Code Guardian 17.2: qué cambia para usted

Tras actualizar a Code Guardian 17.2 (disponible desde el 28.09.2026) notará tres cosas: algunos comandos que hasta ahora pasaban sin comprobación recibirán ahora un rechazo. Las preguntas innecesarias serán menos frecuentes. Y más archivos contarán como no probados, porque solo cuenta una prueba que realmente se ejecuta. Los tres cambios son intencionados; no tiene que configurar nada. Un ejemplo de brecha cerrada: la herramienta Monitor de Claude Code esquivaba hasta ahora las comprobaciones de comandos.

Lo que debería hacer ahora:

• Ante un nuevo rechazo, lea la indicación que contiene: a menudo nombra el camino por el que sí se puede.
• Cuente con más archivos sin probar; antes de modificar uno de ellos, Code Guardian exige una prueba de fijación (pin test).
• Si usa Codex en Windows, reparta los cambios grandes en varios parches.

¿Qué brechas de seguridad cierra Code Guardian 17.2?

La 17.2 cierra varias vías por las que un comando esquivaba las comprobaciones o una acción arriesgada pasaba sin revisión.

• Monitor, que lanza comandos como Bash, esquivaba hasta ahora las comprobaciones de comandos; ahora se comprueba igual.
• El cerrojo de borrado, que comprueba los comandos de borrado arriesgados, lee ahora también el contenido de los archivos de script de shell lanzados, y no solo el texto del comando. Rechaza un script de ese tipo de más de 64 kilobytes o uno que se escribe y se lanza en el mismo comando.
• Si es la salida de un comando la que determina el objetivo del borrado, entre comillas invertidas o en $(…) sin comillas, Code Guardian rechaza ahora el comando, incluso sin borrado recursivo y con rmdir, shred y unlink.
• Los comandos de migración para bases de datos Supabase exigen ahora el mismo informe de comprobación que otros comandos de base de datos que escriben.
• Si copia un archivo al directorio personal de un servidor sin un informe de despliegue aprobado, Code Guardian lo rechaza ahora en lugar de preguntar.
• El cerrojo de secretos, que comprueba si se han confirmado credenciales por descuido, comprueba ahora siempre todo el proyecto cuando se invoca desde una subcarpeta, en lugar de solo esa subcarpeta.
• El SQL se lee en el orden en que lo lee realmente el cliente de la base de datos, lo que cierra formas que antes pasaban inadvertidas.

Para usted esto significa: ahora recibe un rechazo en lugar de un paso sin comprobar, y a menudo indica directamente qué hacer.

¿Qué falsas alarmas desaparecen?

Varias comprobaciones preguntaban hasta ahora aunque no había nada que temer; estas falsas alarmas desaparecen con la 17.2.

• El cerrojo de secretos ya no pregunta con los comandos git que no confirman nada.
• La valla del proyecto, que limita los cambios al ámbito del proyecto, ya no rechaza los propios archivos de trabajo de Code Guardian.
• Un heredoc con diéresis u otros caracteres especiales ya no pregunta por el idioma del sistema cuando ninguna comprobación depende de ello.

Para usted esto significa: en estos tres casos ya no recibe una pregunta donde antes aparecía una.

¿Dónde juzga la 17.2 de forma deliberadamente más suave?

La 17.2 juzga de forma deliberadamente más suave en tres puntos bien acotados.

• Borrar un entorno virtual de Python propio en ~/.venvs/<name> es ahora libre; las carpetas colectivas en sí siguen bloqueadas.
• Un script de despliegue que solo contaba como despliegue por su nombre lo lee ahora la 17.2. Si no contiene ninguna transferencia ni llamada remota y no lanza ningún otro programa, se ejecuta sin preguntar.
• La excepción para bases de datos desechables se aplica ahora solo a una lista fija de direcciones locales estándar, nunca a través de la red.

Para usted esto significa: las flexibilizaciones están estrechamente delimitadas: cualquier duda sobre el script de despliegue sigue siendo un rechazo, y la excepción de la base de datos nunca vale a través de la red.

¿Qué cambia en la cobertura de pruebas?

Un archivo cuenta ahora como probado solo si lo alcanza una prueba que realmente se ejecuta.

Lo que desde entonces ya no cuenta como prueba:

• una prueba omitida, comentada o vacía
• una simple importación del archivo al principio del archivo, si el nombre importado no se utiliza en ninguna prueba que se ejecute

Para usted esto significa: ahora ve más archivos como no probados: no es una nueva debilidad de su código, sino una medición más estricta. La puerta de caracterización (la comprobación antes de modificar código no probado) exige allí una prueba de fijación (una prueba que registra el comportamiento existente antes del cambio) donde antes dejaba pasar.

¿Qué más hay de nuevo?

Dos nuevas capacidades afectan a cómo se comprueba el propio Code Guardian y a cómo colaboran varias sesiones.

• Un agente de revisión adicional lee un diff terminado, pero no puede ejecutar, escribir ni borrar nada; sus hallazgos cuentan como sospecha hasta que una ejecución los prueba. Con ello hay ahora 14 agentes de revisión en lugar de 13.
• Si varias sesiones trabajan en el mismo proyecto, a partir de tres sesiones Code Guardian propone un conciliador de tareas, y le pregunta antes. Concilia las tareas abiertas con git a intervalos fijos (por defecto 20 minutos, configurable) y solo lee.
• Quien no tenga a nadie que pueda responder a una pregunta puede ahora establecer mediante un archivo de configuración que una pregunta de los cerrojos de comandos se convierta en un rechazo con indicación de actuación. Sin este ajuste, todo sigue como hasta ahora.

