Más allá del prompt: cómo funciona el motor de orquestación de GitLab Duo Agent Platform

Imagine que su empresa incorpora un equipo de especialistas: uno organiza el trabajo, otro escribe código, otro vigila la seguridad y otro mantiene los pipelines en marcha. Todos coordinados, trabajando en paralelo y sin que sea necesario indicar a cada uno qué hacer paso a paso. Esa es, en esencia, la propuesta de GitLab Duo Agent Platform: agentes de inteligencia artificial que operan directamente dentro de la plataforma DevSecOps.

En esta entrada se aborda el funcionamiento técnico de GitLab Duo Agent Platform: qué diferencia a un agente de un asistente, cómo está construida la plataforma internamente y qué ocurre cuando un agente resuelve un pipeline roto o genera un Merge Request con una vulnerabilidad SAST corregida.

Si su empresa está evaluando cómo llevar la IA más allá de los asistentes de código, Hopla! y GitLab abordarán este enfoque en el webinar “Agentic AI for DevSecOps”, donde se explicará cómo los agentes autónomos pueden ayudar a orquestar el SDLC completo: desde la planificación y el código hasta pipelines, seguridad y despliegue.

El webinar se celebrará el 29 de julio a las 16:00 h (GMT+2). Puede consultar los detalles y reservar su plaza aquí:
Inscribirse al webinar Agentic AI for DevSecOps

La brecha que los code companions no cierran

Los asistentes de código como GitHub Copilot, Cursor o Windsurf han supuesto un avance real en productividad durante la fase de escritura de código. Sin embargo, el coding representa, según el propio GitLab DevSecOps Report 2026, entre el 15 % y el 20 % del ciclo de vida del software.

El 80 % restante —revisión de código, resolución de pipelines, escaneo de seguridad, gestión de vulnerabilidades y deployment— sigue siendo mayoritariamente manual. El resultado es una paradoja: el código se escribe más rápido, pero el software tarda lo mismo en llegar a producción. Los cuellos de botella simplemente se han desplazado del IDE hacia el resto del flujo.

Añadir más herramientas de IA aisladas no resuelve este problema; puede amplificarlo. El 49 % de los equipos DevSecOps utilizan más de cinco herramientas de IA diferentes de forma simultánea, lo que genera silos de información y hasta siete horas perdidas por persona y semana en cambios de contexto.

Qué es un agente de IA y en qué se diferencia de un asistente

La diferencia entre un asistente generativo y un agente autónomo no es cosmética. Es arquitectónica.

Un asistente generativo, como el modelo anterior de GitLab Duo, funciona en modo reactivo: recibe un prompt, genera una respuesta y espera la siguiente instrucción. La interacción es de un solo turno. La persona usuaria toma todas las decisiones y ejecuta todas las acciones.

Un agente autónomo, como los que habilita GitLab Duo Agent Platform, opera de forma distinta:

• Descompone tareas complejas en planes de varios pasos sin necesidad de instrucciones paso a paso.
• Usa herramientas para actuar: crea issues, abre Merge Requests, ejecuta análisis de seguridad y consulta logs de pipelines.
• Toma decisiones en función del contexto del proyecto: no solo responde, también actúa.
• Orquesta workflows completos que antes requerían coordinación humana entre etapas.
• Trabaja en modo asíncrono, con supervisión humana cuando el flujo lo requiere, mediante human-in-the-loop, y no de forma constante.

El ejemplo más claro es un pipeline roto. Un asistente generativo puede sugerir cómo corregirlo. Un agente analiza los logs de forma autónoma, identifica la causa raíz, genera el fix y abre un Merge Request con la corrección propuesta, sin que el equipo tenga que revisar manualmente cientos de líneas de log.

La arquitectura de tres capas de GitLab Duo Agent Platform

GitLab Duo Agent Platform no es una herramienta instalada encima de GitLab. Es una capa de inteligencia integrada de forma nativa en la plataforma y construida sobre tres capas que trabajan de forma coordinada.

