Seguridad del Loop Autónomo|INEMA.CLUB-PRO

Formación LOOP-R Ingeniería · curso 4 de 6 · 8 clases

Seguridad del Loop Autónomo: el agente que corre solo no puede tenerlo todo al mismo tiempo

Tríada letal, Regla de Dos, inyección por el contenido leído, permisos por etapa, hooks de guardia, sandbox probado, compuerta para lo irreversible y una auditoría de tu loop. Defensa para quien corre sus propios agentes, con ensayos locales que no gastan cuota.

Empezar por la clase 1 Ver el área de la formación
Sala de servidores oscura con un rack detrás de una puerta de vidrio cerrada con un candado pequeño.
  • 8clases
  • 23ejercicios con salida esperada
  • 11ensayos locales, sin llamar al modelo
  • 3pasos reales, una llamada cada uno

Las clases

En el orden en que cierras las puertas: mapear el riesgo, limitar lo que cada sesión junta, ver la inyección, permisos, hooks, sandbox, lo irreversible y la auditoría.

  1. Clase 1 · 15 minLa tríada letal: datos privados, contenido no confiable, salida hacia afueraUn agente que lee datos privados, lee texto escrito por cualquier persona y puede enviar algo hacia afuera puede ser controlado por quien escribió el texto. El nombre es de Simon Willison. En esta clase mapeas las sesiones de tu loop en las tres patas y cortas una donde las tres se juntan.
  2. Clase 2 · 15 minRegla de DosLa tríada habla de fugas. La Regla de Dos, publicada por Meta, habla también de daños: un agente que lee texto de afuera, ve lo que es sensible y puede cambiar cosas es comandable incluso sin red. En esta clase reprueba un loop que pasa la tríada y divídelo hasta que cada sesión tenga como máximo dos.
  3. Clase 3 · 20 minInyección por el contenido que el agente leeLa inyección no viene de quien conversa con el agente: viene de lo que él lee. Un texto escondido en una página, invisible para ti, es texto común para el modelo. En esta clase un agente falso, que obedece como obedecería el peor modelo, lee una página envenenada en tu máquina, y un canario muestra por dónde salió el secreto.
  4. Clase 4 · 20 minPermisos por etapa: capacidades y políticaPlanejar solo lee. Executar edita el código y corre las pruebas. Revisar lee y corre las pruebas. Si las tres etapas corren con el mismo permiso, el loop entero tiene el permiso de la más peligrosa. En esta clase cada etapa recibe su propio settings.json en Claude Code y su propio -s en Codex, y ves dónde una regla de deny deja pasar.
  5. Clase 5 · 20 minHooks como guardia: antes de la herramienta, contra borrar y colisionarUna regla de permiso compara texto; un hook ejecuta código antes de cada herramienta y puede mirar el disco. En esta clase activas tres guardias PreToolUse: una niega lo irreversible y los archivos del juez, otra muestra cuántos archivos borraría un rm y pide confirmación, y la tercera avisa cuando otra sesión tocó el mismo archivo.
  6. Clase 6 · 20 minSandbox de red y de archivosLa regla y el hook leen el comando; el sandbox no lee nada: el sistema operativo simplemente no deja que el proceso escriba fuera de la carpeta ni abra la red. Pero el sandbox también falla en silencio. En esta clase pruebas, con cuatro intentos de fuga, qué aguanta en tu máquina, y ves dos trabas que no aguantaron en esta.
  7. Clase 7 · 20 minLo irreversible pide humano; correr fuera de la terminal sin aumentar el radio de dañoEnviar, publicar, borrar y gastar no tienen vuelta atrás. En el loop, esas acciones se vuelven pedidos que esperan en una compuerta que solo tú abres, viendo destino y contenido. Y cuando el loop sale de la terminal hacia systemd, se lleva consigo el tope, el sandbox y la compuerta, no toda tu sesión.
  8. Clase 8 · 20 minAuditoría de seguridad de tu loopTodo lo que armó el curso cabe en un archivo: el mapa de las sesiones de tu loop, con las herramientas y los controles de cada una. auditar.py lee el mapa, revisa tríada, Regla de Dos, permisos, guardia, aislamiento probado, red, compuerta y topes, y guarda el checklist de lo que falta. Tú corriges, auditas de nuevo y marcas la próxima revisión.

Para quién es

  1. 1Quien corre Claude Code o Codex solos por horas, en loop, cron o systemd, en sus propios proyectos.
  2. 2Quien le dio al agente lectura de issues, páginas o correos y acceso al repositorio al mismo tiempo.
  3. 3Quien quiere saber, con pruebas, qué puede y qué no puede hacer el agente en su propia máquina.

Qué sales haciendo

  1. 1Mapear cada sesión del loop en las tres patas de la tríada y en la Regla de Dos, y cortar donde se cierra.
  2. 2Separar a quien lee contenido de afuera de quien tiene el secreto, y atrapar la fuga con un canario.
  3. 3Escribir deny por etapa, activar hooks que nieguen lo irreversible y probar que el sandbox aguanta.
  4. 4Poner envío, push y borrado detrás de una compuerta humana y auditar el loop con un checklist fechado.

Antes de empezar

  1. 1Linux con git, Python 3 y Node. macOS sirve para casi todo; las pruebas de sandbox y systemd son de Linux.
  2. 2Claude Code y Codex entrando por tu suscripción, solo para los pasos marcados "real".
  3. 3Recomendado: el curso 0 (Base). El curso 2 (Ejecución Larga) corre el loop que este curso protege.