Dos historias aparecieron la misma semana y la mayoría de la gente las leerá por separado. Una trata sobre despidos. La otra, sobre un investigador de seguridad que examina placas base de servidores. Leídas juntas, apuntan a un cambio profesional que casi no recibe atención en la conversación actual sobre habilidades de IA: bajar, no subir, por la pila tecnológica.

La capa de aplicaciones se está saturando — por diseño

La entrada de Meta en la programación agéntica, Muse Code, destaca menos por el modelo que hay detrás que por el flujo de trabajo que automatiza. Zuckerberg describió cómo se divide «en subagentes independientes que trabajan en paralelo en árboles de trabajo aislados», afirmando que una prueba construyó simultáneamente seis funciones para un juego sin colisiones. Eso ya es lo mínimo esperable: Anthropic, OpenAI y una oleada de startups ya hacen versiones de lo mismo. Planificar, escribir y validar código de la capa de aplicaciones en repositorios grandes se está convirtiendo en una capacidad genérica que varios proveedores se apresuran a regalar o a incluir en paquetes económicos.

Mientras tanto, Monday.com recortó aproximadamente el 20 % de su plantilla —unas 600 personas— alegando una reestructuración vinculada a la «transformación» del producto y de la estrategia de comercialización, y se sumó a una lista creciente de más de 20 empresas que este año han señalado la IA como un factor en sus recortes. Nadie puede decir con precisión qué parte corresponde a la sustitución por IA y cuál a la IA como una justificación conveniente en una declaración ante la SEC. Pero la dirección es la misma en ambas historias: el código que vive en un repositorio git, se revisa en una PR y se ejecuta en un flujo normal de CI es exactamente el código que las herramientas agénticas se están construyendo para gestionar de principio a fin.

Lo que los agentes no tocan

Ahora, la otra historia. Esta semana, unos investigadores presentaron hallazgos según los cuales miles de servidores conectados a internet de grandes fabricantes pueden sufrir una puerta trasera de forma remota mediante fallos en sus controladores de gestión de placa base (BMC) —los diminutos ordenadores integrados presentes en prácticamente todas las placas base empresariales, que permiten a los administradores reiniciar, aplicar parches o recrear la imagen de una máquina incluso cuando está apagada—. Algunos de los fallos subyacentes del protocolo IPMI en el que se basan estos controladores se conocen desde al menos 2013. Los investigadores calificaron la infraestructura BMC de «superficie de ataque paralela, generalizada, con poca supervisión y pocos parches»; no porque nadie supiera que existía el riesgo, sino porque casi nadie tenía recursos para solucionarlo.

Ahí está la clave. Esto no es código de aplicaciones. Es firmware, que ejecuta su propio sistema operativo y su propia pila de red, en gran medida invisible para las herramientas y los flujos de trabajo para los que están optimizados los asistentes de programación agéntica. Un agente que planifica una PR contra un repositorio grande no tiene nada contra lo que planificar aquí: no hay repositorio ni conjunto de pruebas; a menudo tampoco hay un incentivo del proveedor para distribuir una solución rápidamente, y el proceso de aplicar parches pasa por los fabricantes de hardware en lugar de un `git push`. Las habilidades que importan —C embebido, depuración a nivel de protocolo, ingeniería inversa de firmware e investigación de seguridad adyacente al hardware— se encuentran en una parte de la pila a la que los agentes de programación de la generación actual no están diseñados para llegar y en la que la mayoría de las organizaciones de ingeniería han invertido crónicamente muy poco; los fallos conocidos desde hace una década son la prueba.

La salvedad, expresada claramente

Esto no es un llamado a que todos los desarrolladores se reciclen como ingenieros de firmware: es un mercado especializado y la demanda no competirá con la de los puestos de software convencionales. El argumento es más limitado: si tu puesto actual se encuentra exactamente en la parte de la pila hacia la que las herramientas agénticas están convergiendo más rápido —código de aplicaciones rutinario, dentro de un único repositorio y bien cubierto por pruebas—, conviene saber que existen capas adyacentes y de menor nivel donde la frontera de la automatización aún no ha llegado, donde las habilidades se pueden aprender sin un doctorado en informática y donde la señal de demanda —una superficie de ataque sin parches desde hace una década, demostrada públicamente a escala hace poco— es inusualmente concreta.

Por dónde empezar realmente este mes

  • Lee la investigación primaria, no solo el resumen. El artículo de Ars Technica menciona el protocolo (IPMI) y la clase de hardware (BMC de los principales proveedores de servidores); ese es tu punto de partida para buscar avisos de proveedores y el historial de CVE.
  • Familiarízate de forma práctica con una pila BMC abierta. OpenBMC y proyectos similares de firmware de código abierto te permiten leer y modificar código BMC real sin necesitar un centro de datos; un fin de semana basta para apreciar hasta qué punto esto difiere del desarrollo web o de aplicaciones.
  • Reformula ya el lenguaje de tu currículum, incluso antes de reciclarte. «Gestión fuera de banda», «administración lights-out» y «superficie de ataque por debajo del sistema operativo» son las expresiones que harán que te encuentren los equipos que contratan para esto, y no cuesta nada añadirlas si la experiencia es realmente adyacente a lo que has hecho.
  • Trátalo como diversificación, no como un giro profesional. Sigue entregando código de aplicaciones —ese sigue siendo el grueso del mercado laboral—, pero dedica deliberadamente una parte de tu presupuesto de aprendizaje a un ámbito en el que un agente todavía no puede dividirse en un árbol de trabajo y solucionarlo por ti.