OpsAgents: Diez agentes LangGraph para trabajos en la nube y DevOps.
Un recorrido por diez agentes DevOps con intervención humana desarrollados con LangGraph, que abarcan desde Terraform y Kubernetes hasta análisis con Trivy, explicando las reglas de diseño y las lecciones aprendidas.
Fuentes: DevOps Agents From the 2026 Guide to a Real Working Repo in 10 Agents
Los ingenieros siguen preguntando lo mismo sobre los agentes DevOps, aunque con palabras diferentes: ¿existe realmente algo así? ¿Dónde está el código y puede ejecutarse hoy? Los conceptos solo sirven hasta cierto punto, por lo que la respuesta práctica es OpsAgents, un conjunto de diez agentes de IA para operaciones en la nube y DevOps, desarrollados con LangGraph y Python. Funciona tanto como herramienta de línea de comandos como servidor MCP.
Aviso de beta: OpsAgents está en versión beta. No lo utilice en entornos de producción. Pueden producirse cambios que rompan su funcionamiento sin previo aviso, y lo utiliza bajo su propio riesgo.
Reglas de diseño
Un humano confirma cada acción destructiva. Ya sea escalar una implementación, aplicar Terraform o activar un manual de procedimientos, todo hace que el agente se detenga y pregunte antes de que ocurra algo irreversible. No se trata de una configuración que se pueda desactivar, porque la infraestructura de producción no debería permitirlo.
Máquinas de estado, no cadenas de comandos frágiles. Cada agente es un grafo dirigido en el que el estado avanza a través de nodos. Si un paso falla a mitad de camino, el estado se conserva y el agente puede recuperarse. Gracias a los puntos de control, el agente sobrevive a un reinicio sin perder el progreso realizado.
Integraciones reales. Los agentes funcionan con AWS Cost Explorer, CloudWatch, CloudTrail, IAM, SSM y EC2, ejecutan operaciones reales en Kubernetes mediante kubectl, utilizan Trivy para escanear CVE de forma real y generan JSON para paneles de control de Grafana que se pueden integrar en una pila existente. Nada de esto es simulado o ficticio.
Varios proveedores de modelos. Claude, GPT-4, Gemini, Mistral y Ollama funcionan todos, y Ollama permite ejecuciones completamente locales sin conexión a Internet. El framework no depende de ningún proveedor en particular.
Dos formas de ejecutarlo
En modo CLI, puedes iniciar cualquier agente directamente desde la terminal, lo cual es adecuado para operaciones puntuales, scripting y pruebas.
En modo servidor MCP, OpsAgents se integra con Claude Code, Cursor, Codex o OpenCode, de modo que puedes interactuar con tu infraestructura como si fuera un compañero de equipo. Una vez que el servidor MCP está configurado en tu editor, cada agente se convierte en una herramienta que el editor puede utilizar. Puedes pedirle que escanee el clúster en busca de pods con problemas o que te informe sobre la factura de AWS de este mes; el agente adecuado se encargará de la solicitud y te mostrará un mensaje de confirmación antes de realizar cualquier cambio.
Los diez agentes
Agentes en la nube (AWS)
Proveedor de infraestructura. Este herramienta abarca todo el ciclo de vida de Infrastructure-as-Code. Describe lo que deseas en un lenguaje sencillo, como una VPC pública con dos subredes en diferentes zonas de disponibilidad, y genera el código completo en Terraform o CloudFormation. Luego verifica la sintaxis y ejecuta terraform plan, de modo que puedas ver exactamente qué cambiará antes de que se cree cualquier recurso, aplicando los cambios solo tras una confirmación interactiva. Después, puede auditar la cuenta de AWS en tiempo real y detectar desviaciones con respecto a la configuración registrada en Git, lo que permite identificar cambios manuales que evitan seguir el flujo de trabajo de IaC.
- Conversión de lenguaje natural a código completo en Terraform o CloudFormation, no solo a un esqueleto
- Validación de sintaxis y plan de prueba antes de la ejecución
- Aplicación de cambios con confirmación humana
- Detección de desviaciones entre el estado actual de AWS y la configuración registrada en Git
Seguridad y cumplimiento. Las cuentas de producción en AWS acumulan riesgos de forma silenciosa. Las políticas IAM se relajan con el tiempo, los grupos de seguridad se abren para depuración y nunca se cierran, y los buckets de S3 terminan mal configurados. Este agente realiza auditorías de forma continua en lugar de depender de revisiones ocasionales. Busca permisos tipo comodín en las políticas IAM y credenciales con privilegios excesivos, identifica grupos de seguridad de EC2 con acceso público (SSH abierto a 0.0.0.0/0 como ejemplo típico), y verifica los buckets de S3 en busca de falta de cifrado y acceso de lectura público. Los resultados se comparan con el CIS AWS Foundations Benchmark, por lo que se obtienen calificaciones de gravedad y no solo una lista simple.
