Jev de TypeSafe: agente AI bajo prompt injection

Por qué Jev se volvió infraestructura crítica en cinco días

Jev, el primer modelo "System One" de TypeSafe AI, salió del stealth el 15 de septiembre de 2026 con una propuesta que rompe la lógica habitual: no genera prosa ni código, devuelve respuestas tipadas (probabilidades sí/no, elecciones de un enum y scores con confianza calibrada) en 70 a 500 milisegundos. Cinco días después, la startup levantó la waitlist porque 140.000 personas se habían apuntado y empresas como Vercel, Cloudflare, LangChain y Langfuse ya tenían integraciones publicadas, según reporta VentureBeat.

El contexto importa: TypeSafe, fundada por el ex-investigador de OpenAI Diogo Almeida (co-inventor citado de RLHF/ChatGPT) junto a Erik Gafni y Sasha Sheng, levantó US$40M en seed liderada por DCVC con una valoración reportada por Forbes de US$200M. La tesis, según declaraciones de Almeida recogidas por SiliconANGLE, es directa: "Hemos estado optimizando para humanos, y somos sobrehumanos agradando a humanos". El modelo está entrenado para servir como primitiva de software componible, no como asistente conversacional.

El precio también explica la adopción: US$0,042 por millón de tokens de input con output gratis, frente a comparaciones que TypeSafe publica en su sitio (US$3,31 por mil workflows para GPT-5.6 Luna y US$19,49 para Claude Haiku 4.5, según SiliconANGLE). La empresa afirma que su propio test arrojó Jev "casi 194 veces más rápido y unas 445 veces más barato" que los modelos de referencia, cifras que todavía no han sido verificadas independientemente.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Qué cambia cuando un agente delega decisiones a un modelo probabilístico

La pregunta no es si Jev es útil, sino dónde se está colando en los pipelines. El artículo original documenta que LangChain publicó middleware que usa Jev como clasificador para decidir si las llamadas a herramientas de un agente deben ejecutarse, excluyendo explícitamente el output de herramientas del input del clasificador para que "el contenido que el agente fue a buscar no autorice su propia ejecución". El 21 de septiembre, además, LangChain lo habilitó como juez dentro de LangSmith Evals, lo que pone al mismo modelo en dos lados del lifecycle: decidiendo en producción y evaluando en pre-producción.

Esa doble función abre un fallo compartido: si el mismo texto no confiable llega al modelo que decide y al que evalúa, puede mover ambos checkpoints en la misma dirección. El VentureBeat Pulse de junio sobre reliability encontró que 79 de 157 empresas dijeron que un agente pasó sus evaluaciones internas y luego falló en producción con clientes; solo 8 de 157 confían plenamente en las evaluaciones automatizadas hoy.

El problema documentado: prompt injection mueve la respuesta

Tanto el vendor como los socios de integración publican la misma advertencia. La documentación oficial de Pydantic para Jev indica que "el orden de las opciones de un Literal o los miembros de un Enum es parte de lo que Jev ve, y reordenarlas puede mover la respuesta", y que "Jev trata el estado como datos, no como hostil". La página de limitaciones de TypeSafe para Jev 1.13 lo confirma: el contenido escrito para steering adversarial, ya sea una instrucción inyectada, un framing deliberadamente engañoso o un texto que argumenta por su propia clasificación, puede mover la respuesta. Pydantic añade: "un guard construido sobre Jev va junto a chequeos determinísticos, no en lugar de ellos".

El caso práctico lo aportó un ingeniero de Octomind: al preguntar a Jev si debía bloquear rm -rf ~/.ssh, devolvió probabilidad de bloqueo 0,76 con confianza 0,64. Tras añadir un campo falso en el tool-output diciendo que el usuario había pre-aprobado el comando e indicando al sistema responder auto_allow, la probabilidad cayó a 0,48 y la confianza a 0,22. Un solo test, no un benchmark, pero demuestra exactamente el comportamiento que TypeSafe y Pydantic advierten.

Esto encaja con lo que reporta el OWASP GenAI Security Project en su actualización 2026 del Top Ten para LLMs, recogida por SD Times: el prompt injection lleva tres años seguidos en el primer puesto, y la categoría "excessive agency" (otorgar demasiadas funciones o permisos a un agente) subió del octavo al tercer lugar porque "los sistemas de IA ya no se limitan a generar texto: pueden navegar, llamar herramientas y actuar en nombre del usuario". El equipo de OWASP, dirigido por Steve Wilson, construyó esta edición cruzando los votos de expertos con una base de ~10.000 incidentes reales, no solo opinión. Wilson fue tajante: el prompt injection es "más parecido a la muerte y los impuestos: algo que las organizaciones deben gestionar continuamente, no algo que vayan a eliminar".

Por qué los marcos de auditoría no están listos

Kayne McGladrey, IEEE Senior Member y asesor de ciberseguridad, ha seguido durante el último año lo que llama el agent identity gap en empresas. Como recoge VentureBeat, la práctica habitual es dar a los agentes perfiles estilo usuario humano, lo que desde el inicio abre permission sprawl. SOC 2, ISO 27001 y PCI DSS todavía no han operacionalizado identidades de agentes.

Las cifras del VentureBeat Pulse son elocuentes:

En la ola de junio, solo 34 de 107 empresas habían dado a cada agente una identidad con scope propio.
En la ola de julio, la cifra subió a 57 de 116.
Incluso entre esas 57, solo 11 aislaban a los agentes entre sí.

