Seguridad y Control de Acceso — La Última Línea de Defensa

1.Intro — El desafío de seguridad en agentes autónomos

Los agentes de IA son el equivalente digital de entregarle las llaves de tu casa a un asistente: útiles, eficientes, pero potencialmente catastróficos si no hay barreras. A diferencia del software tradicional —donde los permisos se modelan estáticamente en torno a usuarios y roles—, un agente autónomo ejecuta código, escribe archivos, hace llamadas de red y consume APIs en nombre de un humano, sin supervisión línea por línea.

Esto crea una superficie de ataque radicalmente distinta:

• Prompt injection: un input malicioso puede reescribir las instrucciones del agente.
• Tool poisoning: el agente puede ser manipulado para ejecutar herramientas dañinas.
• Credential exfiltration: .env, ~/.ssh, ~/.aws/credentials son blancos de lectura.
• Supply chain: plugins y MCP servers maliciosos pueden ejecutar código arbitrario.
• Model jailbreak: el LLM subyacente puede ser manipulado para eludir restricciones.

Esta clase analiza cómo las tres plataformas principales —OpenCode, Claude Code y Codex CLI— abordan cada uno de estos vectores. Spoiler: ninguna lo hace perfectamente, y la mejor defensa hoy es capa múltiple.

2.Modelos de Permiso

Cada plataforma implementa un modelo de permisos conceptualmente distinto. OpenCode usa whitelist con 3 estados; Claude Code usa 6 modos con reglas jerárquicas; Codex CLI usa 3 modos sandbox con Permission Profiles beta.

OpenCode — Whitelist con 3 estados

Sintaxis YAML en frontmatter del agente. Tres valores por tool: allow, ask, deny.

permission:
  "*": deny        # denegar todo por defecto
  read: allow
  write: ask
  bash: deny
  pattern: "npm *" # pattern matching sobre comandos

Características clave:

• Herencia: agente base define defaults, subagente sobreescribe por merge.
• external_directory: subagentes pueden acceder a directorios fuera del workspace.
• doom_loop protection: detección de loops infinitos.
• Última regla matching gana: el orden en el dict importa.
• Protección built-in: .env denegado por defecto en read.

Claude Code — 6 modos + reglas jerárquicas

Reglas jerárquicas: deny → ask → allow (primera que matchea gana). Sintaxis de patterns:

• Bash — todos los comandos bash
• Read(./.env) — path específico
• Bash(npm run build) — comando exacto
• Bash(git * main) — glob pattern
• mcp__puppeteer__puppeteer_navigate — tool MCP

Jerarquía de settings: Managed > CLI > local project > shared project > user. Una tool denied en cualquier nivel no se puede permitir.

Read-only commands (sin prompt): ls, cat, echo, pwd, head, tail, grep, find, wc, which, diff, stat, du, cd, git read-only forms.

Codex CLI — 3 modos sandbox + Permission Profiles

Permission Profiles (beta): reglas read/write/deny jerárquicas. Network: default sin red (allowlist-first). Approval: Suggest (default), Auto Edit, Full Auto.

3.Sandboxing

El sandboxing es la verdadera línea de defensa: restringir qué puede hacer un agente a nivel de sistema operativo, no solo a nivel lógico.

OpenCode

Ausente No tiene sandboxing nativo. Solo permisos lógicos a nivel de tool. El mantenedor reconoce en issue #2242: "we try to restrict to cwd but agent can use bash to get around it". La comunidad compensa con Docker/bwrap/Podman.

Claude Code

OS-level Sandboxing por plataforma:

• macOS: Seatbelt (Apple)
• Linux: bubblewrap
• WSL2: bubblewrap
• Windows nativo: NO soportado

Filesystem isolation: escritura solo al working directory; lectura a todo el computador excepto paths denegados.

Network isolation: proxy SOCKS/HTTP, sin dominios pre-permitidos, los dominios preguntan al primer intento.

Codex CLI

OS-level Sandboxing por plataforma:

• Linux: Landlock + seccomp
• macOS: Seatbelt
• Windows: AppContainer

Protegidos: .git/, .codex/, gitdir: symlinks siempre read-only. Docker sandbox opcional con iptables egress filtering.

Comparativa de Sandboxing

4.Secret Management

Cómo cada plataforma almacena credenciales, tokens y secrets. La diferencia entre plaintext y keychain cifrado puede ser la línea entre un incidente y una vulnerabilidad crítica.

OpenCode

Plaintext ~/.local/share/opencode/auth.json. Soporta {env:VAR} y {file:path} en config. Sin keyring built-in. Alternativas de terceros: opencode-1password-auth, opencode-varlock.

Codex CLI

Híbrido ~/.codex/auth.json (plaintext). cli_auth_credentials_store acepta: file / keyring / auto. codex-secrets Rust crate en desarrollo (age encryption + OS keyring).

Claude Code

Cifrado macOS Keychain (encrypted), Linux ~/.claude/.credentials.json (chmod 0600), Windows %USERPROFILE%\.claude\.credentials.json (user profile ACL). apiKeyHelper para tokens dinámicos. CLAUDE_CODE_OAUTH_TOKEN para CI/CD.

Comparativa

5.MCP Security

El protocolo MCP (Model Context Protocol) permite a los agentes conectarse con servidores externos que exponen herramientas y datos. Esto abre un vector de ataque significativo: un MCP server malicioso o comprometido puede ejecutar operaciones dañinas.

