Seu código ficou mais rápido. Seu pipeline, não

Sobre a apresentação

Entrega de software em velocidade de máquina

Operar revisões, deploy e segurança no ritmo da IA

Hoje, a aprovação de código gerado por IA por meio de processos legados cria um gargalo perigoso. Enquanto as equipes aguardam revisões manuais, os concorrentes avançam e modelos ofensivos exploram vulnerabilidades instantaneamente. Nick Durkin, CTO de campo da Harness, demonstra como executar revisões de código, implantação e verificações de segurança na velocidade da máquina — automatizando e codificando políticas, revisões e controles, com o objetivo de tornar fácil fazer o certo e difícil fazer o errado.

Palestrante

Quem apresentou

Nick Durkin

Field CTO da Harness. Lidera a discussão sobre como modernizar o "outer loop" da entrega de software — testes, segurança, mudança e deploy — para que o aumento de 4 a 10x no volume de código gerado por IA chegue à produção com segurança e governança.

Resumo executivo

A entrega de software na era da IA

Síntese central

O "outer loop" do software (testes, otimizações, segurança e deploy) é o gargalo que impede que o código gerado por IA chegue à produção com segurança. Como os processos atuais foram construídos para a velocidade humana, é necessário automatizar e codificar políticas, incorporar segurança desde a origem e adotar progressive delivery, rollback automatizado e guardrails para reduzir o risco enquanto se aumenta a velocidade.

4–10x

Aumento no volume de código gerado por IA que precisa chegar com segurança à produção

~22%

Das mudanças precisam de remediação à medida que os PRs escalam (de 3 para 30/semana)

Novo tempo de resposta a zero-days — antes contado em semanas — quando há automação

Pontos-chave

Principais ideias da palestra

Inner loop vs. outer loop: o planejamento e a codificação ganharam velocidade com agentes e modelos; o outer loop continua lento e manual. Sem modernizá-lo, mais "matéria-prima" (código) não se transforma em valor em produção.
Escala e risco do código por IA: o aumento de PRs e do volume de mudanças leva a mais incidentes — cerca de 22% precisam de remediação. Exemplo: interrupção de seis horas no Amazon.com relacionada à automação de deploy.
Entrega em velocidade de máquina: eliminar tickets manuais e aprovações humanas em série (CABs) com políticas codificadas, automação e self-service; interfaces via IDE/CLI/chat e MCP servers com agentes especialistas; knowledge graph para correlacionar código, builds, releases, achados de segurança, métricas e logs.
Segurança como primeira classe: patch virtual instantâneo em firewalls/gateways; bloquear artefatos vulneráveis na registry; priorizar por impacto ao cliente e "reachability"; correção automática gerando PRs contextualizados e validados por testes.
Guardrails e progressive delivery: "facilite o certo" com caminhos padronizados (testes e scans automáticos); "dificulte o errado" bloqueando deploy sem segurança ou resiliência; canary/blue-green para limitar o blast radius e rollback automático.
Medição por resultados de negócio: medir valor (tempo para recuperar, custo de corrigir bugs/vulns, impacto no cliente), não "tokens".
Padronização como esporte coletivo: times diferentes precisam jogar com as mesmas regras, ferramentas e padrões para acelerar com segurança.

Citações importantes

Nas palavras do palestrante

Nós construímos todo o sistema de entrega de software para a velocidade humana. Se você precisa abrir um ticket ou falar com alguém, você já não está operando na velocidade de máquina.

Faça o certo ser fácil e o errado ser difícil.

Segurança não pode ser um pensamento tardio; precisamos criar com segurança embutida.

Se não automatizarmos, zero-days deixam de ser um mês para se tornarem quatro horas.

Não deveríamos estar escrevendo a correção manualmente — a plataforma que conhece seu código e a vulnerabilidade deve conseguir corrigi-la e abrir o PR.

Medir por tokens é medir a coisa errada; meça por outcomes de negócio.

Remova a pior parte do trabalho das pessoas, não a melhor.

Pontos de ação

O que aplicar a partir de agora

Mapear o outer loop atual: identificar onde há tickets, handoffs e aprovações humanas em série em testes, segurança, mudança e deploy.
Codificar políticas e aprovações: transformar critérios de CAB/segurança/compliance em políticas automatizáveis (gate de build/release).
Implantar guardrails e caminhos padronizados: criar pipelines padrão com testes, SCA/SAST/DAST, SBOM e checks de resiliência automáticos; bloquear o que não cumprir.
Adotar progressive delivery e rollback automático: configurar canary/blue-green e políticas de rollback baseadas em métricas e logs; conectar à observabilidade via MCP/agents.
Priorizar segurança por reachability: integrar análise de alcance para diferenciar vulnerabilidades exploráveis; automatizar patches virtuais e bloqueio de artefatos vulneráveis.
Habilitar correção automática: permitir que a plataforma gere PRs de remediação com testes e validação; estabelecer revisão leve e aprovação baseada em risco.
Construir um knowledge graph operacional: correlacionar código, builds, ambientes, releases, auditorias, métricas e logs para RCA e ações automatizadas.
Medir por resultados: definir MTTR, taxa de rollback seguro, lead time para produção, custo por fix e impacto ao cliente; reportar regularmente.
Instituir self-service para devs e agentes: provisionamento, testes e deploy sem tickets manuais; interfaces via IDE/CLI/chat com agentes especialistas.
Treinar e padronizar: alinhar equipes em regras comuns, pipelines, ferramentas e práticas; reduzir variação para aumentar velocidade com segurança.