Consola de triaje

comprobando sesión…

Triaje Lectura Grafo

2026-09-15

Tres vendors publican skills para coding agents el mismo dia y el formato se consolida

14 items · 6 hallazgos · 8 radar

explorar 2

probar 3

leer 1

vigilar 7

Descartados y sin acción 1

J/K mover E explorar P probar L leer V vigilar X descartar G grafo ↵ abrir ficha

Selecciona un item del tablero
o pulsa J para empezar.

probar hallazgo 01 · #agent-memory-layer pick

rlaope/oh-my-hermes

1.283★ · 93 forks · Python · NOASSERTION

Qué es

plugin open-source para Hermes Agent de Nous Research que añade una capa operativa sobre el agente: planning, research, creation, coding handoffs, operations y memoria de proyecto con "evidence boundaries" explícitas. Se instala con curl … | sh o pegando un prompt al propio agente (el repo incluye INSTALL_FOR_AGENTS.md).

Cómo encaja

rlaope/oh-my-hermes hermes-agent

complements · relación nueva de hoy

rlaope/oh-my-hermes evidence-boundaries

implements · relación nueva de hoy

rlaope/oh-my-hermes agent-memory-layer

implements · relación nueva de hoy

rlaope/oh-my-hermes stack:local-first-agent

relevant_to · relación nueva de hoy

Por qué importa

Si tu setup de Hermes Agent ya rueda sobre Ollama/DeepSeek + Obsidian, este plugin es el primer candidato a probar esta semana, porque monta sobre la base oficial de Nous Research (el repo lo declara explícitamente) y añade cinco capas operativas que el Hermes base no trae de serie: (a) evidence boundaries — cada output lleva un rastro verificable de qué contexto lo sustentó, de modo que puedas distinguir lo que el agente infirió de lo que realmente vio; (b) long-term memory con SQLite portable; (c) model pool intercambiable mid-flow; (d) specialists agrupados por dominio; (e) infrastructure primitives para delegar a otros agentes, con OpenCode y Crush ya soportados. CAVEATS honestos antes de meterlo como build-dep: el conteo total de estrellas (1.283) no lo pude verificar exacto — sólo las 77 de hoy están confirmadas, así que trátalo como orden de magnitud; la licencia figura como NOASSERTION vía API, lo que obliga a revisar el LICENSE real del repo antes de usarlo en algo serio; y la firma del repo declara dos colaboradores IA con handle propio (frirenai/Friren y sionic-khope/Killua), un guiño a la conversación de governance sobre autoría IA vs humana que, más allá del postureo, deja una trazabilidad inusual en este tipo de proyectos.

instalar con el curl one-liner, validar que el plugin carga en Hermes sin pisar skills existentes y reportar fricciones

Alerta honesta

rlaope/oh-my-hermes: el README declara 1.283★ pero el dato no se pudo verificar de forma independiente; tratarlo como immature hasta ver adopción real

Abrir ficha Grafo ↗

leer hallazgo 03 · #coding-agent-skill pick

cloudflare/security-audit-skill

4.284★ · 279 forks · JavaScript · MIT

Qué es

skill open-source (MIT) para coding agents que ejecuta auditorías de seguridad en seis fases: reconocimiento (mapear arquitectura, trust boundaries, surfaces), coverage-led hunting con hunters aislados, validación independiente de cada candidato, output estructurado (findings.json con verdicts confirmed / needs_validation / rejected), verificación independiente de records y reporting target-neutral. Es el "single-repo starting point" del sistema multi-stage fleet-wide que Cloudflare describe en Build your own vulnerability harness.

Cómo encaja

cloudflare/security-audit-skill coverage-led-hunting

implements · relación nueva de hoy

cloudflare/security-audit-skill vulnerability-discovery-at-scale

solves · relación nueva de hoy

cloudflare/security-audit-skill cloudflare

relevant_to · relación nueva de hoy

cloudflare/security-audit-skill coding-agent-skill

complements · relación nueva de hoy

Por qué importa

Tres razones para mirarlo en serio. Primera, el repo es opinionated sobre cobertura: cada ledger unit tiene que cubrirse, cada candidato de vulnerabilidad tiene que poder ser invalidado y los reports se derivan de records verificados, no de prosa — eso lo acerca más a una metodología de pentest reproducible que a un script de SAST. Segunda, trae un ATTACK-CLASSES.md que enumera ocho familias de patrones — prompt-injection, agent/tool abuse, output-handling, memory-safety, supply-chain, cloud-and-deployment, RPC-and-messaging y resource-exhaustion — útil como checklist cuando auditas tu propio stack de agentes. Tercera, es el "single-repo starting point" del sistema multi-stage fleet-wide que Cloudflare describe en Build your own vulnerability harness, donde el harness original descubrió vulnerabilidades reales citadas en el blog; este skill baja la barrera para reproducir esa metodología en cualquier repo. CAVEAT honesto: el propio repo se describe como un entry point, no como una suite completa, así que para auditorías serias probablemente necesites adaptarlo a tu dominio. No verifiqué los topics en el repo — el JSON de entrada los marca como no visibles.

estudiar la metodología de seis fases y replicarla manualmente en un proyecto propio antes de invertir tiempo en adaptar el skill — el valor real está en el marco mental, no en el script

Abrir ficha Grafo ↗

probar hallazgo 04 · #ai-code-review

alibaba/open-code-review

26.504★ · 1.905 forks · Go · Apache-2.0

Qué es

AI code review CLI originado como el asistente oficial interno de Alibaba Group ("tens of thousands of developers, millions of defects" según el README). Lee Git diffs, los pasa a un LLM configurable con agent tool-use (puede leer archivos completos, buscar en el codebase, inspeccionar otros cambios para contexto) y emite comentarios estructurados con precisión línea-a-línea. Multi-idioma (en/zh/ja/ko/ru), badges OpenSSF Gold y DeepWiki badge.

