Un hallazgo de seguridad solo cuenta si se puede explotar en tu entorno. Esa es la idea de AWS Continuum for code vulnerabilities, disponible de forma general desde el 22 de octubre de 2026. Cuando puede, el servicio ejecuta el exploit en un sandbox aislado, adjunta la prueba de concepto y abre el pull request con el arreglo.
Qué hace con tu código
Continuum construye un grafo de contexto que cruza el código de tus repositorios con tu cuenta de AWS. Un collector opcional, desplegado en la cuenta y la región donde corre el código, recoge recursos de AWS Config y la configuración de red. Con eso no se limita a listar lo que encuentra el escáner:
- Confirma si cada hallazgo es explotable y le asigna un nivel de evidencia, por ejemplo "static proven" cuando el análisis estático demuestra el camino vulnerable.
- Reproduce lo que puede: ejecuta el exploit en un sandbox y adjunta el código de la prueba de concepto y los pasos para reproducirlo.
- Describe el impacto: ruta de ataque, análisis del código, radio de explosión y si tus defensas actuales detectarían y pararían ese camino.
- Propone el arreglo como parche de código, actualización de dependencia o cambio de configuración, y lo abre como pull request en el repositorio.
En la consola, la pestaña Findings guarda la salida en bruto de los escáneres e Issues solo lo validado y priorizado por impacto de negocio. Es la separación que cualquiera que haya triado un informe de SAST con cientos de alertas va a agradecer.
Todo arreglo pasa hoy por una persona: alguien revisa y fusiona el PR. AWS anuncia que más adelante se podrá dejar que Continuum aplique cambios por su cuenta, con criterios como la cobertura de tests, el alcance del cambio y su historial de aciertos.
Cuánto cuesta
No hay cuota inicial ni mínimo, y tampoco capa gratuita para esta parte del servicio (la prueba de dos meses es solo para la de pentesting). Se paga una cuota mensual por líneas de código protegidas, por tramos, más 10 dólares por cada Continuum inference unit (CIU) que consuma el análisis.
| Líneas protegidas al mes | Precio por millón de líneas |
|---|---|
| Primeros 10 millones | 200 $ |
| Siguientes 90 millones | 180 $ |
| De 100 millones a 1.000 millones | 160 $ |
| De 1.000 a 10.000 millones | 130 $ |
| Más de 10.000 millones | 100 $ |
Una organización con 2 millones de líneas paga 400 dólares al mes de cuota de contexto. Con 150 millones, la cuenta sale a 26.200 dólares: 2.000 de los primeros 10 millones, 16.200 de los 90 siguientes y 8.000 de los últimos 50. A eso hay que sumar las CIU, y ni el anuncio ni la página de precios dicen cuántas consume un escaneo. Esa es la cifra que necesitas antes de presupuestar: lanza un piloto con un repositorio acotado y mira el consumo real en la factura.
Cómo se activa
No hay comandos de CLI en el anuncio; todo se hace en la consola de AWS Continuum, en Code vulnerabilities:
- Conecta una fuente de código: una integración con GitHub o un bucket de Amazon S3. El bucket tiene que estar en la misma cuenta y región donde actives Continuum, que accede asumiendo un rol de IAM.
- Crea un environment que escanee esa fuente con la frecuencia que elijas.
- Opcionalmente, despliega un collector en la cuenta y región donde corre el código y autoriza al environment a usarlo. Sin él, Continuum pierde el contexto de AWS que le permite priorizar.
Por ahora solo está en US East (N. Virginia) y US West (Oregon). El anuncio no lista lenguajes soportados ni otros proveedores de Git además de GitHub.
Frente a Claude Security
La comparación obvia es con Claude Security, que Anthropic tiene en beta pública para clientes de Claude Enterprise. Los dos validan antes de avisar y los dos dejan el arreglo en manos de una persona, pero parten de sitios distintos.
| AWS Continuum | Claude Security | |
|---|---|---|
| Estado | Disponibilidad general | Beta pública (Claude Enterprise) |
| Escaneo | Programado por environment | Continuo a medida que cambia el código |
| Validación | Exploit en sandbox y nivel de evidencia | Verificación adversarial de cada hallazgo |
| Contexto | Código más tu cuenta de AWS | Código y un modelo de amenazas editable |
| Arreglo | Pull request en el repositorio | Parche recomendado para revisar |
| Fuentes | GitHub o S3 | Repositorios conectados |
Si tu código corre en AWS, la ventaja de Continuum es saber si el camino vulnerable llega de verdad a un recurso expuesto y si tus defensas lo paran. Eso no lo puede deducir una herramienta que solo ve el repositorio. Si tus servicios están repartidos entre nubes o el código vive fuera de GitHub, ese contexto se pierde y lo que queda es otro escáner con validación, con un precio que crece con las líneas de código.
Fuentes
- AWS Continuum for code vulnerabilities is now generally available, AWS News Blog, 22 de octubre de 2026.
- AWS Continuum pricing, Amazon Web Services.
- Claude Security, Anthropic.