vittori:~$ open nightfactorys.md

Vittori Consulting

Night
Factorys

> la fábrica de software que no duerme_

De día, su equipo define intención y audita. De noche, agentes de IA producen. Un turno de producción adicional por día, gobernado por compuertas ejecutables, con costo medible y una pista de auditoría que se construye sola. Del SDLC al ADLC, en organizaciones reales.

Pedir un diagnóstico Leer el white paper

18:00

Cargar la colaIntenciones y especificaciones que pasan el test de dormir.

23:00 → 07:00

Producir con guardrailsAgentes en sandbox, ramas aisladas, hooks que bloquean, tope de gasto.

09:00

Auditar y mergearTriage de 30–45 min sobre PRs con tests y evidencia.

+1 turno/día

Más del 70% de las horas del año el pipeline está detenido. La noche pasa a producir.

8–12 horas-desarrollador de salida por noche · patrón documentado

30–45 min

Revisión matutina de una noche entera de trabajo cuando las tareas están bien especificadas.

Vaughan, "The Overnight Agent Pattern", 2026

1,2–1,8 vs 2,7

Reversiones por mil PRs mergeados: agentes gobernados vs. humanos.

Greptile, millones de PRs en 65.000 orgs, mar–abr 2026

01 ·

El ciclo de vida fue diseñado para humanos

El SDLC es sesenta años de defensas contra fallas humanas. Requerimientos porque la gente olvida; QA porque la gente no prueba; comités de release porque la gente despliega un viernes a las seis. Los agentes fallan distinto: inventan paquetes, declaran terminado lo que no lo está, y borran una base de producción en nueve segundos si encuentran una credencial donde no debían.

Inyectar agentes en un proceso pensado para personas produce lo que los datos muestran. DORA 2025: más throughput, menos estabilidad. Faros 2026: incidentes por PR ×3, tiempo de revisión ×5, deploys semanales −11,7%. McKinsey 2026: el 30% de los líderes reporta caída de productividad. La generación escala; la absorción no.

	SDLC	ADLC
Forma	Lineal, por etapas con compuertas	Continuo: artefacto entra → agente trabaja → artefacto sale
Mueve el trabajo	Personas, en reuniones y handoffs	Artefactos versionados, en commits
Conocimiento	En la cabeza de los seniors	En archivos de contexto versionados
Guardrails	Hábitos	Hooks que bloquean, no sugieren
QA	Una etapa al final	Evaluaciones continuas en cada sesión
Mantenimiento	Un humano abre un ticket	La alerta genera una nueva intención
Auditoría	Reconstruida a posteriori	La cadena de commits es el audit trail

02 ·

La cadena de artefactos

intent.md

qué construir

lo escribe quien lo pide, en sus palabras

spec.md

diseño y enfoque

refinado con el agente en una sesión

plan.md

plan de implementación

pasos con criterio de aceptación

código + tests

el diff

construido con contexto y hooks

review record

aprobación y deploy

quién, contra qué criterios

production signal

incidente / métrica

genera el próximo intent.md

Seis artefactos, todos en el repositorio. Cuando el regulador, el cliente enterprise o el comité de riesgo pregunten por qué está este código acá y quién lo autorizó, la respuesta es un git log, no una investigación de tres semanas.

03 ·

Qué corre de noche y qué no

Pasa el test de dormir

¿Puedo verificar el resultado en menos de dos minutos a la mañana?

Cobertura de tests en módulos sin tests, hasta un umbral medible.
Actualizaciones de dependencias y parches de seguridad con la suite en verde.
Migraciones mecánicas: componente deprecado a su reemplazo, pantalla por pantalla, un PR por pantalla.
Refactors acotados y bugs con reproducción clara.
Documentación técnica y de API generada desde el código real.

Nunca corre de noche

No porque los agentes no puedan. Porque el costo del error excede lo que una revisión de dos minutos detecta.

Despliegues a producción.
Autenticación, pagos, permisos.
Migraciones de datos.
Decisiones de arquitectura.
Código sin tests previos.

Regla de back pressure. Solo se le da a un agente tanta autonomía como se pueda verificar de forma barata y confiable. La cola nocturna se dimensiona por la capacidad de revisión matutina del equipo, no al revés.

04 ·

Costo, velocidad, riesgo

Costo

Un turno nocturno cuesta una fracción de un salario cargado. Anthropic publica ~US$13 por desarrollador por día activo; OpenAI, US$100–200 por desarrollador por mes en Codex. La unidad de cuenta correcta es costo por cambio mergeado y verificado, y la medimos semanalmente.

Velocidad

Lo que entra a las 18h está listo a las 9h, siempre. Es el modelo follow-the-sun sin oficinas en tres continentes. El backlog de mantenimiento que ningún sprint prioriza se convierte en la dieta natural de la noche, y las horas humanas del día quedan para lo que requiere criterio.

