Anthropic publicó cómo revisa el equipo de Claude Code sus propios pull requests: un revisor de IA en cada PR, los comandos /code-review y /security-review y un archivo REVIEW.md. Puedes copiar casi todo hoy; qué parte depende de tu plan de Claude.
El artículo, firmado el 15 de octubre de 2026 por Addy Osmani, Morgan Westlee Lunt y Qing Wang, parte de un problema de volumen. Claude ya escribe la mayor parte del código de Claude Code, y la revisión humana línea por línea dejó de escalar. La respuesta del equipo no fue eliminar la revisión: trasladaron a las máquinas casi toda la lectura y reservaron la atención humana para las decisiones que las máquinas resuelven mal.
¿Qué es Claude Code y cómo se usa para revisar código?
Claude Code es la herramienta de programación agéntica de Anthropic: lee tu base de código, edita archivos y ejecuta comandos desde la terminal, el IDE, la app de escritorio o el navegador. El code review es hoy una familia de funciones a su alrededor:
- Un comando local que cualquiera puede ejecutar:
/code-review. - Una variante centrada en seguridad:
/security-review. - Una GitHub Action de código abierto.
- Un revisor alojado, Code Review, que comenta cada pull request en organizaciones con plan Team o Enterprise.
¿Cómo hace code review el equipo de Claude Code?
Cada cambio pasa por capas de verificación apiladas, y ninguna capa debe atraparlo todo por sí sola:
- Antes de que exista el PR. Claude ejecuta los tests, el build y el linter y muestra el resultado. Después, un segundo agente con contexto limpio revisa el diff.
- Revisión con IA en cada PR. Varios agentes buscan bugs en paralelo. Otro grupo vota cada hallazgo, y solo se publican los que suficientes agentes consideran reales. Cada hallazgo se etiqueta como Important, Nit o Pre-existing.
- Una revisión de seguridad separada. En los repositorios de Anthropic, un PR no se puede fusionar mientras quede abierto algún hallazgo de cualquiera de las dos revisiones.
- CI obligatoria. Lint, tipos, tests en todas las plataformas y build.
- Aprobación humana según el riesgo. Un clasificador asigna cero, una o dos personas según el cambio, no según el autor. Rutas como los workflows de CI siempre requieren una persona.
- Merge queue, feature flags, despliegue gradual y rollback rápido.
El equipo reporta estos resultados, medidos por la propia Anthropic y sin verificación independiente:
- Entre junio y septiembre, los PR fusionados se duplicaron con creces mientras la proporción que hubo que revertir cayó más de un 40 por ciento.
- Los PR con comentarios de revisión sustanciales pasaron del 16 al 54 por ciento.
- Tras limitar las rondas de revisión, los PR aprobados después de una sola ronda subieron del 65 al 78 por ciento.
Ese último cambio importa si conectas un agente para corregir lo que señala un revisor. Un PR llegó a pasar más de cincuenta rondas de revisión y corrección durante una noche, hasta que alguien lo detuvo. La solución fue sencilla: un máximo de tres rondas, revisar solo el diff nuevo después de las primeras pasadas y no repetir hallazgos ya publicados.
Si comparas enfoques, en yoDEV probamos otra combinación: dos IAs revisando el mismo código, Claude y Codex.
¿Qué es REVIEW.md y cómo se escribe?
REVIEW.md es un archivo Markdown en la raíz de tu repositorio con instrucciones que solo se aplican al code review. Convive con CLAUDE.md, que guarda el contexto general del proyecto y que Claude lee en cualquier tarea. En Anthropic, cada code owner escribe el suyo para su parte del código.
La documentación de Anthropic propone este ejemplo para un servicio backend:
# Review instructions
## What Important means here
Reserve Important for findings that would break behavior, leak data,
or block a rollback: incorrect logic, unscoped database queries, PII
in logs or error messages, and migrations that aren't backward
compatible. Style, naming, and refactoring suggestions are Nit at
most.
## Cap the nits
Report at most five Nits per review.
