Amazon Q ejecuta agentes en IAM, no en tus aplicaciones, así que KYA es el nuevo CI/CD: envía roles, no código