su análisis, 2026 va camino de más que duplicar a 2025.

Ojo con el alcance: el conteo es de software de IA, el que hoy rodea a los agentes, no de todo el software.

Y cada par de semanas pasa algo. Estos son cinco casos de este año:

1. 01
   Marzo, axios, más de 100 millones de descargas semanales en npm. Dos versiones maliciosas sumaron una dependencia cuyo postinstall instalaba un troyano de acceso remoto en macOS, Windows y Linux.
2. 02
   Mayo, node-ipc, más de 10 millones de descargas semanales. El código recolectaba más de 90 categorías de credenciales y leía la configuración de herramientas de IA, ~/.claude.json incluido.
3. 03
   Mayo, Mini Shai-Hulud. Robaron la cuenta de un mantenedor de @antv, y un preinstall se llevaba credenciales de GitHub, AWS, npm, Kubernetes y Vault durante el npm install.
4. 04
   Agosto, ChainDrop, más de 400 paquetes de publicadores distintos. Además de robar credenciales, podía meter .claude/settings.json y .vscode/tasks.json en repositorios para volver a ejecutarse con el próximo uso de Claude o VS Code.
5. 05
   Noviembre, desde el día 10, wfx-loot. 4.837 cuentas de GitHub secuestradas abrieron pull requests en 61.764 repositorios, y el código corrió en más de 1.800. Busca secretos de Actions, credenciales de la nube y de proveedores de IA como OpenAI, Anthropic, Cursor y Copilot.

En axios, Mini Shai-Hulud y ChainDrop el código entra por el mismo lado: un script que npm corre solo durante la instalación. Hoy es así de fácil bajarte algo malicioso.

04Cuando tu propio agente te traiciona

Hasta acá hablé de código. Lo nuevo es que el ataque también puede ser texto.

Un estudio llamado ReadSecBench escondió instrucciones en 500 archivos README y los probó con Claude, GPT-4 y Gemini. Según la nota de la Cloud Security Alliance que lo resume, las órdenes directas en el README principal funcionaron cerca del 84% de las veces. Más de cuatro de cada cinco. Y de 15 personas que revisaron esos archivos, el 93% no vio el ataque.

La nota describe agentes que terminan enviando archivos del proyecto por correo o sacando variables de entorno.

Con los skills pasa algo parecido. Snyk revisó 3.984 skills para agentes: el 36,82% tenía al menos una falla de seguridad, más de uno de cada tres, y 76 eran directamente maliciosos, hechos para robar credenciales, dejar puertas traseras y sacar datos.

Lo que me preocupa es simple: que mi agente lea un .md malicioso y mande mis credenciales y mis cookies en una petición HTTP. Y no enterarme, porque ahora, con la IA haciendo el trabajo, le prestamos menos atención a lo que hacemos.

05Lo que hago yo

Me mudé a pnpm. Desde la versión 10, pnpm no corre los scripts de instalación de las dependencias salvo que los permitas. En el repo de este sitio solo dos paquetes tienen permiso:

"pnpm": {
  "onlyBuiltDependencies": [
    "sharp",
    "unrs-resolver"
  ]
}

Eso le quita la puerta por la que entraron axios, Mini Shai-Hulud y ChainDrop. Pero node-ipc no necesitaba ningún script de instalación: corría al cargar el paquete. pnpm me cierra una puerta, no todas.

El resto es atención. Leo lo que instalo antes de instalarlo, y miro qué está leyendo mi agente. Un README, un skill o un archivo de configuración también son instrucciones para algo que tiene acceso a mi máquina.

06Sin piloto automático

Esta nota es lo que siento, nada más.

Usa las herramientas que te sirvan. Yo uso las mías. Solo tengamos conciencia de lo que hacemos y no trabajemos en piloto automático.

Porque a este ritmo no me sorprendería ver pronto a devs jóvenes con su propio IDE: TikTok integrado en el panel lateral para calmar la ansiedad mientras el agente trabaja, y un botón de "aceptar todo" para las dependencias que nadie leyó. Lo van a llamar productividad.

¿Sabes qué instaló tu agente la última vez que le pediste agregar una dependencia?

También puedes leer esta nota en inglés.