## Do not report
- Anything CI already enforces: lint, formatting, type errors
- Generated files under `src/gen/` and any `*.lock` file
- Test-only code that intentionally violates production rules
## Always check
- New API routes have an integration test
- Log lines don't include email addresses, user IDs, or request bodies
- Database queries are scoped to the caller's tenant
La documentación sugiere cinco tipos de instrucción:
- Redefinir qué significa Important en tu repositorio.
- Limitar cuántos nits publica cada revisión.
- Listar rutas y categorías que se deben ignorar.
- Añadir reglas del equipo que se comprueben en cada PR.
- Exigir una cita
file:lineantes de publicar cierto tipo de hallazgo, para reducir falsos positivos.
Tres reglas sobre cómo se lee el archivo:
- Se puede anidar. Un
REVIEW.mden un subdirectorio, comoservices/billing/, añade comprobaciones para los cambios bajo esa ruta, además del archivo raíz. - Nunca se lee desde el propio PR. Se toma de la rama base o de la rama por defecto, así que un cambio en
REVIEW.mdsolo surte efecto después de fusionarlo. - La protección de rama importa. Algunas instrucciones solo se respetan si el archivo raíz está en una rama por defecto protegida: bajar la severidad de un hallazgo, excluir rutas y limitar los nits.
Si quieres entender cómo Claude Code combina CLAUDE.md con otros archivos de instrucciones, lo explicamos en Claude Code ya lee AGENTS.md.
¿Funciona REVIEW.md en el plan Pro o Max?
No. Al 17 de octubre de 2026, REVIEW.md solo lo lee el servicio alojado Code Review, disponible en los planes Team y Enterprise. El comando local /code-review lee tus archivos CLAUDE.md e ignora REVIEW.md; la documentación de Anthropic lo indica de forma explícita.
En Pro o Max, las palancas equivalentes son estas:
- Pon las pautas de revisión en
CLAUDE.md./code-reviewlo lee. - Personaliza
/security-review. Copia el archivosecurity-review.mddel repositorio de security review de Anthropic en la carpeta.claude/commands/de tu proyecto y edítalo. - Dale tus propias instrucciones a la GitHub Action. Usa su parámetro
custom-security-scan-instructions.
Escribir un REVIEW.md de todas formas no cuesta nada, y estará listo si tu organización pasa a un plan que lo lea.
¿Cómo usar /code-review en Claude Code?
Ejecuta /code-review dentro de una sesión de Claude Code; está disponible en cualquier plan. Informa de bugs de corrección y ajusta su profundidad con un argumento de esfuerzo, por ejemplo /code-review high. Si añades --comment, publica los hallazgos como comentarios en línea en el PR de GitHub. Se ejecuta en tu sesión, tarda entre segundos y pocos minutos, y cuenta en tu uso normal.
Para una pasada más profunda, /code-review ultra (ultrareview) lanza una flota de agentes revisores en un sandbox en la nube y reproduce cada hallazgo antes de reportarlo. Al 17 de octubre de 2026 está en research preview. Las cuentas Pro y Max tienen tres ejecuciones gratuitas, y después cada revisión cuesta normalmente entre 5 y 25 dólares en créditos de uso. No está disponible a través de Amazon Bedrock, Google Cloud ni Microsoft Foundry.
¿Cómo hacer un security review con /security-review?
Ejecuta /security-review en el directorio de tu proyecto. Revisa los cambios pendientes en busca de problemas como:
- Inyección (por ejemplo, SQL injection).
- Cross-site scripting (XSS).
- Fallos de autenticación y autorización.
- Manejo inseguro de datos.
- Dependencias vulnerables.
Después puedes pedirle a Claude que implemente las correcciones. El comando viene incluido en Claude Code y está disponible en los planes individuales de pago y en las cuentas de la API Console.
¿Cómo añadir revisión de seguridad automática a tus pull requests en GitHub?
Usa la GitHub Action de código abierto de Anthropic, anthropics/claude-code-security-review. El inicio rápido de su README va en .github/workflows/security.yml:
name: Security Review
permissions:
pull-requests: write # Needed for leaving PR comments
contents: read
on:
pull_request:
jobs:
security:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
with:
ref: ${{ github.event.pull_request.head.sha || github.sha }}
fetch-depth: 2
- uses: anthropics/claude-code-security-review@main
with:
comment-pr: true
claude-api-key: ${{ secrets.CLAUDE_API_KEY }}
Antes de añadirla, ten en cuenta tres cosas:
- Necesita una API key. Guárdala como el secreto
CLAUDE_API_KEYdel repositorio, habilitada tanto para la Claude API como para Claude Code. Las ejecuciones se cobran a esa clave, no a una suscripción. - No está protegida contra prompt injection. El README indica que solo debe revisar PR de confianza y recomienda exigir aprobación antes de que los workflows se ejecuten para colaboradores externos.