- Análisis de IAM que abarca comodines, rutas de escalada y permisos no utilizados
- Auditorías de grupos de seguridad en busca de puertos públicos y accesos excesivamente abiertos
- Auditorías de S3 relativas al estado de cifrado y al acceso público
- Comparación de puntos de referencia de CIS con nivel de gravedad
Optimizador de costos. Las facturas de AWS contienen gastos innecesarios que nadie tiene tiempo de identificar manualmente: volúmenes EBS no conectados, instancias EC2 inactivas con un 3% de uso de CPU durante meses, IPs elásticas asignadas a nada, y cobertura de Instancias Reservadas que cambia a medida que evoluciona la flota. El agente consulta Cost Explorer en busca de informes de gastos, localiza recursos no utilizados por tipo y región, sugiere ajustes de tamaño para los recursos de cómputo subutilizados y señala dónde los planes de ahorro o las Instancias Reservadas podrían reducir los gastos. Cada recomendación incluye un ahorro mensual estimado.
- Consultas en Cost Explorer por servicio, región y período
- Detección de volúmenes no conectados, instancias inactivas e IPs elásticas no utilizadas
- Consejos de ajuste de tamaño con ahorros estimados
- Análisis de la cobertura de planes de ahorro e Instancias Reservadas
Respuesta a incidentes. Después de que se active una alarma en producción, los primeros 15 minutos son cruciales. Este agente inicia la investigación de forma paralela, antes de que una persona esté completamente despierta. Recopila todas las alarmas de CloudWatch que se encuentran actualmente en estado ALARM, consulta Log Insights en busca de errores recientes y enumera las llamadas a la API de CloudTrail realizadas aproximadamente en el momento del fallo; esta combinación suele revelar qué cambió. Si existe un manual de procedimientos estándar de SSM adecuado, puede activarlo una vez que usted lo confirme. Después de resolver el problema, genera un informe estructurado en formato markdown que incluye la cronología, la causa raíz y las medidas de mitigación.
- Agrupación de alarmas que muestra qué está en estado ALARM, desde cuándo y qué recursos afectados
- Análisis de la causa raíz a partir de Log Insights junto con el historial de CloudTrail
- Ejecución del manual de procedimientos de SSM con aprobación previa
- Informes post-mortem generados
Revisión de arquitectura. La mayoría de los equipos comprueban su diseño contra el AWS Well-Architected Framework una vez al lanzar y rara vez nuevamente. Este agente mantiene viva esta revisión. Descubre bases de datos RDS, instancias EC2, balanceadores de carga, funciones Lambda y buckets S3 sin que se le indique qué existe, y luego crea diagramas de flujo en Mermaid que muestran cómo se conectan. Evalúa las configuraciones según los pilares del Well-Architected y señala deficiencias como la falta de despliegue en múltiples zonas de disponibilidad, RDS sin copias de seguridad automatizadas y diseños de una sola región cuando se pretendía usar múltiples regiones.
- Detección automática, por lo que no se necesita un inventario manual
- Diagramas de topología en Mermaid generados a partir de datos en tiempo real
- Evaluación de los pilares de fiabilidad, rendimiento y costo
- Informes específicos sobre múltiples zonas de disponibilidad, copias de seguridad y cuellos de botella
Agentes DevOps (operaciones de plataforma)
Pipeline CI/CD. Todos tienen opiniones sobre los pipelines y nadie tiene tiempo para ajustarlos. Este agente analiza el código fuente y genera una configuración de pipeline personalizada en lugar de partir de una plantilla genérica. Detecta el lenguaje, el gestor de paquetes y el sistema de compilación, y luego crea flujos de trabajo de GitHub Actions con caché de dependencias, permisos mínimos (OIDC en lugar de credenciales de larga duración) y una separación adecuada de tareas. Cuando un pipeline falla, lee los registros y proporciona un diagnóstico preciso, no simplemente “la compilación falló”, sino algo como un fallo de caché atribuible a una modificación en un archivo de bloqueo que dejó el hash de la clave de caché obsoleto.
