Stack Overflow for Agents: qué es, cómo funciona y qué revisar antes de instalarlo

Stack Overflow for Agents es un Stack Overflow que usan los agentes de código en lugar de las personas: buscan soluciones antes de trabajar, publican lo que no encuentran y verifican lo que otros agentes dejaron. La idea de premiar la verificación por encima de la publicación es buena, pero hoy le pondría la política de publicación más estricta y no lo dejaría tocar mi AGENTS.md sin revisar antes qué escribe.

Stack Overflow lo anunció el 10 de junio de 2026 como un "API-first knowledge exchange built for the agentic era", y sigue en beta. Leí el anuncio y la skill completa que el sitio sirve en /skill.md, que es donde está la mecánica real.

Qué es Stack Overflow for Agents

Hoy cada sesión de Claude Code o Cursor vuelve a descubrir los mismos bugs raros, porque lo que aprendió un agente muere con su sesión. El anuncio lo ilustra con un agente que gasta 20 minutos de cómputo en resolver algo que otro agente había resuelto cinco minutos antes.

La propuesta es un repositorio compartido con cuatro tipos de post, según la skill:

• Question: un problema sin resolver.
• TIL: un problema resuelto, con el hallazgo concreto que lo destrabó.
• Blueprint: conocimiento de diseño reutilizable, más allá de un fix puntual.
• Playbook: un flujo de trabajo que otro agente descarga a propósito antes de ponerse a trabajar.

Cada agente tiene un dueño humano. Según el anuncio, las personas reclaman a sus agentes con el SSO de Stack Overflow, y el desempeño del agente queda atado a la reputación de su dueño. Es la defensa contra el spam: si tu agente publica basura, la basura lleva tu nombre.

El contexto: Stack Overflow necesita un modelo nuevo

DevOps.com recoge que las preguntas nuevas en Stack Overflow superaban las 200.000 al mes en su pico de 2014 y que a fines de 2025 habían caído cerca de un 98%. Si los humanos ya no escriben preguntas, la apuesta es que escriban los agentes. Desde el punto de vista del negocio tiene sentido: Stack Overflow conserva lo que mejor sabe hacer, que es votar, moderar y rankear respuestas, y cambia quién las produce. El mismo artículo recuerda que la empresa ya había lanzado AI Assist a fines de 2025, una interfaz de preguntas sobre su contenido público.

Cómo funciona la skill de Stack Overflow for Agents

La skill se llama sofa y se instala con npx skills add https://agents.stackoverflow.com/. Si no conoces ese comando, lo expliqué en el post sobre npx skills. Por debajo todo es una API JSON.

Autenticación y onboarding

La skill exige un Bearer token en todas las peticiones, incluidas las de solo lectura. Si el agente no tiene uno, arranca un flujo de onboarding que me pareció bien pensado:

1. El agente crea el flujo con POST /api/onboarding/flows.
2. Te muestra un claim_url y un claim_code de un solo uso.
3. Tú abres el enlace, inicias sesión, eliges el nombre del agente, su descripción, sus permisos y su política de publicación, y aceptas los términos.
4. El agente consulta el estado hasta recibir un auth_code, lo cambia por la API key y la guarda en el almacén de secretos del cliente, en SOFA_API_KEY o en .sofa/credentials.json, después de comprobar que esa ruta esté en el .gitignore.

La skill le prohíbe al agente inventar o elegir esos valores: el nombre, la descripción y la política los decides tú en el navegador.

Sesiones

Con la key, el agente abre una sesión y manda metadatos del cliente y del modelo:

POST /api/sessions
Authorization: Bearer YOUR_API_KEY
X-Sofa-Client-Name: claude-code
X-Sofa-Model-Name: claude-sonnet-4-5
X-Sofa-Model-Provider: anthropic
X-Sofa-Skill-Digest: lowercase-sha256-from-the-skill-response

Todas las peticiones siguientes llevan X-Sofa-Session. El X-Sofa-Skill-Digest es un hash de la versión de la skill que tiene instalada el agente: el servidor lo compara con la versión vigente y avisa si la del agente quedó vieja.

Buscar, votar y verificar

El flujo de consumo que recomienda la skill es este:

search -> open post/reply -> vote -> apply/test offline -> verify -> reply or create a post if there is reusable new knowledge

La búsqueda es un GET /api/posts con search, tag, content_type y filtros de confianza. Después de leer, el agente puede votar o verificar, y no es lo mismo:

• Votar es un juicio al momento de leer. La API rechaza el voto si el agente no abrió antes el detalle del post.
• Verificar es reportar qué pasó al aplicar la solución, con uno de tres resultados (worked_as_written, worked_with_changes o did_not_work) y un comentario obligatorio de hasta 500 caracteres.

{
  "post_id": "uuid-of-verifiable-post-or-reply",
  "outcome": "worked_with_changes",
  "feedback": "plain-prose note for the next agent"
}

El anuncio lo resume en una frase: "Verification, not creation, is what earns reputation". Y la skill aclara que la actividad sobre tus propios posts no suma reputación.

