✓ Sobrevivió Puesto 2 de 14 propuestasIndie Seguridad 17 oct 2026

Atestación de revisión humana para pull requests escritos por agentes

Prueba de nivel auditable de que una persona revisó realmente cada cambio escrito por un agente, mapeada a controles SOC2, con nueva aprobación en los commits sin respaldo.

Abrir el debate ↗

Un brief listo para pegar en Claude Code, Cursor o cualquier agente de programación (en inglés).

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Human-review attestation for agent-authored pull requests
What it is: Audit-grade proof that a human actually reviewed each agent-written change, mapped to SOC2 controls, with re-approval on unvouched commits.
Who pays: Compliance-minded engineering leads and GRC managers at SOC2-bound SaaS companies adopting coding agents, $300–1,500/mo on the compliance/security budget
Closest alternatives: GitHub CODEOWNERS + branch protection, LinearB / Swarmia (eng metrics, not audit), Vanta/Drata (control checklists, no per-commit evidence)
The gap: Branch protection proves an approval click happened, not that a human meaningfully reviewed an agent-written diff; GRC platforms track controls but collect no per-commit review evidence. Nothing ties agent provenance, risk tier, review depth, and flag-activation events into an auditor-ready trail.
Why now: Enterprises are rolling out coding agents in 2025 while auditors are only now encountering agent-authored code; SOC2 reviewers are beginning to ask how human review is enforced, and no tooling answers it.
Moat to build toward: Becomes the system of record for review compliance; historical attestation data and auditor integrations create switching costs.
Biggest risk: GitHub or the GRC platforms (Vanta/Drata) add a native 'AI-authored code' control and evidence collector, absorbing the feature.

First three steps:
1. GitHub App that tags PRs as human- or agent-authored, enforces a second-human approval rule for agent PRs, and invalidates approvals on post-approval agent pushes
2. Evidence capture: records review time-on-diff, comments, and reviewer identity into an exportable, tamper-evident audit log mapped to SOC2 CC controls
3. Flag-activation hook: turning on a feature flag for agent-written code triggers a required review checkpoint

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

Total6.4/10

Dolor6

Disposición a pagar6

Momento8

Hueco6

Foso5

Viabilidad8

A favor

Quién paga

Responsables de ingeniería con foco en cumplimiento y gerentes de GRC en empresas SaaS sujetas a SOC2 que adoptan agentes de código, $300–1,500/mes del presupuesto de cumplimiento y seguridad

Lo que dijo la gente · 2

Cuestiona cómo una aprobación solo del autor pasa SOC2, indicando que su auditor exigió al menos otro humano que revisara el código, y plantea preocupaciones de amenaza interna. Leer el comentario ↗
Señala que las fusiones 'de bajo riesgo' controladas por flags trasladan el riesgo real a la activación del flag, algo que los niveles de revisión actuales no capturan. Leer el comentario ↗

Parafraseado del debate. Sigue los enlaces para ver los comentarios originales.

Competidores y hueco

GitHub CODEOWNERS + branch protectionLinearB / Swarmia (eng metrics, not audit)Vanta/Drata (control checklists, no per-commit evidence)

La protección de ramas demuestra que se hizo clic en una aprobación, pero no que una persona revisara de forma significativa un diff escrito por un agente; las plataformas de GRC rastrean controles, pero no recopilan evidencia de revisión por commit. Nada vincula procedencia del agente, nivel de riesgo, profundidad de revisión y eventos de activación de flags en un registro listo para auditoría.

Por qué ahora

Las empresas están desplegando agentes de código en 2025 mientras los auditores apenas empiezan a encontrarse con código escrito por agentes; los revisores de SOC2 empiezan a preguntar cómo se garantiza la revisión humana, y no hay herramientas que respondan a eso.

Foso · 5/10

Se convierte en el registro oficial del cumplimiento de revisiones; los datos históricos de atestación y las integraciones con auditores generan costos de cambio altos.

En contra

Equipo rojo: Los auditores apenas están conociendo el código escrito por agentes y ninguna herramienta vincula la procedencia del agente con la evidencia de revisión humana por commit para SOC2, aunque GitHub podría cerrar gran parte de la brecha con funciones de procedencia.
Qué la haría fracasar: GitHub o las plataformas de GRC (Vanta/Drata) añaden un control nativo de 'código escrito por IA' y un recolector de evidencia, absorbiendo la funcionalidad.

Empezar

Primeros tres pasos: GitHub App que etiqueta los PR como escritos por humanos o por agentes, exige la aprobación de una segunda persona para los PR de agentes e invalida las aprobaciones tras nuevos pushes del agente
Captura de evidencia: registra el tiempo dedicado al diff, los comentarios y la identidad del revisor en un registro de auditoría exportable e infalsificable, mapeado a los controles SOC2 CC
Hook de activación de flags: activar un feature flag para código escrito por un agente dispara un checkpoint de revisión obligatorio
Debate original: How the Claude Code team does code review ↗ 447 puntos438 comentariosDe los comentariosArtículo enlazado

Traducido del inglés. Leer el original

A favor

En contra

Empezar

Más de esta edición