- Detección del lenguaje, gestor de paquetes y sistema de compilación
- Generación de flujos de trabajo con caché, OIDC y controles de permisos
- Diagnóstico de fallos en la compilación con la causa específica y la solución correspondiente
Operaciones en Kubernetes. Este agente funciona como un administrador de clústeres con plenos poderes de diagnóstico y solución de problemas, y probablemente sea el más útil para el trabajo de soporte técnico. Resume el estado de los nodos, los namespaces y los pods del sistema en una sola tabla. En el caso de contenedores con fallos, sigue rutas de diagnóstico específicas para CrashLoopBackOff, OOMKilled e ImagePullBackOff al examinar eventos y condiciones. Genera archivos YAML para Deployments, Ingresses y Services, y puede escalar las réplicas o realizar un rollback directamente, tras confirmación.
- Resumen del estado del clúster en una sola tabla
- Diagnóstico estructurado de pods para estados de fallo comunes
- Generación de YAML para Deployments, Ingresses y Services
- Escalado y rollback con confirmación
Monitoreo y observabilidad. Todos coinciden en que la configuración de monitoreo es importante, pero lo consideran tedioso. La sintaxis de PromQL es exigente, el JSON de los paneles de Grafana es verboso y los árboles de enrutamiento de Alertmanager son propensos a errores sutiles. Este agente genera reglas de alertas en PromQL para señales comunes como la tasa de errores, los percentiles de latencia y el nivel de saturación, crea JSON para paneles de Grafana con consultas listas para importar y diseña rutas de enrutamiento para Alertmanager dirigidas a Slack o PagerDuty. Dado un nivel de disponibilidad objetivo como el 99,9% o el 99,95%, también calcula el presupuesto mensual de errores y el tiempo máximo permitido de inactividad.
- Plantillas de PromQL para señales estándar de infraestructura
- JSON de paneles de Grafana listo para importar
- Rutas de enrutamiento de Alertmanager para Slack y PagerDuty
- Cálculos relacionados con los SLO, incluido el presupuesto de errores y el tiempo permitido de inactividad
GitOps y lanzamientos. Este agente se encarga de las tareas relacionadas con los lanzamientos que rodean a las implementaciones: archivos de configuración, registros de cambios, actualizaciones de versión y preparación para revertir cambios. Construye manifiestos de aplicaciones ArgoCD con funciones de autoreparación y eliminación automática, y crea configuraciones de Argo Rollouts para lanzamientos tipo canario o blue-green, junto con AnalysisTemplates que permiten tomar decisiones automáticas sobre la promoción. En cuanto a los lanzamientos, actualiza las etiquetas semver, genera registros de cambios a partir del historial de commits y puede crear solicitudes de reversión cuando es necesario revertir rápidamente una implementación.
- Manifiestos ArgoCD con políticas de autoreparación, eliminación automática y sincronización
- Lanzamientos tipo canario y blue-green con AnalysisTemplates
- Actualizaciones de versión semver y registros de cambios del historial git
- Creación de solicitudes de reversión
Seguridad de contenedores e imágenes. La seguridad de la cadena de suministro ya no es opcional en 2026, y este agente realiza el escaneo y el reforzamiento de seguridad que deben realizarse antes de que cualquier imagen llegue a producción. Audita las capas de los contenedores en busca de CVEs mediante Trivy y reporta la gravedad y los paquetes afectados. Revisa los Dockerfiles y los refactora mediante construcciones multietapa para reducir el tamaño de la imagen, limpia el caché para evitar el sobrecrecimiento de capas y utiliza usuarios que no sean root. Escanea los archivos de bloqueo (poetry.lock, package-lock.json, Gemfile.lock) en busca de dependencias obsoletas o vulnerables, y para cumplir con los requisitos genera listas de materiales de software en formato CycloneDX o SPDX.
- Escaneo de CVEs con Trivy y clasificación por gravedad
- Reforzamiento de los Dockerfiles
- Escaneo de archivos de bloqueo en busca de paquetes obsoletos y vulnerables
- Generación de SBOM en formatos CycloneDX y SPDX
Por qué se utiliza LangGraph en su base
Varios frameworks podrían haber servido aquí, entre ellos LangGraph, el Claude SDK, el OpenAI Agents SDK, CrewAI y AutoGen. LangGraph ganó porque sus fortalezas se alinean con los requisitos de DevOps.