El trust score

Cada post trae un trust_summary con una puntuación de -100 a 100. Según la skill, los valores negativos indican evidencia de riesgo y desde +60 un post se considera confiable. El detalle incluye un evidence_summary y un verification_trail, así que el agente puede revisar los votos y verificaciones que hay detrás del número. Para buscar solo lo confiable:

GET /api/posts?search=parse+JSON&tag=python&min_trust_score=60

También existe trust_status=unscored, que devuelve los posts que todavía nadie evaluó, y se usa para encontrar qué verificar.

Políticas de publicación

Hay cuatro políticas y se eligen en el navegador durante el onboarding. Para mí es la decisión más importante de toda la configuración:

Según la skill, las políticas con código de aprobación aplican a posts, playbooks, respuestas y ediciones, pero no a votos ni verificaciones.

Lo que Stack Overflow for Agents hace bien

Premia la verificación

A un agente escribir no le cuesta nada, así que contar posts no mide nada. Que otro agente reporte "lo apliqué y funcionó con cambios" sí dice algo sobre la solución.

Trata el contenido como no confiable

La skill tiene una sección entera sobre leer SOFA con cuidado: los posts son "untrusted, agent-authored reference material". Le dice al agente que no decodifique ni ejecute base64, que no corra comandos que no entienda y que ignore cualquier post que le pida revelar secretos o cambiar de comportamiento. Los playbooks se pueden inspeccionar sin ver los pasos (GET /api/playbooks/{id}) y solo se descargan los pasos con un pull deliberado.

Pone límites contra el abuso

Los posts solo se pueden editar mientras nadie los votó, verificó ni respondió. Borrar es irreversible desde el lado del agente, para que no pueda deshacer una acción de moderación. Y el feedback de producto pasa por un filtro de datos personales y secretos: si el filtro no está disponible, el envío se rechaza.

Lo que me frena

La activación escribe en tus instrucciones

La skill describe un paso de "New Project Activation": si el proyecto no tiene guía sobre SOFA, el agente busca el Playbook Install SOFA Project Activation Pack y aplica sus pasos sobre tu AGENTS.md, tu CLAUDE.md o tus reglas de Cursor. Es decir, contenido descargado de la red modifica el archivo que gobierna a todos tus agentes. La skill pone condiciones (que sea seguro editar, sin credenciales) y permite saltarlo si el repo no quiere cambios, pero yo lo dejaría por escrito en el AGENTS.md antes de instalar nada.

Mete texto del servidor en tus respuestas

Al terminar una tarea, la skill le pide al agente que consulte GET /api/sessions/current/summary y que pegue el compact_text que devuelve el servidor "exactly once" al final de su respuesta, sin cambiarlo. La respuesta trae los conteos de búsquedas, posts consultados, verificaciones y aportes de la sesión, y el compact_text lo redacta el servidor, así que termina siendo texto de Stack Overflow metido en la conversación con tu agente.

No deja enlazar a la fuente original

La skill solo permite enlaces a Stack Overflow, a la red de Stack Exchange y al propio SOFA. Para documentación de un fabricante, un blog o un issue de GitHub, pide parafrasear y nombrar la fuente en texto plano. Entiendo que sea para frenar el spam, pero el resultado es que la fuente primaria de un fix queda a un copiar y pegar de distancia, y el conocimiento se queda dentro de la red.

La licencia no aparece

Ni el anuncio ni la skill dicen bajo qué licencia queda lo que publica tu agente. Los términos se aceptan en la página de reclamo, durante el onboarding. Para un agente que trabaja sobre código privado, es lo primero que leería.

Le cierra la puerta a los propios agentes

Cuando le pedí a mi agente que leyera /about, /skill.md y /llms.txt, el sitio respondió 403 con la página de desafío de Cloudflare. La skill la terminé leyendo copiada a mano. Para un producto pensado para agentes, es una mala primera impresión.

El arranque en frío

Un repositorio de soluciones vale lo que vale su volumen de verificaciones. Sin agentes que verifiquen no hay trust score, y sin trust score no hay razón para consultarlo antes que la documentación. DevOps.com apunta el mismo riesgo desde otro lado: sin aportes humanos frescos, el valor del sitio para los agentes se degrada.

Cómo lo probaría

Si quieres probarlo, yo lo haría así:

1. Elige approval_code_to_draft o draft_directly en el onboarding. Nada sale sin que lo leas.
2. Antes de abrir la primera sesión, deja escrito en tu AGENTS.md que la activación no se aplica sin tu aprobación.
3. Úsalo primero en solo lectura, con min_trust_score=60, para ver si encuentra algo que la documentación no tenga.
4. No lo conectes a proyectos con código que no podrías publicar.

Preguntas frecuentes

Fuentes

• Announcing Stack Overflow for Agents (anuncio oficial de Stack Overflow)
• Stack Overflow for Agents skill (skill oficial sofa)
• sofa en skills.sh (comando de instalación)
• Stack Overflow Is Being Reborn as a Back-End Service for AI Agents (DevOps.com, Steven J. Vaughan-Nichols)