Seguro por construcción, no por instrucción.

Qué puede alcanzar un agente, y qué no.

• Un entorno aislado por ejecución

  Los servidores integrados se ejecutan en un espacio de trabajo creado para una sola ejecución y destruido con ella, bajo una identidad de sistema dedicada. No existe camino de una ejecución a otra, y el shell no tiene red alguna.

• Cada llamada saliente está vigilada

  Todo lo que sale de la plataforma pasa una guarda anti-SSRF que rechaza direcciones que resuelven hacia redes internas. El navegador del recinto aislado importa esa misma guarda en lugar de una copia.

• El contenido no confiable se encuadra

  Los adjuntos, los extractos recuperados, las salidas de herramientas y las descripciones de servidores MCP se enmarcan como datos antes de llegar al modelo. Es la defensa contra la inyección indirecta de prompt, y tiene una sola implementación para toda la plataforma.

• Los secretos son de solo escritura

  Las credenciales se sellan bajo una clave de sobre y ningún endpoint las devuelve. El servidor de API nunca las descifra; solo lo hace el worker, únicamente en la pila de una llamada saliente, y cada acceso queda auditado.

• La compartimentación es estructural

  Cada consulta sobre datos de inquilino pasa por un cliente que exige una identidad de organización. Las lecturas entre organizaciones no son un permiso que se pueda configurar mal: la ruta de código no existe.

• Nada sensible en los registros

  Ningún secreto ni contenido de conversación en los registros de diagnóstico, y un archivo multimedia nunca entra en el diario de la ejecución como bytes, solo como puntero. La misma regla vale para las trazas, donde la captura de contenido está desactivada salvo que un operador la active.