OpenCode

OAuth 2.1 + Dynamic Client Registration. Timeout default 5s configurable. Sin validación automática de servidores. La seguridad recae en el agente que configura la conexión.

Claude Code

OAuth 2.0 con DCR automático en 401/403. Managed MCP: managed-mcp.json (system path), allowedMcpServers / deniedMcpServers, allowManagedMcpServersOnly. headersHelper para tokens dinámicos. strictPluginOnlyCustomization.

Codex CLI

N/A No implementa MCP — usa function calling nativo. Sin verificación de plugins.

Supply Chain Security Ecosystem

Herramientas comunitarias que han surgido para llenar el vacío de seguridad en el ecosistema MCP:

6.Enterprise Security

Para despliegues empresariales, el control centralizado de políticas no es opcional. Cada plataforma aborda la gestión de políticas de seguridad a escala de organización de forma muy distinta.

OpenCode

MDM Soporta macOS .mobileconfig, /etc/opencode/ (Linux), remote config via .well-known/opencode. Managed settings son inderrotables — ni siquiera el desarrollador local puede sobrescribirlas.

Claude Code

Más completo Sistema enterprise con múltiples mecanismos:

• managed-settings.json en system paths
• managed-mcp.json — control exclusivo de MCP servers
• MDM profiles (macOS com.anthropic.claudecode)
• Windows Registry: HKLM\SOFTWARE\Policies\ClaudeCode
• Drop-in directory: managed-settings.d/*.json
• OpenTelemetry audit logging (métricas, eventos, traces)
• mTLS authentication para OTLP export
• Fail-closed startup: forceRemoteSettingsRefresh: true
• Remote Control: narrow-scoped multi-expiration credentials

Codex CLI

Ausente Sin sistema enterprise comparable. No hay managed settings, ni MDM, ni políticas remoto.

7.Worktree Isolation

Claude Code es la única plataforma que implementa aislamiento físico vía git worktrees — un mecanismo ingenioso que crea checkouts separados del repositorio para cada sesión.

Cómo funciona

• Cada sesión --worktree <name> crea un checkout separado con rama propia
• Subagentes pueden aislarse en worktrees temporales (isolation: worktree)
• Auto-cleanup de worktrees sin cambios
• .worktreeinclude copia archivos gitignored (.env) al worktree

Comparativa

8.Supply Chain Ecosystem

El ecosistema de herramientas comunitarias para verificación y seguridad de MCP ha crecido significativamente. Estas herramientas intentan cerrar el gap que las plataformas dejan en la verificación de servidores MCP de terceros.

MCP Shield

Framework de auditoría estática con 17 detectores basados en AST y 359 tests. Detecta:

• Shell injection en tool implementations
• eval() y exec() dinámicos
• SSRF (Server-Side Request Forgery)
• Hardcoded secrets en código
• Path traversal en file tools
• Prompt injection vulnerabilities
• Typosquatting en nombres de tools
• Tool shadowing (tool names que ocultan otras tools)

pip install mcp-shield-audit

MCPShield

Sistema de lockfile management para MCP. Genera mcp.lock.json con hashes de verificación SHA-512/SHA-256. Detecta typosquatting mediante distancia de Levenshtein contra un registro de servidores conocidos.

Credence Registry

Registro de attestations criptográficas para servidores MCP. Proporciona source code fingerprints y análisis de procedencia (provenance). Permite verificar que un servidor MCP proviene de una fuente legítima.

MCP Trust Framework

Marco basado en W3C Verifiable Credentials con identidad DID-based. Permite establecer una jerarquía de confianza descentralizada para servidores MCP.

Glama

Plataforma de servidores MCP con sandboxing comportamental del lado del servidor, scoring TDQS (Trust, Data Quality, Security) y detección de prompt injection drift.

mcp-zero-trust-proxy

Proxy de seguridad que implementa OAuth 2.1 PKCE, RBAC a nivel de tool, audit logging y rate limiting. Actúa como gateway de seguridad entre el agente y los servidores MCP.

Otras herramientas

• mcp-auth-proxy — Proxy de autenticación para servidores MCP
• mcp-secure-remote — Conexiones seguras remotas para MCP
• mcp-for-beginners — Guía educativa de Microsoft sobre seguridad MCP

9.Audit y Logging

La capacidad de auditar qué hizo un agente —qué herramientas ejecutó, qué archivos leyó, qué comandos corrió— es esencial para cumplimiento, forense y depuración.

OpenCode

Plugin gaps La Plugin API tiene carencias significativas: NO existe hook command.execute.after. Esto significa que los plugins no pueden interceptar comandos post-ejecución para auditoría. Alternativas de terceros: opencode-warden (JSONL audit log), opencode-permission-audit, opencode-trace.

Codex CLI

Ausente Sin audit logging built-in. Solo sandbox enforcement + approval prompts. No hay rastro persistente de operaciones.

Claude Code

OpenTelemetry Implementación completa con OTel para métricas, eventos y traces (beta). Variables de configuración:

• OTEL_LOG_TOOL_DETAILS — log detallado de invocaciones de tools
• OTEL_LOG_USER_PROMPTS — log de prompts del usuario
• OTEL_LOG_RAW_API_BODIES — log de cuerpos de requests API

SDK SessionStore adapter compatible con S3, Redis, Postgres. cc-audit-log para parsing de transcripciones.

Comparativa

10.Tabla Comparativa General de Seguridad

11.Fortalezas y Debilidades por Plataforma

12.Guía de Decisión