1. La celda: donde trabaja el agente
Cada sesión abre un espacio nuevo, que se descarta al terminar. Ahí están el código, la terminal y el agente, y se sienten como la máquina del desarrollador.
- Sin contraseñas ni llave del modelo. Dentro del espacio no hay ningún secreto: si al agente lo engañan, no tiene nada que robar.
- Sin salida propia. El espacio solo puede hablar con el gateway.
- Separado de los demás espacios y de los sistemas de la empresa.
- El trabajo se guarda; lo que el agente deje escondido, no. Al cerrar la sesión se limpia lo que podría ejecutarse a escondidas la próxima vez.
2. El gateway: la única puerta
Todo lo que sale del espacio pasa por el gateway. Para cada pedido:
- Reconoce quién pide y desde qué espacio.
- Revisa si esa acción concreta está permitida. No basta con que el destino sea conocido: subir una rama del agente se permite, borrar la rama principal no.
- Busca contraseñas o datos escondidos en todo lo que sale, incluidos los encabezados y los nombres de archivo.
- Pone la llave al salir, sin que el agente la vea.
- Anota todo en una bitácora encadenada, que no se puede editar sin que se note.
Lo que no se puede revisar, no sale. Cuando algo se bloquea, el agente recibe un mensaje claro de qué se intentó y por qué no, y propone el camino permitido.
3. Las aprobaciones: decide otra persona
Si el agente necesita algo fuera de la regla, como descargar un paquete que no está en la lista del proyecto, lo pide. El pedido llega a la bandeja de otra persona, nunca a quien lo pidió.
- Quien aprueba ve la dirección exacta, la huella del archivo y el motivo que dio el agente, y puede ver lo que el modelo había leído antes de pedirlo.
- El permiso es de un solo uso, para esa sesión, y vence solo.
- Queda registrado quién pidió, quién aprobó y por qué.
4. Lo que llega a producción
El agente solo puede subir sus cambios a ramas propias. Cada cambio llega al pull request marcado como hecho con ayuda de IA y con un resumen de riesgo para quien revisa, y solo llega a la rama principal si lo aprueba otra persona.
Si en una sesión el agente cambia las instrucciones del proyecto, como AGENTS.md o CLAUDE.md, la sesión siguiente lo muestra y avisa cuando el cambio pide algo que se repetiría en cada sesión.
5. La consola de Seguridad
Seguridad define la regla una vez para todos los agentes y ve cada acción en una bitácora que se filtra por proyecto, persona, agente y resultado. El informe de evidencia para auditoría sale con un clic: verifica la cadena de la bitácora y declara lo que está pendiente en vez de ocultarlo.