Para usted esto significa: ahora puede ejecutarse un agente de revisión adicional, de solo lectura, y a partir de tres sesiones Code Guardian propone una conciliación de tareas.

¿Qué cambia en Windows?

En Windows se ha medido por primera vez lo que cuesta realmente una comprobación: en la mediana, unos 1,7 segundos antes y 0,6 segundos después de un comando Bash; la suma por llamada se sitúa en la mediana en unos 2,4 segundos (medido en GitHub windows-latest). El inicio de sesión mide además el arranque del programa en su equipo. Para usted esto significa: el inicio de sesión avisa de antemano si el límite de tiempo es demasiado ajustado para ello.

¿Qué cambia para los usuarios de Codex?

Para la CLI OpenAI Codex, la 17.2 cierra sus propias brechas y hace más completa la comprobación en Windows.

• Con el ajuste predeterminado de Codex, el modelo podía abrir una consola y teclear comandos en ella; para eso Codex no activa ninguna comprobación, de modo que los comandos tecleados se ejecutaban sin revisar. El instalador desactiva ahora esa vía en su config.toml.
• En Windows, Code Guardian no comprobaba hasta ahora algunos archivos en parches grandes, porque la línea de comandos resultaba demasiado larga. Ahora ningún archivo de un parche queda sin comprobar.
• El límite de tiempo para la comprobación de un parche expiraba hasta ahora demasiado pronto o demasiado tarde según el momento de inicio; ahora termina en el momento previsto.
• También los cerrojos de comandos de la salida de Codex reciben correcciones de seguridad, por ejemplo la lectura de archivos de script de shell lanzados.

Para usted esto significa: en Windows, Code Guardian comprueba un parche de 10 archivos en unos 24 segundos; a partir de 20 archivos se detiene en el límite de tiempo, por seguridad como rechazo. Por eso, reparta los cambios grandes en varios parches.

¿Qué límites siguen abiertos?

Estos límites siguen existiendo en la 17.2:

• La detección de formas de la comprobación de seguridad reconoce formas, no una explotabilidad real, y no sigue los datos más allá de los límites de funciones y archivos.
• Persiste una falsa alarma conocida del cerrojo de borrado con funciones auxiliares de Python para directorios de prueba temporales: una flexibilización para ello no superó la propia comprobación en cuatro rondas y se retiró.
• El informe de migración anunciado para la 17.2 en el proyecto de destino en Windows aún no está incluido; llegará en una versión posterior.
• En la cobertura de pruebas, los métodos auxiliares y las preparaciones de prueba (fixtures) siguen sin contar como prueba, aunque una prueba en ejecución los invoque; no se evalúa si una condición omite realmente una prueba.

¿Cómo se comprobó la 17.2?

La 17.2 pasó por una batería de pruebas antes de su publicación; la tabla muestra las cifras.

Para situarlo: se han añadido cuatro niveles, ninguno ha desaparecido y ningún veredicto ha cambiado. Ambas direcciones de error, es decir, que una comprobación salte con razón y que deje pasar con razón lo permitido, se superaron por completo.

¿Qué mide la medición comparativa?

Una medición comparativa independiente comprueba si un encargo termina de forma distinta con Code Guardian que sin él. No comprueba la técnica de las comprobaciones, sino su efecto en el resultado del trabajo.

Estado de la medición comparativa: en el escenario S1 se comparó la 17.2 en 10 ejecuciones con Code Guardian frente a 5 ejecuciones sin Code Guardian. De media hubo 5,60 puntos frente a 5,20; con un valor p de 0,3986 no queda probada ninguna diferencia.

Balance de todas las comparaciones válidas desde la v16.116 hasta la 17.2 (8 mediciones):

• 4 con diferencia probada
• 3 no decidibles
• 1 sin diferencia probada

Una ejecución sin diferencia probada es un resultado, no un defecto, pero tampoco una prueba de que Code Guardian funcione.

Encontrará más información sobre el producto en la página del producto.

Preguntas frecuentes sobre Code Guardian 17.2

¿Tengo que escribir pruebas de inmediato para cada archivo que ahora cuenta como no probado?

No. La puerta de caracterización solo exige una prueba de fijación cuando usted quiere modificar uno de esos archivos.

¿Dónde encuentro los requisitos y la configuración?

En la documentación técnica en provimedia.de/code-guardian/technik; allí figuran los requisitos del sistema, todos los ajustes y la interfaz de actualización.

¿Cómo sé que Code Guardian ayuda realmente?

El efecto lo muestra la medición comparativa en la sección anterior, no la batería de pruebas, que solo muestra que las comprobaciones funcionan según lo previsto.

¿Cómo obtengo la versión 17.2?

El paquete está en el portal de clientes. Cómo se mantiene después actualizado Code Guardian lo explica provimedia.de/code-guardian/updates.

¿Qué hago si un nuevo rechazo detiene mi flujo habitual?

Lea el rechazo: en muchos casos nombra el camino por el que sí se puede, por ejemplo en pasos separados. Los antecedentes figuran en la documentación técnica.

Fuentes

• Guía de actualización publicada de la versión 17.2 (portal de clientes)
• Justificante de comprobación de la versión 17.2 frente a la v17.1 (portal de clientes)

Fecha: 29.09.2026