Cómo actualizar dependencias con IA de forma segura

Actualizar dependencias en un proyecto generado con IA es un paso obligatorio cuando trabajas con LLM, porque estos modelos tienen una fecha de corte y no conocen las versiones más recientes de tus librerías. Si programas con asistentes de código, este flujo te ayuda a mantener tu stack al día sin exponerte a riesgos de seguridad.

El problema aparece rápido. Al correr el proyecto en la terminal, Next.js reporta la versión 15.5.19, pero la documentación oficial ya va en la 16.2.9. Esa diferencia no es un error tuyo: los LLM se entrenan hasta una fecha límite y quedan desactualizados desde ahí hacia adelante [00:22].

Por qué los LLM instalan versiones desactualizadas

Un modelo de lenguaje no aprende en tiempo real. Se entrena con datos hasta cierto punto y todo lo que salió después simplemente no existe para él. Por eso, cuando genera tu package.json, tiende a poner versiones viejas.

¿Por qué mi IA instala versiones antiguas de librerías? Porque los LLM tienen una fecha de corte en su entrenamiento. No conocen las versiones publicadas después de esa fecha, así que instalan la última que sí conocen.

La solución es darle al agente la capacidad de buscar en Internet y consultar la documentación oficial actual. Así puede comparar tu versión real contra la más reciente y aplicar los breaking changes correspondientes.

Cómo configurar los escudos de seguridad del agente

Antes de ejecutar cualquier prompt que busque en Internet, revisa los permisos del agente. Esto es clave para evitar ataques de prompt injection, donde un hacker crea páginas web diseñadas para inyectar instrucciones maliciosas en tu prompt [01:37].

En la sección de view, settings, agents, ajusta lo siguiente:

• Activa la búsqueda en Internet en la parte de contexto, para que el agente pueda consultar documentación.
• Apaga la opción de autoaceptar contenido que viene desde Internet, para que no ejecute código sin tu permiso.
• Apaga la browser protection que corre scripts del navegador automáticamente.
• Mantén prendida la search web tool.

La idea es sencilla: le das la propiedad de buscar, pero le quitas la de ejecutar sin tu aprobación lo que encuentre. Con estas settings ya puedes lanzar tu prompt con tranquilidad.

¿Qué es un prompt injection? Es un ataque donde alguien esconde instrucciones maliciosas en una página web para que tu agente de IA las lea y ejecute código que tú no autorizaste.

Qué prompt usar para actualizar dependencias

El primer prompt que se ejecuta es directo: "Verifica mis versiones reales del package.json. Luego busca la documentación oficial actual de cada dependencia y actualiza el código según los breaking changes de cada una" [00:56].

Al correrlo, el agente lee todo el repositorio y pide confirmación antes de buscar en Internet. Se le autoriza consultar la documentación de Next, Hono, el node_server de Hono, React y Tailwind.

El resultado fue parcial. El agente subió muchas dependencias, por ejemplo TypeScript de la 5.9.0 a la 5.9.3, pero dejó Next.js en la versión 15 en lugar de subirlo a la 16 [04:20].

Cómo hacer el prompt más específico

Cuando el agente se queda corto, la solución es darle contexto exacto. Copia la URL de la documentación oficial de Next y pásasela directamente en el chat: "Mantuviste Next.js en la versión 15, pero ya existe una versión 16. Acá encuentras la documentación" [04:50].

Como ya habilitaste las settings para que haga fetch, el agente accede al link, compara los package, revisa las diferencias entre versiones y verifica cuál es la última versión disponible. Cada acción te pide permiso, y tú puedes autorizar que a esa URL siempre tenga acceso.

Esta vez sí funcionó: Next.js pasó de la 15.5.19 a la 16.2.9, coincidiendo con la documentación oficial [06:20]. También subió ESLint, aunque mantuvo React sin cambios.

¿Cómo actualizo una librería específica con un agente de IA? Pásale en el chat el link de la documentación oficial de esa versión. Con los permisos de fetch activos, el agente lee los breaking changes y aplica los cambios correctos.

Cómo confirmar que la actualización se aplicó bien

No confíes solo en el resumen que te da el agente. Verifica el archivo directamente. Abre el gestor de archivos, entra a apps, luego a web, y revisa el package.json [06:40].

Ahí confirmas que la versión de Next es la que deseas para tu proyecto. Este paso manual cierra el ciclo: el agente propone, tú validas.

Un detalle importante es que este trabajo deberías repetirlo con cada librería instalada en tu proyecto, no solo con Next.js. Cada dependencia tiene su propia documentación y sus propios breaking changes.

Habilidades y conceptos clave de la clase

Estos son los puntos que vale la pena que domines de este flujo de trabajo:

• Fecha de corte de los LLM: límite temporal de entrenamiento que deja al modelo sin conocer versiones nuevas [00:22].
• Prompt injection: técnica de ataque que inyecta instrucciones maliciosas desde páginas web [01:37].
• Escudos de seguridad del agente: configuración de permisos que separa buscar en Internet de ejecutar código sin aprobación [01:16].
• Fetch a documentación: capacidad del agente de leer una URL oficial para actualizar su contexto [05:10].
• Breaking changes: cambios entre versiones que rompen compatibilidad y deben aplicarse al actualizar [00:56].
• Validación manual del package.json: revisar el archivo para confirmar la versión aplicada [06:40].

Tu reto ahora es actualizar las demás librerías de tu proyecto o crear un prompt que lo haga por ti. ¿Ya probaste pasarle links de documentación a tu agente? Cuéntame cómo te fue en los comentarios.