Cómo encaja

alibaba/open-code-review ai-code-review

implements · ya cubierto el 2026-07-24

alibaba/open-code-review alibaba

relevant_to · ya cubierto el 2026-07-24

alibaba/open-code-review claude-code

complements · ya cubierto el 2026-07-24

alibaba/open-code-review ci-integration

relevant_to · ya cubierto el 2026-07-24

Por qué importa

Ya cubrimos a alibaba/open-code-review el 2026-07-24 como ejemplo de AI code review y como pieza relevante para CI, así que aquí lo que toca es leer qué ha cambiado desde entonces y si las caveats de entonces siguen vigentes. La señal de madurez sigue siendo de peso: dos años de validación interna en Alibaba con "tens of thousands of developers, millions of defects" según el README, badge OpenSSF Gold, DeepWiki badge, 26.504★ y 1.905 forks, y release reciente empujándolo al trending. La adopción técnica sigue siendo la misma de entonces: npm install con los paquetes @alibaba-group/open-code-review, configurar el endpoint del modelo y correr, con soporte declarado para Claude Code, Codex y Cursor. Los caveats que ya marcamos en julio siguen aplicando: (a) sigue siendo "bastante nuevo fuera de Alibaba" y la comunidad open-source fuera de China es aún pequeña; (b) el README sigue sin detallar benchmarks de calidad de review frente a alternativas como Codereviewer, Graphite Reviewer o Coderabbit OSS; (c) la tracción en stars/forks sugiere que el grueso del uso sigue siendo intra-org. Aún así, el pedigree Alibaba + OpenSSF Gold lo mantienen como merecedor de probarlo en CI para un equipo mediano antes de pagar por SaaS.

instalar vía npm en un repo de tamaño medio, correr contra PRs reales durante una semana y comparar con reviewers humanos en métricas de false-positive y catch-rate

Alerta honesta

alibaba/open-code-review: los caveats de julio (release reciente, npm packages sin trayectoria larga) siguen vigentes; release nuevo no los resuelve

Abrir ficha Grafo ↗

explorar hallazgo 06 · #multi-agent-self-hosted

TencentCloud/Octop

2.303★ · 233 forks · Python · MIT

Qué es

asistente AI open-source, self-hosted (MIT, Python 3.12+, pypi octop). Aterriza como "digital life form" operativa en paralelo para equipos, familias e individuos — con multi-tenancy real (JWT isolation), MBTI personas (16 plantillas), pluggable backends (local disk, Docker, Postgres, COS/S3), RAG sobre knowledge base privado, OAuth + MCP connector gateway y octop acp para delegar a IDE/terminal agents (OpenCode, Crush, etc.) vía ACP bidireccional.

Cómo encaja

TencentCloud/Octop multi-agent-self-hosted

implements · relación nueva de hoy

TencentCloud/Octop open-webui

complements · relación nueva de hoy

TencentCloud/Octop acp

implements · relación nueva de hoy

TencentCloud/Octop tencent-cloud

relevant_to · relación nueva de hoy

Por qué importa

Open WebUI democratizó el "chat con tus modelos self-hosted"; Octop sube un escalón al añadir multi-user real con JWT isolation, MBTI personas (16 plantillas), backends enchufables (local disk, Docker, Postgres, COS/S3), RAG sobre knowledge base privado, OAuth + un MCP connector gateway, y sobre todo octop acp, un canal ACP bidireccional para delegar a agentes de IDE/terminal (OpenCode, Crush, etc.). El detalle que más importa para devs: el ACP bidireccional convierte a Octop en un hub desde el que tu agente de IDE (Codex/Claude Code/Crush) puede pedir trabajo a un agente Octop especializado, replicando el patrón de background-agents popularizado por Ramp y ColeMurray pero con foco en self-hosted y multi-tenancy. CAVEATS honestos: el ecosistema de connectors viene sesgado hacia Tencent (Docs, Weibo trends, News, Feishu, DingTalk, QQ, WeCom), de modo que la adopción fuera de Asia requerirá escribir tus propios connectors — útil saberlo antes de imaginar un setup 100% plug-and-play. La versión 1.0.0 y la fecha de creación (2026-07-22) indican un proyecto joven pero ya con release mayor, así que vale la pena probarlo en local antes de llevarlo a un equipo.

instalar el pypi octop, montar Postgres como backend, conectar un MCP server propio y validar el flujo octop acp con un IDE agent — buena pieza editorial sobre "el hub multi-agent que faltaba"

Alerta honesta

TencentCloud/Octop: ecosistema de connectors sesgado hacia Tencent Cloud; la promesa self-hosted se debilila si dependes de COS o MCP propietarios

Abrir ficha Grafo ↗