Capa 1: UX, Agents & Flows

Es la capa con la que interactúa directamente el equipo de desarrollo. Incluye:

• Agentic Chat: el asistente contextual disponible en la UI de GitLab, en VS Code, JetBrains, Cursor y Windsurf. A diferencia del chat generativo anterior, tiene acceso en tiempo real a issues, Merge Requests, pipelines, resultados de seguridad y código del repositorio. Puede razonar en múltiples pasos y ejecutar acciones.
• AI Catalog: el repositorio central donde se publican, gestionan y comparten todos los agentes y flujos de la organización. Los administradores controlan qué agentes están disponibles, para quién y con qué permisos.
• Interoperabilidad nativa: Claude Code, de Anthropic; Codex CLI, de OpenAI; Cursor; Windsurf; y otros agentes externos se integran directamente como agentes de primera clase dentro del catálogo.

Capa 2: Agentic Orchestration

Es el motor que permite que los agentes actúen de forma coordinada ante eventos del SDLC, no solo cuando alguien les plantea una pregunta. Se articula en tres mecanismos:

• SDLC Event Hooks: los agentes se suscriben a eventos de la plataforma, como un pipeline fallido, una vulnerabilidad detectada o la creación de un issue, y actúan automáticamente como primera línea de respuesta.
• Multi-agent Flows: flujos personalizados con múltiples agentes trabajando en conjunto, con inputs y outputs definidos. Son, en palabras del propio GitLab, “los CI/CD pipelines para agentes”. Un Flow puede encadenar la detección de un issue, el análisis de contexto, la generación de código, la apertura de un Merge Request y la notificación al equipo.
• MCP integrado, mediante Model Context Protocol: conexión nativa con herramientas externas como Jira, Zendesk y ServiceNow. Los agentes pueden traer contexto desde cualquier sistema externo y también pueden ser invocados desde esas herramientas.

Capa 3: Knowledge Graph

El Knowledge Graph es el diferenciador técnico que explica por qué los agentes de GitLab Duo Agent Platform pueden trabajar con un contexto más amplio. Se trata de una base de datos de grafo que conecta:

• Code Index cross-repositorio: un índice vectorizado del código de toda la organización que permite a los agentes entender dependencias, patrones y contexto a escala real, no solo el archivo abierto en el IDE.
• Full SDLC graph database: el grafo conecta issues con commits, commits con pipelines, pipelines con resultados de seguridad y resultados de seguridad con deployment. Los agentes pueden atravesar este grafo para realizar una investigación profunda.
• Contexto unificado: cuando un agente analiza un fallo de seguridad, no solo ve la línea de código afectada. También ve el epic al que pertenece, los commits que introdujeron el cambio, el historial de pipelines de esa rama y la documentación asociada.

Los tres bloques tecnológicos de la plataforma

Por debajo de las tres capas, la plataforma se apoya en tres componentes que pueden desplegarse de formas distintas según las necesidades del cliente.

GitLab Platform es donde residen el código, los pipelines y los flujos. Puede ser GitLab.com, en modelo SaaS; GitLab Dedicated, en modalidad single-tenant; o GitLab Self-Managed, en entornos on-premises o nube privada.

GitLab AI Gateway, o AIGW, es el servicio independiente que actúa como punto de acceso seguro a los modelos de lenguaje. Su función es crítica: desacopla completamente la plataforma de los proveedores de IA. Esto significa que cambiar de modelo —de Claude a GPT, de GPT a Gemini o a un modelo local— no requiere modificar la configuración de GitLab. El AIGW gestiona autenticación de APIs, rate limiting, anonimización de datos y logging de auditoría.

Los Large Language Models son los motores de razonamiento. Entre ellos se citan Claude Sonnet, de Anthropic; GPT-5 Codex/Mini, de OpenAI; Gemini Flash, de Google; Codestral, de Mistral; y modelos self-hosted para entornos air-gapped. Los administradores pueden configurar qué modelo usa cada función según criterios de privacidad, coste o capacidad.

Tres casos de uso técnicos en detalle

Resolución automática de pipelines

Cuando un pipeline falla en CI/CD, sin GitLab Duo Agent Platform un desarrollador debe abrir los logs, leer cientos de líneas de output, identificar la causa raíz y proponer un fix. Con DAP, el flujo cambia:

1. El SDLC Event Hook detecta el fallo y activa el agente de resolución.
2. El agente analiza los logs completos de forma autónoma.
3. Cruza el error con el Knowledge Graph, incorporando el contexto del commit que introdujo el cambio y el historial de pipelines similares.
4. Identifica la causa raíz y genera un Merge Request con la corrección propuesta.
5. Notifica al desarrollador, que revisa y aprueba el Merge Request con un clic.