Riesgo

Un prompt no es un control. Replit (2025), Cursor (2025), PocketOS (2026): en todos los incidentes públicos el agente tenía más permisos de los que la tarea requería y la única barrera era una instrucción en lenguaje natural. Sandbox, hooks que bloquean, mínimo privilegio por tarea y lista de exclusión nocturna. El peor escenario de una noche es una rama descartada.

Audit trail por construcción. Los auditores de SOC 2 empiezan a pedir, para código producido por agentes, logs por acción con versión del modelo, llamadas a herramientas y resultado, atados a cambios aprobados, probados y reversibles. ISO 42001 exige registro de eventos y verificación. La Ley de IA europea mantiene transparencia desde agosto de 2026. Una organización que opera ADLC tiene esa evidencia en el repositorio; una que no, la reconstruye a mano dentro de dos años.

05 ·

Cómo trabajamos

Fase 1

Diagnóstico

2–3 semanas

Evaluamos el repositorio contra los fundamentos que hacen posible la verificación barata: tests, CI, convenciones, separación de entornos, secretos. Identificamos el backlog nocturno candidato y estimamos el costo mensual de tokens.

Salida: informe con backlog priorizado, mapa de riesgos y go / no-go honesto. No todo repositorio es candidato.

Fase 2

Piloto

6–8 semanas

Instalamos el harness en un repositorio: contexto institucional, políticas como skills, hooks, sandbox, cola nocturna, watchdog y tablero. Entrenamos a 2–3 personas en escribir intenciones y en el triage matutino. Operamos la noche junto con ellas.

Salida: tasa de aceptación matutina sobre el umbral acordado, reversiones ≤ histórico, costo por cambio dentro de lo estimado.

Fase 3

Operación y escala

continuo

Más repositorios, más clases de tareas, revisión semanal de cuatro métricas y ajuste del harness a medida que los modelos cambian. Transferimos la operación al equipo del cliente o la operamos como servicio.

Siempre: artefactos, políticas y conocimiento institucional quedan en el repositorio del cliente.

Treinta y cinco años construyendo y operando software en organizaciones grandes, desde un desarrollador COBOL solo hasta equipos de miles de personas, y experiencia directa diseñando pods que combinan seniors humanos con agentes en producción. Sabemos qué se rompe en un sistema brownfield cuando se lo apura, porque lo vimos romperse.

06 ·

Pedir un diagnóstico

Una conversación de 45 minutos sobre su repositorio, su equipo y su backlog. Si NightFactorys no aplica todavía, se lo decimos y le proponemos qué construir primero.

pablo@vittori.me

linkedin.com/in/pablovittori · vittori.info

Fuentes seleccionadas

Uber Engineering, "Running a Software Factory Efficiently at Uber Scale", ago 2026
Greptile, "Rise of the Overnight Agents", may 2026
Google / DORA, "State of AI-assisted Software Development", 2025; "The ROI of AI-assisted Software Development", 2026
McKinsey, "Beyond the copilot", ago 2026
Faros AI, "The AI Productivity Paradox", 2025; "The Acceleration Whiplash", 2026
METR, estudios de productividad, jul 2025 y feb 2026
Anthropic, documentación de Claude Code (hooks, sandbox, costos)
Cloud Security Alliance, "SOC 2 AI controls gap", ago 2026
OWASP, Top 10 for Agentic Applications, 2026
Vittori, "La fábrica de software", ago 2026 · white paper completo con 32 fuentes en el link de arriba

Vittori Consulting

Night
Factorys

> the software factory that doesn't sleep_

By day, your team writes intent and audits. By night, AI agents build. One extra production shift per day, governed by executable gates, with measurable cost and an audit trail that builds itself. From SDLC to ADLC, in real organizations.

Request a diagnostic Read the white paper

6 PM

Load the queueIntents and specs that pass the sleep test.

11 PM → 7 AM

Build with guardrailsSandboxed agents, isolated branches, blocking hooks, spend caps.

9 AM

Audit and merge30–45 min triage of PRs that ship with tests and evidence.

+1 shift/day

The pipeline sits idle for over 70% of the hours in a year. The night starts producing.

8–12 developer-hours of output per night · documented pattern

30–45 min

Morning review of a full night's work when tasks are well specified.

Vaughan, "The Overnight Agent Pattern", 2026

1.2–1.8 vs 2.7

Reverts per thousand merged PRs: governed agents vs. humans.

Greptile, millions of PRs across 65,000 orgs, Mar–Apr 2026

01 ·

The lifecycle was designed for humans

The SDLC is sixty years of defenses against human failure modes. Requirements because people forget; QA because people don't test; release boards because people deploy on Friday at six. Agents fail differently: they invent packages, declare unfinished work done, and delete a production database in nine seconds if they find a credential where they shouldn't.

Injecting agents into a process built for people produces exactly what the data shows. DORA 2025: more throughput, less stability. Faros 2026: incidents per PR ×3, review time ×5, weekly deploys −11.7%. McKinsey 2026: 30% of leaders report a productivity drop. Generation scales. Absorption doesn't.

