CI/CD con agentes: IA en el pipeline

Con claude -p y GitHub Actions, los agentes se ejecutan automáticamente en el pipeline — sin preguntas de vuelta. Por eso necesitan controles: deciden los tests, no el agente.

La pieza base: llamadas headless

En un pipeline no hay ventana de chat. Por eso el punto de entrada es el modo headless: claude -p "prompt" resuelve una tarea y termina. Se pueden pasar datos por pipe (git diff main | claude -p "..."), y --output-format json entrega un resultado legible por máquina que incluye el coste — útil para scripts.

GitHub Actions

Para GitHub existe una action oficial (claude-code-action): reacciona a menciones a @claude en issues y PRs, o se ejecuta automáticamente con un prompt fijo — por ejemplo como review en cada pull request nuevo. La clave de API debe ir siempre en GitHub Secrets, nunca en el repositorio.

Controles: los tests antes que la confianza

La regla más importante: el output de un agente es código sin revisar. Tiene que pasar por los mismos controles que el código humano — tests, linter, build — antes de que se fusione nada. En la práctica esto significa: el agente crea un pull request en vez de hacer push directo, y una persona revisa antes del merge.

Los riesgos

Primero: sin preguntas de vuelta. Lo que el agente no pueda decidir, se aborta o se decide mal. Segundo: secretos — un agente en CI tiene acceso a todo lo que ve el runner; por eso hay que mantener los permisos lo más ajustados posible. Tercero: costes — sin límites como --max-turns y timeouts de workflow, las ejecuciones pueden salir caras sin que nadie se dé cuenta.

EJEMPLO

# Paso de GitHub Actions (resumido): - uses: anthropics/claude-code-action@v1 with: anthropic_api_key: ${{ secrets.ANTHROPIC_API_KEY }} prompt: "Revisa este PR en busca de bugs. Publica los hallazgos como comentario." claude_args: "--max-turns 10"

QUIZ RÁPIDO

¿Por qué se aplica en CI/CD la regla de 'los tests antes que la confianza' al output de un agente?