Vercel Security Review: escaneo con IA en cada push

Vercel Security Review: qué es y cómo funciona

Vercel abrió en beta pública Security Review, una función que revisa automáticamente cada push a un repositorio de GitHub conectado y reporta los hallazgos en el panel de Vulnerabilities. Está disponible para equipos Pro y Enterprise.

La decisión de diseño más relevante es de dónde arranca la revisión: del evento de push, no del pull request. Eso significa que los pushes directos y los force pushes a la rama de producción también se revisan, que es justo el camino por donde entran los cambios que nadie mira dos veces. Si un solo push afecta a varios proyectos, todos se revisan juntos.

Cada hallazgo registra proyecto, entorno, rama y commit, con un resumen, un arreglo sugerido y una calificación de severidad generada por IA. Security Review agrega su propio check de GitHub a cada commit revisado y, cuando existe un pull request, publica los hallazgos como comentarios de review que enlazan a cada finding. En repositorios públicos, el detalle se queda únicamente en el dashboard.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Cómo se arreglan los hallazgos?

Encontrar el problema es la mitad del trabajo. La otra mitad —la que históricamente se atasca— es escribir el parche. Vercel ataca ese tramo con tres caminos:

Fix with Vercel Agent: al hacer clic en un reporte de vulnerabilidad, el hallazgo pasa a Vercel Agent, que propone un arreglo y abre un pull request. Nada se mergea hasta que tú lo apruebes.
Tu propio agente de código: el comando vercel security vulnerabilities en la CLI de Vercel, que requiere la versión 65.10.0 o superior.
Exportar el hallazgo: cualquier finding se puede copiar como Markdown o JSON para llevarlo al gestor de tickets o al flujo que ya usa tu equipo.

Políticas de seguridad en lenguaje natural

Los equipos pueden escribir políticas de seguridad en lenguaje simple, para todos los proyectos o solo para algunos, y así darle a Security Review más contexto sobre cómo construyen. La política de equipo se define en los ajustes de Agent y la de proyecto en los ajustes de Security del proyecto.

Es un detalle que suena menor y no lo es: un modelo que sabe que tu equipo usa un ORM con consultas parametrizadas o que ciertos endpoints son internos por diseño va a generar menos ruido. Menos ruido es la diferencia entre un tablero que se revisa y un tablero que se ignora.

¿Qué NO hace Security Review?

Conviene tenerlo claro antes de activarlo. Security Review analiza código fuente. No es una auditoría de seguridad, y no hace pruebas de runtime ni de penetración. Ayuda a encontrar vulnerabilidades, pero no garantiza que tu aplicación esté libre de ellas.

Dicho de otro modo: cubre la superficie del código que escribes, no la de tu infraestructura, tus dependencias en producción ni la configuración de tus servicios cloud. Si tu equipo venía usando este lanzamiento como excusa para no contratar pruebas de penetración, la respuesta del propio proveedor es que no reemplaza ese trabajo.

¿Cuánto cuesta Vercel Security Review?

La facturación sigue la tarifa de Vercel Agent: inferencia del proveedor a la tarifa de tokens subyacente sin markup, más la Vercel Token Rate de US$0.25 por millón de tokens (input, cached y output).

Como las revisiones corren en cada push, el costo escala con la frecuencia con la que empujas código y con cuánto cambia ese código. Un equipo que despliega varias veces al día va a pagar bastante más que uno que lo hace dos veces por semana, aunque el tamaño del equipo sea el mismo.

Dos fechas para anotar: las revisiones de seguridad son gratis hasta el 10 de noviembre de 2026, y los arreglos hechos con Vercel Agent se facturan a la tarifa de Vercel Agent.

Por qué Vercel lanza esto justo ahora

Hay un antecedente que explica el timing. El 19 de abril de 2026, Vercel reveló que atacantes habían usado la herramienta de IA de terceros Context.ai para entrar en sus sistemas internos, accediendo a cuentas de empleados y, desde ahí, a variables de entorno de un subconjunto limitado de clientes, según reportó Tech Times. La cadena no necesitó ningún zero-day ni phishing de credenciales: bastó un empleado que había conectado una herramienta SaaS de IA a una cuenta corporativa de Google Workspace con permisos OAuth amplios.

Seis semanas después, el 4 de junio, Vercel reescribió sus términos de servicio y clasificó a cualquier herramienta de terceros conectada como un agente electrónico bajo la UETA, trasladando al cliente la responsabilidad por lo que ese agente haga. El mismo medio señala que la plataforma atiende a más de 6 millones de desarrolladores.

Leído en conjunto, Security Review no es un producto suelto: es la respuesta de Vercel a un problema que ella misma sufrió. Y llega a un mercado que se está poblando rápido. TechCrunch reportó el 29 de septiembre de 2026 que Reco levantó US$55 millones sumados a una Serie B de US$30 millones de febrero, en un segmento donde ya identifica al menos dos docenas de empresas vendiendo seguridad para agentes de IA. En un cliente Fortune 100, Reco encontró 21.000 agentes que la compañía no sabía que tenía.

El dato que mejor explica el hueco que Vercel quiere ocupar viene de la encuesta de a16z a 100 CISOs que recoge i-scoop: el 83% ya usa asistentes o agentes de código, el 55% tiene servidores MCP u otras integraciones agente-a-aplicación en producción, y el 70% dice que lo que más quiere de un proveedor es que los arreglos se vuelvan a testear y verificar. El 57% pide que los fixes o tickets se generen automáticamente. Ese es, literalmente, el producto que Vercel acaba de abrir en beta.

¿Qué significa esto para tu startup?

Si tu equipo ya corre en Vercel Pro o Enterprise, esto entra en la categoría de cosas que conviene probar antes de que empiecen a facturarse. Algunas acciones concretas:

Activa Security Review primero en los proyectos de producción, no en todo el workspace. El costo escala con cada push, así que medir el volumen real de hallazgos y de tokens durante la ventana gratuita te da el número antes de que aparezca en la factura.
Escribe una política de seguridad en lenguaje natural desde el arranque. Es gratis, toma minutos y es la palanca más directa para bajar falsos positivos. Un tablero con 200 alertas irrelevantes se abandona en dos semanas.
No delegues el merge al agente. Vercel Agent abre el pull request, pero el humano aprueba. La encuesta de a16z es clara en que la IA acelera la detección mucho más de lo que acelera el parche, y el propio proveedor aclara que no es una auditoría.
Aprovecha el momento para auditar accesos. El precedente de abril de 2026 no fue un exploit sofisticado: fue un permiso OAuth demasiado amplio. Revisa qué herramientas de terceros tienen credenciales de tu cuenta y qué variables de entorno siguen sin estar marcadas como sensibles en el dashboard, porque esa marca es la que determina si se cifran en reposo.

Conclusión

Security Review no resuelve la seguridad de tu producto y Vercel lo dice sin vueltas: analiza código, no audita sistemas. Lo interesante es dónde pone el esfuerzo. Detectar vulnerabilidades ya es un mercado saturado; lo que sigue siendo un cuello de botella es cerrar el ciclo hasta el pull request aprobado. Para un equipo pequeño sin equipo de seguridad dedicado, tener ese ciclo dentro de la misma plataforma donde ya despliega es una ganancia real de tiempo. La condición es no confundir automatización con cobertura: el agente propone, tú decides, y lo que no está en el código sigue siendo tu problema.