JFrog AI Catalog se convierte en plano de control para blindar a los agentes de IA que escriben código

JFrog ha publicado en su blog corporativo una actualización sobre la evolución de su producto AI Catalog, presentado originalmente en su evento swampUP de 2025 como un registro seguro de modelos de IA y que ahora se reposiciona como lo que la compañía llama un "plano de control" (control plane) para lo que denomina el Ciclo de Vida de Desarrollo Agéntico (ADLC, por sus siglas en inglés). Conviene leer el artículo con perspectiva crítica: es contenido de marketing firmado por un responsable de gestión de producto de la propia empresa, publicado para promocionar su plataforma, así que las afirmaciones sobre capacidades y ventajas frente a la competencia deben tomarse como el argumentario comercial que son, aunque los datos concretos sobre incidentes de seguridad que cita sí aportan valor informativo real.

La tesis central del texto es que el salto del clásico SDLC (ciclo de vida de desarrollo de software, donde un humano escribe código que se convierte en un binario) al ADLC (donde una especificación se entrega directamente a un agente de IA que genera el código) ha roto los modelos de seguridad tradicionales. Según JFrog, un agente de codificación no es un componente único que se audita una vez, sino un ensamblaje dinámico de piezas que provienen de fuentes externas distintas, cada una arrastrando su propia cadena de suministro no verificada: modelos de lenguaje (locales, ajustados o accedidos vía API externas), servidores MCP (Model Context Protocol, que permiten al agente ejecutar acciones), "skills" y plugins (paquetes de instrucciones, scripts y recursos), reglas explícitas de comportamiento, "hooks" (scripts que se disparan automáticamente en puntos concretos de la ejecución del agente) y paquetes gestionados mediante APM (Agent Package Manager, un gestor de dependencias de código abierto pensado específicamente para agentes de IA). El argumento de JFrog es que ninguno de estos elementos pasa por las revisiones de seguridad que normalmente se aplican a una dependencia de software convencional.

El artículo respalda esta preocupación con varios ejemplos concretos de ataques ya detectados, atribuidos a su propio equipo de investigación de seguridad. Cita un servidor MCP malicioso que suplantaba al servicio de correo Postmark, el cual lograba pasar revisiones superficiales y, una vez en ejecución, copiaba en oculto (BCC) cada correo enviado por el agente a un actor malicioso. Menciona también el incidente bautizado como "omnicogg", en el que una "skill" aparentemente inofensiva ocultaba un archivo de 22 MB diseñado para ejecutar una carga útil codificada; ese paquete habría superado los 65 motores de detección de VirusTotal y acumulado más de 5.000 instalaciones en 19 días antes de ser descubierto por los investigadores de JFrog. El texto añade que ataques de cadena de suministro registrados en 2026 contra proyectos como LiteLLM, TanStack y Mistral AI demuestran que las dependencias de IA son tan vulnerables como los binarios tradicionales, con el agravante de que los agentes autónomos amplían el radio de impacto a la velocidad de la máquina. El patrón común que señala JFrog es que estos ataques burlan el escaneo basado en firmas (comparar un archivo contra una lista de hashes ya conocidos como maliciosos), un método que por definición es ciego ante una amenaza nueva que aún no figura en esa lista.

A partir de estos casos, JFrog describe lo que dice haber escuchado de equipos de seguridad y plataformas: la ausencia de una fuente única y confiable para vetar y distribuir activos de IA aprobados, la falta total de visibilidad sobre qué skills, plugins y servidores MCP consumen realmente los agentes de forma dinámica, y el hecho de que los controles de seguridad y las puertas de CI/CD tradicionales, pensados para binarios estáticos, no están capacitados para inspeccionar estos nuevos activos ejecutables.

Como respuesta, la compañía detalla la ampliación de AI Catalog más allá del registro de modelos original (que ya integraba Hugging Face, NVIDIA NIM, proveedores externos y modelos propios ajustados). El producto incorpora ahora un Registro MCP para definir qué servidores MCP están permitidos por proyecto y restringir llamadas a herramientas específicas; un Registro de Agent Skills que exige firma, verificación y escaneo antes de que un agente pueda ejecutar una skill; un Registro de Plugins con el mismo tratamiento; y Agent Packages, que empaquetan todo el contexto y árbol de dependencias de un agente en un único paquete versionado conforme al estándar abierto APM. Todos estos activos se almacenan como artefactos versionados y trazables dentro de Artifactory, el repositorio de binarios que la empresa ya comercializa.

Sobre esa base, JFrog añade dos mecanismos de detección: un "escaneo semántico" que, según describe, analiza qué instruye realmente un activo a hacer al agente en lugar de limitarse a comparar hashes contra listas de amenazas conocidas; y una función de detección de "Shadow AI" que clasifica automáticamente cada activo de IA presente en el entorno como gestionado, no gestionado, parcialmente gestionado o malicioso. La pieza de aplicación en tiempo de ejecución se llama Agent Guard, que se instala mediante los plugins oficiales de JFrog para agentes de codificación como Claude Code, Cursor, VS Code, OpenCode y Codex, y que comprueba cada llamada a una herramienta MCP o a una skill contra las políticas de la organización en el momento de la ejecución, independientemente del entorno o "harness" de agente que use cada desarrollador.

El artículo cierra con un posicionamiento explícitamente competitivo: sostiene que la mayoría de las soluciones de gobernanza o seguridad de IA del mercado funcionan como sistemas paralelos a la cadena de suministro de software existente (registro aparte, pasarela aparte, motor de políticas aparte, rastro de auditoría aparte), lo que obliga a reconciliar manualmente varios sistemas cada vez que un equipo de cumplimiento normativo hace una pregunta. Frente a eso, JFrog defiende que su enfoque trata modelos, servidores MCP, skills, plugins y paquetes de agentes como artefactos de primera clase dentro del mismo sistema de registro que ya alberga los binarios de una empresa, con un único modelo de control de acceso basado en roles y un único rastro de auditoría, compatible con cualquier agente de codificación de origen. El propio texto invita a solicitar una demostración con un ingeniero de soluciones de JFrog, lo que confirma su naturaleza de pieza promocional dentro de una estrategia de contenidos de producto, aunque el diagnóstico que ofrece sobre los riesgos reales de seguridad en el desarrollo asistido por agentes de IA resulta un dato de interés independiente de la solución concreta que la compañía vende para resolverlo.