	SDLC	ADLC
Shape	Linear, stage-gated	Continuous: artifact in → agent works → artifact out
Moves the work	People, in meetings and handoffs	Versioned artifacts, in commits
Knowledge	In senior engineers' heads	In versioned context files
Guardrails	Habits	Hooks that block, not suggest
QA	A stage at the end	Continuous evals in every session
Maintenance	A human opens a ticket	The alert writes a new intent
Audit	Reconstructed after the fact	The chain of commits is the audit trail

02 ·

The artifact chain

intent.md

what to build

written by the originator, in their words

spec.md

design and approach

refined with the agent in one session

plan.md

implementation plan

steps with acceptance criteria

code + tests

the diff

built with context and hooks

review record

approval and deploy

who, against which criteria

production signal

incident / metric

writes the next intent.md

Six artifacts, all in the repository. When the regulator, the enterprise customer or the risk committee asks why this code is here and who authorized it, the answer is a git log, not a three-week investigation.

03 ·

What runs at night, and what never does

Passes the sleep test

Can I verify the result in under two minutes in the morning?

Test coverage on untested modules, up to a measurable threshold.
Dependency updates and security patches with the suite green.
Mechanical migrations: deprecated component to its replacement, screen by screen, one PR each.
Scoped refactors and bugs with a clear reproduction.
Technical and API documentation generated from the real code.

Never runs at night

Not because agents can't. Because the cost of a wrong answer exceeds what a two-minute review can catch.

Production deployments.
Authentication, payments, permissions.
Data migrations.
Architecture decisions.
Code without existing tests.

Back-pressure rule. An agent gets only as much autonomy as can be verified cheaply and reliably. The night queue is sized to the team's morning review capacity, never the other way round.

04 ·

Cost, speed, risk

Cost

A night shift costs a fraction of one loaded salary. Anthropic publishes ~US$13 per developer per active day; OpenAI, US$100–200 per developer per month on Codex. The right unit of account is cost per merged, verified change, and we measure it weekly.

Speed

What enters the queue at 6 PM is ready at 9 AM, every time. Follow-the-sun without offices on three continents. The maintenance backlog no sprint ever prioritizes becomes the night's natural diet, and daytime human hours go to work that needs judgment.

Risk

A prompt is not a control. Replit (2025), Cursor (2025), PocketOS (2026): in every public incident the agent held more permissions than the task required and the only barrier was a natural-language instruction. Sandbox, blocking hooks, least privilege per task and a night exclusion list. The worst case of a night is a discarded branch.

Audit trail by construction. SOC 2 auditors are starting to ask, for agent-produced code, for per-action logs with model version, tool calls and outcome, tied to changes that are approved, tested and reversible. ISO 42001 requires event logging and verification. The EU AI Act keeps transparency obligations from August 2026. An organization running ADLC has that evidence in the repository; one that isn't rebuilds it by hand in two years.

05 ·

How we work

Phase 1

Diagnostic

2–3 weeks

We assess the repository against the fundamentals that make cheap verification possible: tests, CI, conventions, environment separation, secrets. We identify the candidate night backlog and estimate monthly token cost.

Exit: report with prioritized backlog, risk map and an honest go / no-go. Not every repository is a candidate.

Phase 2

Pilot

6–8 weeks

We install the harness in one repository: institutional context, policies as skills, hooks, sandbox, night queue, watchdog and dashboard. We train 2–3 people to write intents and run the morning triage. We operate the night alongside them.

Exit: morning acceptance rate above the agreed threshold, reverts ≤ historical, cost per change within estimate.

Phase 3

Operate and scale

ongoing

More repositories, more task classes, weekly review of four metrics, and harness tuning as models change. We hand operation over to the client's team or run it as a managed service.

Always: artifacts, policies and institutional knowledge stay in the client's repository.

Thirty-five years building and operating software in large organizations, from a solo COBOL developer to teams of thousands, plus direct experience designing pods that combine senior humans with agents in production. We know what breaks in a brownfield system when it's rushed, because we've watched it break.

06 ·

Request a diagnostic

A 45-minute conversation about your repository, your team and your backlog. If NightFactorys doesn't apply yet, we'll say so and propose what to build first.

pablo@vittori.me

linkedin.com/in/pablovittori · vittori.info

Selected sources

Uber Engineering, "Running a Software Factory Efficiently at Uber Scale", Aug 2026
Greptile, "Rise of the Overnight Agents", May 2026
Google / DORA, "State of AI-assisted Software Development", 2025; "The ROI of AI-assisted Software Development", 2026
McKinsey, "Beyond the copilot", Aug 2026
Faros AI, "The AI Productivity Paradox", 2025; "The Acceleration Whiplash", 2026
METR, developer productivity studies, Jul 2025 and Feb 2026
Anthropic, Claude Code documentation (hooks, sandbox, costs)
Cloud Security Alliance, "SOC 2 AI controls gap", Aug 2026
OWASP, Top 10 for Agentic Applications, 2026
Vittori, "The Software Factory", Aug 2026 · full white paper with 32 sources at the link above