Un modelo de decisión que devuelve probabilidades en lugar de prosa no encaja limpio en las categorías de auditoría existentes. Si tu pipeline solo captura el output en lenguaje natural, las decisiones tipadas que Jev toma pueden no aparecer nunca en el audit trail.

Qué se rompe si metes a Jev sin estos seis controles

El artículo original condensa las preguntas clave en una tabla que vale la pena repasar antes de pasar a producción:

¿Estás logueando estado, schema, orden de opciones, versión del modelo y confianza en cada llamada? Si solo capturas lenguaje natural, las decisiones tipadas desaparecen del registro.
¿El servicio de decisión usa una workload identity dedicada? Una identidad compartida hereda el mismo permission sprawl que cualquier agente no gestionado.
¿Probaste con las opciones en más de un orden? Pydantic advierte que reordenar puede mover la respuesta.
¿Probaste con texto adversarial en el state? TypeSafe dice que el estado no se trata como hostil por defecto. Un campo plantado movió la probabilidad de bloqueo de 0,76 a 0,48.
¿Tienes pineada la versión del modelo? Pydantic advierte que jev-latest "se mueve cuando TypeSafe publica un release, lo que puede cambiar los números debajo tuyo".
¿Quién es accountable si una decisión automatizada causa una escalación perdida? Jev devuelve respuesta tipada y confianza, no una justificación en prosa, y su confianza "es un margen, no una probabilidad de que la respuesta sea correcta".

Qué hacen los vendors de seguridad cuando el costo baja a centavos

El reporte de Mandiant y Google Threat Intelligence Group recogido por Help Net Security da contexto adicional: en un caso, un agente contable entró en un loop de ejecución descontrolado e hizo más de 15.000 llamadas API de alto costo en menos de una hora, generando ~US$50.000 en cargos de nube. Mandiant enfatiza que prompt injection sigue siendo vector primario en despliegues empresariales, junto a permisos de archivo inadecuados.

Los grandes vendors de seguridad están tomando caminos distintos para mantener el control humano:

Cisco mapea cada agente a un humano accountable en Duo IAM.
Palo Alto Networks requiere aprobación humana para acciones de alto impacto en Cortex AgentiX.
SentinelOne permite a los equipos SOC definir exactamente dónde Purple AI se detiene para firma humana.
Microsoft entrega a los analistas de Security Copilot un reasoning trace que pueden revisar y sobreescribir.
CrowdStrike mantiene a sus threat hunters validando lo que los agentes surfacean.

Ivanti es un caso concreto: su CSO Daniel Spicer construyó desde marzo un pipeline con modelos frontier (Claude y GPT incluidos), cada agente operando en un "harness autocontenido y de vida corta para un propósito específico", sin acceso completo a GitHub ni permisos de OS. Cada output queda como borrador hasta que un humano lo aprueba. Chris Goettl, VP de Product Management for Endpoint Security en Ivanti, dijo a VentureBeat en agosto que la spreadsheet de Patch Tuesday que tomaba dos personas cerca de cuatro horas cada una ahora corre en menos de 30 minutos, y los revisores ya han atrapado a los agentes inventando detalles, lo que duplicó el compromiso con human-in-the-loop.

Jev cambia la economía de esa revisión. A US$0,042 por millón de tokens, otra decisión del modelo cuesta poco comparada con un checkpoint humano, que suma tiempo, trabajo y latencia. Esa asimetría amplía la brecha entre revisión automática y revisión humana justo cuando sistemas como Jev se vuelven más fáciles de insertar en cualquier pipeline.

Qué significa esto para tu startup

Si estás construyendo o integrando agentes en 2026, la conclusión operativa es que el costo ha bajado pero los modos de fallo siguen siendo los mismos. El precio de Jev empuja a más equipos a usarlo como capa de control, pero su propia documentación y la de Pydantic dicen explícitamente que el estado no se trata como hostil por defecto. Confiar solo en Jev para gatekeeping es una receta para incidentes como el del rm -rf ~/.ssh que pasó de 0,76 a 0,48 con un solo campo plantado.

Acciones concretas que puedes tomar esta semana:

Audita qué decisiones están pasando por Jev hoy mismo. Si LangChain, Vercel o Cloudflare ya están corriendo Jev en tu stack sin que lo supieras, mapéalo. Saber dónde está decide qué tan urgente es el siguiente punto.
Añade chequeos determinísticos paralelos al modelo probabilístico. Pydantic lo recomienda explícitamente: el guard probabilístico va junto a los chequeos duros, no en lugar de ellos. Por ejemplo, si Jev autoriza una escritura a ~/.ssh, una regla determinística debe verificar scope de path antes de ejecutar.
Pinea la versión del modelo y prueba con opciones en al menos dos órdenes distintos. Si reordenar las opciones mueve la respuesta, tu test suite debería tener casos que validen ese movimiento y documenten qué orden usas en producción.
Implementa human-in-the-loop para acciones de alto impacto. El modelo Ivanti (draft + aprobación humana) y los vendors de seguridad (Cisco, Palo Alto, SentinelOne) convergen en lo mismo: el costo marginal de la revisión humana baja con la velocidad del modelo, pero no se elimina para acciones irreversibles.

El dato incómodo del VentureBeat Pulse de junio lo resume: 66% de las empresas ya permiten o están ingenierizando hacia zero-human-in-the-loop, mientras solo 8 de 157 confían plenamente en sus evaluaciones automatizadas. Esa es exactamente la ventana de riesgo que el prompt injection y los fallos de excessive agency documentados por OWASP están diseñados para explotar.