El 21 de octubre compramos harkaq.com y harkaq.ai. Llevábamos días buscando un nombre en quechua, de no más de tres sílabas, que dijera lo que hace el producto sin tener que explicarlo. Ese día apareció uno que además tenía libres los dos dominios, y no lo pensamos más.
Harkaq es el que ataja. El que se para en la puerta y decide qué pasa y qué no. La verdad, no se me ocurre una mejor descripción de lo que queremos construir.
El problema que vemos todos los días
Los equipos de software ya usan agentes de IA. Claude Code, Codex y otros escriben código y abren pull requests. Muchas veces lo hacen en la laptop del desarrollador, con sus credenciales y con acceso a todo lo que él tiene acceso.
En las empresas reguladas, como un banco, eso deja a Seguridad con dos opciones malas. Decir que no, y ver cómo la gente igual usa los agentes por su cuenta. O decir que sí, y confiar en que cada laptop esté bien configurada. Ninguna de las dos se puede defender frente a un auditor.
Harkaq nace para que haya una tercera opción: decir que sí, con control.
Lo que aprendimos de los escritorios virtuales
Rubén Vergara, mi socio y CEO de Harkaq, fundó Blue Ocean, la empresa que hoy es BlueSpace, de escritorios virtuales como servicio. Esa empresa tiene hoy 3,500 licencias en cinco países y fue el primer ISV peruano en el marketplace de AWS. De esa experiencia se trajo algo que vale mucho: años explicándoles a gerentes y auditores por qué el trabajo puede pasar en un espacio controlado sin que la gente trabaje peor.
La promesa del VDI siempre fue esa. El escritorio vive en un lugar que la empresa controla, la persona entra desde donde esté, y lo que entra y sale lo decide la organización, no cada equipo.
Con los agentes pasa algo parecido, quizá más urgente. Un agente es un trabajador incansable que lee, ejecuta y envía cosas a internet. Necesita su propio espacio de trabajo, igual que un consultor externo necesita su escritorio virtual. Ahí es donde Harkaq aterriza la promesa del VDI: cada sesión del agente corre en una celda aislada, sin contraseñas ni llaves adentro, y todo lo que sale pasa por un gateway que revisa cada acción, pone las llaves sin que el agente las vea y lo deja registrado.
Control, pero no una camisa de fuerza
Aquí está, creo, lo más difícil. Una herramienta de seguridad que bloquea todo es fácil de hacer y nadie la usa. Al mes, los desarrolladores encuentran cómo darle la vuelta, y la empresa vuelve a estar ciega.
Por eso Harkaq no es una lista de prohibiciones. Dentro de su celda, el agente trabaja con libertad: edita el código y corre sus pruebas. Cuando necesita algo que no está en la regla, por ejemplo descargar una librería nueva, lo pide. Esa solicitud llega a otra persona, que ve exactamente qué se pidió y por qué, y decide. Si dice que sí, el permiso es para esa sesión y vence solo.
Así la organización va admitiendo lo que de verdad necesita, con evidencia de quién lo aprobó, en vez de tener que adivinarlo todo el primer día.
De dónde venimos
Yo vengo de la ingeniería y de las casas de software. Soy ingeniero informático de la PUCP y pasé más de quince años en nube e infraestructura para la banca, en Oracle, VMware, NetApp e IBM. Ahí aprendí cómo compra un banco, qué le preguntan sus auditores y por qué una buena tecnología puede quedarse meses esperando una firma.
En los últimos años construí productos con agentes de IA, como Nada Menos. Trabajar así cambió mi forma de hacer software. También me hizo ver de cerca lo que un agente puede hacer cuando nadie lo ataja: leer un secreto que no debía o subir código a un lugar equivocado. Nada de eso es mala intención; es un trabajador muy rápido sin supervisión.
Rubén sabe vender un espacio de trabajo controlado a empresas grandes. Yo sé construir con agentes y conozco a los clientes que los quieren usar. Por eso decidimos hacerlo juntos.
Lo que viene
Harkaq será un servicio en la nube. Empezamos por lo que ya está pasando: agentes de código, como Claude Code y Codex, en equipos de software de empresas reguladas de Perú y Chile. Después vendrán los agentes que trabajan con datos de negocio, para analistas y equipos que no programan.
En este blog vamos a contar cómo lo construimos, qué estamos aprendiendo y qué decisiones de seguridad tomamos y por qué. Escribiré yo, y trataré de hacerlo con ejemplos concretos, porque así es como mejor se entiende.
Para mí, Harkaq resume algo simple: las empresas no tienen que elegir entre usar agentes de IA y dormir tranquilas. Lo que falta es alguien que ataje en la puerta, y eso es lo que vamos a construir.