Resultado medido en producción: aproximadamente 1,5 horas ahorradas por fallo de pipeline resuelto y ROI estimado de 16× sobre el coste de los créditos consumidos.

Remediación SAST con generación de Merge Request

Cuando el escáner SAST detecta una vulnerabilidad, por ejemplo el uso de un algoritmo criptográfico débil CWE-327 en un JWT token con severidad crítica, el flujo puede desarrollarse así:

1. El Security Analyst agent recibe el evento de vulnerabilidad detectada.
2. Analiza el contexto completo del código afectado a través del Knowledge Graph.
3. Explica la vulnerabilidad en lenguaje natural con el impacto específico para ese caso.
4. Genera automáticamente un Merge Request con el código corregido.
5. El Merge Request requiere aprobación humana antes de integrarse en la rama main. La IA no omite los controles de gobernanza.

Resultado: coste de 3,90 dólares por remediación asistida frente a 112,50 dólares del proceso manual. El MTTR, Mean Time to Remediate, pasa de meses a días, con un ROI de 30×.

Flujo de issue a Merge Request

Cuando un desarrollador crea un issue describiendo una nueva funcionalidad, el Software Engineer agent puede:

1. Analizar el issue y el contexto del repositorio mediante el Knowledge Graph.
2. Proponer la arquitectura de la solución.
3. Generar el código de la feature con tests incluidos.
4. Crear el Merge Request listo para code review.

Lo que antes podía requerir días —análisis, planificación, implementación inicial y tests— se comprime a minutos. El desarrollador revisa, itera y aprueba. En los Merge Requests generados por Software Dev Flow, se indica un 95 % de cobertura de tests.

Despliegue en entornos regulados: air-gapped y self-managed

Una de las preguntas más frecuentes en entornos enterprise es si el código puede salir de la infraestructura de la organización. Con GitLab Duo Agent Platform, la respuesta es que no tiene por qué hacerlo si así se decide.

El modelo air-gapped, con licencia Offline, permite operar completamente sin conectividad a servidores externos de GitLab. El cliente despliega su propio AI Gateway junto a modelos self-hosted, como DeepSeek, Mistral o LLaMA, en infraestructura propia. Sin llamadas externas. Este enfoque resulta especialmente relevante para sectores como defensa, banca, gobierno o salud.

El modelo Self-Managed + Self-Hosted Models, con licencia Cloud, permite usar modelos alojados en los cloud providers del cliente, como Amazon Bedrock, Google Vertex AI, OpenAI con cuenta propia o Anthropic Claude en instancia propia, con el AI Gateway dentro del perímetro del cliente.

La elección del modelo de despliegue no afecta a las capacidades de IA disponibles: el AI Gateway garantiza consistencia funcional en todos los modos.

Del asistente reactivo a la orquestación agéntica del SDLC

GitLab Duo Agent Platform representa un cambio relevante respecto a los asistentes generativos centrados en el IDE. Su foco no está solo en acelerar la escritura de código, sino en coordinar agentes capaces de actuar sobre eventos del ciclo de vida del software, apoyarse en el contexto del Knowledge Graph y generar resultados revisables por equipos humanos.

Para organizaciones que ya trabajan con GitLab y que buscan reducir fricción en pipelines, seguridad, revisión y despliegue, el valor de DAP reside en llevar la IA más allá del prompt: hacia workflows DevSecOps completos, trazables y gobernados.

Preguntas frecuentes

Próximos pasos con Hopla!

¿Su empresa necesita evaluar cómo integrar GitLab Duo Agent Platform en su entorno DevSecOps, identificar quick wins, definir el modelo de despliegue adecuado y estructurar un piloto con ROI demostrable?
Hopla! es Partner GitLab autorizado. Contacte con nuestro equipo y analice el siguiente paso para su proyecto tecnológico.