- Comenta, pero no bloquea. La Action publica hallazgos en el PR. En Anthropic un merge se bloquea porque las conversaciones de revisión deben resolverse antes; esa es una política de protección de rama del repositorio, no una función de ninguna de las dos herramientas.
La Action también acepta exclude-directories y un archivo false-positive-filtering-instructions para ajustar el filtrado. Si trabajas con Cursor, cubrimos un flujo parecido en Cursor Security Review.
¿Qué hace Code Review de Claude Code en los planes Team y Enterprise?
Code Review es el revisor alojado que el equipo de Claude Code usa en cada PR. Un Owner de la organización instala la Claude GitHub App y elige los repositorios. Cada repositorio tiene un ajuste de cuándo se ejecutan las revisiones: al abrir un PR, después de cada push o solo bajo petición. Además, cualquiera con permiso de escritura puede iniciar una comentando @claude review en el PR.
El Owner fija un nivel de revisión para la organización y puede cambiarlo por repositorio:
- Quick: la pasada más rápida y barata.
- Standard: el nivel por defecto.
- Deep: la más exhaustiva y cara, para código donde un bug que se escapa cuesta más que el tiempo de revisión.
Los hallazgos llegan como comentarios en línea ordenados por severidad, junto con un check run llamado Claude Code Review. Ese check run nunca termina en fallo: una revisión nunca aprueba ni bloquea un PR, y la decisión de fusionar sigue siendo de tu equipo.
Al 17 de octubre de 2026, Code Review:
- Está disponible de forma general en los planes Team y Enterprise.
- Funciona solo con GitHub, incluido GitHub Enterprise Server.
- No está disponible para organizaciones con Zero Data Retention, con la configuración HIPAA o con claves de cifrado gestionadas por el cliente.
¿Claude Code es gratis para hacer code review? ¿Cuánto cuesta?
No del todo: cada capa se paga de una forma distinta.
/code-reviewy/security-reviewcuentan en tu uso normal de Claude Code.- Ultrareview tiene tres ejecuciones gratuitas y después se cobra en créditos de uso.
- La GitHub Action se cobra a tu API key.
- Code Review se factura a la organización, y el Owner define un límite de gasto mensual.
¿Qué decisiones siguen siendo humanas?
Según el artículo, el equipo reservó cinco decisiones para las personas:
- Si un cambio debe construirse.
- Los cambios en código de riesgo, como facturación, el auto-updater y los workflows de CI.
- La arquitectura que fija un patrón que otros copiarán.
- Leer la evidencia: salida de los tests, capturas y hallazgos del revisor.
- Hacerse responsable del resultado, lo haya tecleado quien lo haya tecleado.
La aprobación de un agente nunca sustituye a la de una persona. Quien dirigió a un agente para escribir un PR cuenta como uno de sus revisores obligatorios.
¿Por dónde empezar?
La recomendación de Anthropic es incremental. Empieza con comprobaciones que tu agente pueda ejecutar, listadas en un CLAUDE.md breve. Añade /code-review y /security-review antes de hacer push. Pon un revisor de IA en un solo repositorio, ajusta sus instrucciones durante unas semanas y luego amplíalo. Cada comentario de revisión que te veas repitiendo, muévelo al archivo de instrucciones.
¿Y tú? ¿Qué regla pondrías primero en el REVIEW.md de tu equipo?
- En local, antes de hacer push
- En cada pull request, en CI
- Todavía no uso revisión con IA
- Prefiero otra opción (cuéntanos cuál)
Comenta abajo o, si este artículo te llegó por correo, responde directamente al email: tu respuesta se publica aquí.
Relacionado: Cómo hacer code review con Claude Code y otros agentes with Open Code Review