Agentes de código: permisos, sandbox y revisión humana

Con un asistente en el editor, una persona decide cada línea antes de que exista. Con un agente, la decisión se delega: el agente trabaja con una identidad propia —una cuenta de servicio con un token— y todo lo que esa identidad puede hacer, lo puede hacer el agente sin preguntar, por error o porque un texto que leyó se lo pidió. Es la agencia excesiva de la lista de OWASP para aplicaciones con modelos, aplicada al repositorio.

Por eso la seguridad de un agente de código no se mide por lo bien que escribe, sino por sus límites: qué permisos tiene su token, a qué ramas llega, qué comandos ejecuta sin confirmación, a dónde puede conectarse, qué secretos ve y si una persona revisa antes de que su trabajo llegue a producción. El entorno aislado donde corre —un contenedor efímero, por ejemplo— limita el daño en la máquina, no lo que el agente hace con sus credenciales.

Corregir un redondeo pide leer y escribir código de la aplicación y abrir un PR. Nada más. Cualquier permiso adicional del token es superficie que no aporta a la tarea: si el agente se equivoca o lo manipulan, ese permiso decide hasta dónde llega el daño. El de modificar los flujos de integración y despliegue es especialmente delicado, porque esos flujos corren con secretos y publican en producción.

Compara los permisos del token con lo que hizo el agente y con la política.

El registro de ejecución es la fuente para separar lo que pidió quien asignó la tarea de lo que el agente hizo por su cuenta. Lo pedido está en el issue, escrito por su autor. Todo lo demás —un archivo fuera del alcance, un paquete nuevo, una conexión a un destino desconocido— es un hallazgo hasta que alguien lo justifique.

El agente lee el issue y todos sus comentarios como contexto. Si cualquiera puede comentar, cualquiera puede escribir un texto que el agente trate como instrucción: es la inyección indirecta del módulo 2, con un agente que tiene permisos de escritura. La política de Hualle Pagos ya lo prevé; la configuración, no.

El incidente necesitó varias cosas a la vez: un comentario ajeno tratado como orden, un permiso sobre los flujos, una red abierta, secretos disponibles en la rama del agente y una fusión sin persona. Cerrar una sola deja las demás abiertas para la próxima vez; pero hay dos que, por sí solas, habrían impedido que el cambio llegara a producción.