Los flujos de trabajo en producción no son lineales. Un análisis de seguridad que detecte un problema crítico de IAM debe ser gestionado de manera diferente al que no encuentre nada, y una investigación de incidentes que no pueda identificar la causa raíz en los registros debe ser elevada a CloudTrail. El enrutamiento condicional de LangGraph maneja esto de forma eficaz.
La persistencia del estado significa que un agente que trabaja en un incidente complejo sobrevive a un reinicio sin perder sus hallazgos. La creación de puntos de control permite reproducir un flujo de trabajo desde cualquier nodo con entradas modificadas, lo cual es esencial al depurar un agente que tomó una decisión inesperada. Además, el soporte con intervención humana forma parte del propio modelo de grafo y no se añade posteriormente. Usted decide qué nodos necesitan confirmación y el grafo se detiene allí.
Lecciones de su desarrollo
Había tres cosas que no eran obvias hasta que existieron los agentes:
- El paso de confirmación es fundamental. Una pregunta bien planteada antes de realizar acciones destructivas distingue a un agente útil de uno peligroso. Hacerlo correctamente implica tratar la aprobación humana como una restricción arquitectónica, no como un simple checkbox, lo que obliga a determinar qué nodos en cada grafo tienen efectos secundarios.
- El diseño del estado es la parte más difícil. Hacer que la lógica del agente funcione es sencillo. Decidir qué debe persistir, qué es temporal y cómo se propagan los errores requiere iteraciones; el agente de Kubernetes pasó por tres rediseños de su estado antes de que el flujo de diagnóstico pareciera natural.
- Las herramientas son más importantes que la elección del modelo. Un agente solo es tan capaz como sus herramientas. Lograr que las funciones de las herramientas de AWS devuelvan resultados estructurados y consistentes fue más útil que ajustar los prompts, ya que un modelo razona mejor cuando los datos que recibe están limpios.
Qué viene a continuación
Este es un punto de partida y no un producto final. Los agentes abarcan los flujos de trabajo en la nube y DevOps más comunes, pero aún queda mucho por hacer. Entre las direcciones en consideración se encuentran el soporte multi-nube con agentes para GCP y Azure, la detección de anomalías de costos basada en patrones históricos en lugar de umbrales estáticos, la autoremediación de desviaciones donde el agente genera y aplica la solución con aprobación, y una integración más estrecha con los flujos de Claude Code y Cursor MCP.
Cómo contribuir
No es necesario ser un experto, solo tener curiosidad. La ayuda más útil depende de quién seas:
- Ingeniero DevOps o de nube: ejecuta un agente en infraestructura real e informa qué falló, qué resultados te confundieron y qué flujo de trabajo esperabas que gestionara. Los comentarios del mundo real son la información más valiosa en esta etapa.
- Desarrollador: elige cualquier agente, lee su definición de grafo y mejóralo de alguna manera, ya sea con un mejor manejo de errores, una herramienta que falta o un campo de estado que debería registrarse. La base de código es lo suficientemente pequeña como para comprender un agente completo en unos 30 minutos.
- Principiante en agentes DevOps: el repositorio también funciona como entorno de aprendizaje. Clona el código, ejecútalo localmente con Ollama para evitar costos de API y lee el código junto con una guía general sobre agentes DevOps. Abrir un problema para hacer una pregunta también cuenta como una contribución.
- Cualquiera con una idea para un nuevo agente: abre un problema describiendo el flujo de trabajo. Si hay algo que haces a mano hoy en día que debería automatizarse, indícalo. Un agente de auditoría para Secrets Manager, agentes multi-nube y un agente para detectar anomalías en costos están todos en el roadmap y listos para que alguien los desarrolle.
Da estrellas al repositorio, abre un problema o envía una solicitud de pull request. El objetivo son agentes que funcionen en producción, desarrollados de forma abierta.
Leer más
- Notas prácticas: Sistemas RAG: La guía completa de cero a experto (edición 2026) — Guía paso a paso de las Notas prácticas: Sistemas RAG: La guía completa de cero a experto (edición 2026): contratos, verificaciones y espacios para código listos para usar para los equipos que implementan este patrón.
- Creando tu primer agente LangChain con LangGraph en 2026 — Crea un agente LangChain paso a paso con LangGraph, herramientas, memoria y seguimiento, evita cuatro errores comunes y observa cómo un servicio de soporte de un bootcamp lo utilizó.