Tu agente de código modifica una ruta de autenticación y hace push antes de que alguien revise el diff. El deploy puede funcionar y, aun así, dejar una vulnerabilidad. Vercel lanzó el 3 de noviembre de 2026 Security Review en beta pública: revisa automáticamente el código de cada push en repositorios GitHub conectados y muestra hallazgos con contexto de proyecto, entorno, rama y commit. Para un equipo que publica apps hechas con IA, el cambio práctico es añadir una revisión entre el push y la decisión humana de aceptar un arreglo.

Según el anuncio oficial de Vercel, la beta está disponible para equipos Pro y Enterprise después de habilitarla. La revisión se activa con push, no solo con pull request: también cubre un push directo o forzado a la rama de producción. Un solo push que afecte varios proyectos se revisa de forma conjunta. Eso importa si tu flujo de vibe coding permite cambios pequeños y frecuentes fuera de un PR.

Qué recibes cuando encuentra un problema

Cada hallazgo incluye un resumen, una corrección sugerida y una severidad generada por IA. Vercel añade un check al commit y, cuando existe un pull request, puede comentar allí con un enlace al hallazgo. En repositorios públicos, los detalles permanecen en el panel de vulnerabilidades, no en un comentario abierto. La severidad es una pista para priorizar, no una auditoría certificada: confirma la ruta vulnerable y el alcance antes de actuar.

Si pulsas «Fix with Vercel Agent», el agente propone un cambio y abre un pull request; no lo fusiona automáticamente. También puedes extraer el hallazgo con vercel security vulnerabilities y pedirle a tu agente habitual que lo investigue. Ese comando requiere Vercel CLI 65.10.0 o posterior. En ambos caminos, revisa el diff, ejecuta pruebas y comprueba que la corrección no rompe el flujo de usuario. Las políticas de seguridad en lenguaje natural por equipo o proyecto pueden dar contexto a la revisión, pero conviene comprobar qué reglas realmente aplican.

Una prueba que sí cambia una decisión

1. En un proyecto Pro o Enterprise de bajo riesgo, habilita Security Review desde Agent settings del equipo y confirma qué repositorio GitHub está conectado.
2. Haz un push controlado con un cambio benigno y localiza el check en GitHub y la revisión en el panel de Vercel. No introduzcas una vulnerabilidad real en producción para probarlo.
3. Si hay un hallazgo, verifica archivo, línea, rama y commit; clasifícalo como real, falso positivo o pendiente de reproducir. Si pruebas una corrección automática, exige PR y revisión humana antes de fusionar.
4. Registra número de pushes, revisiones y costo observado durante la semana. Una sola revisión bonita no demuestra cobertura suficiente.

El costo requiere atención. Vercel indica que las revisiones son gratuitas hasta el 10 de noviembre de 2026; después se facturan a la tarifa de Vercel Agent: inferencia del proveedor sin recargo más USD 0,25 por millón de tokens de Vercel, considerando entrada, caché y salida. Los arreglos con Agent ya se facturan a esa tarifa. Como el disparador es cada push, un equipo que empuja muchas veces al día debe vigilar el consumo antes de activarlo de forma amplia.

El límite más importante: Security Review analiza código fuente; no hace pruebas de ejecución ni pentesting y no garantiza una app libre de fallos. Úsalo como una señal adicional junto a revisión humana, tests, escaneo de dependencias y pruebas de permisos. SoyJB no activó la beta en una cuenta Pro ni comprobó hallazgos reales; los pasos anteriores son una prueba reproducible basada en el anuncio y la documentación de Vercel.