Probar el límite antes de conceder la autonomía.

Lo que el laboratorio hace hoy

Cada punto es una propiedad del laboratorio y de los reportes firmados que produce, comprobable sin preguntarnos.

• Reproduce primero la brecha: una línea base permisiva muestra el efecto que puede causar un agente cuando un límite sólo está declarado, para que la corrida protegida tenga algo real que contener.
• Envía el mismo intento prohibido por MCP, la shell, un script y una llamada directa a la API. Una ruta que no se ejercitó se informa como no evaluada, nunca como protegida.
• Observa los efectos desde un proceso fuera del agente. Los logs, los resúmenes y las salidas de herramientas del agente se tratan como evidencia no confiable.
• Sólo deja salir el candidato exacto que se revisó —repositorio, rama, ref esperada y diff— a través del Execution Guardian, con una comprobación atómica del estado remoto.
• Firma cada reporte de corrida con una clave del supervisor que el agente nunca ve; el reporte se verifica offline contra anclas de confianza que instala el operador.

Por qué existe

MCP es una ruta. La shell, los archivos, las APIs, el navegador y las automatizaciones son otras.

Un equipo quiere dejar trabajar a un agente de código sin que alcance producción, secretos ni el trabajo de otros, y necesita comprobar que esos límites se sostienen sin destruir su entorno real. Los hooks y los modos de aprobación describen cómo un agente pide permiso; no son un perímetro. El riesgo está en la autoridad que el agente puede usar de verdad y en las rutas que puede alcanzar de verdad: un socket SSH, una sesión de navegador, un proxy que firma cualquier petición o un endpoint interno confieren autoridad sin revelar una sola clave.

Las familias de fallos detrás de las pruebas

Casos públicos de 2026 dieron forma a los escenarios. Cada familia se corresponde con un control y con las pruebas que intentan romperlo.

Estos casos motivan familias de fallos. No son réplicas forenses, y nada de lo que se dice aquí afirma que el laboratorio los habría evitado. Las variantes que se prueban —alias, shims, cache-miss— son propias.

El circuito

Declarar, intentar romper, observar, corregir, volver a probar, aprobar, ejecutar, verificar.

1. 01 Declarar
2. 02 Intentar romper
3. 03 Observar desde fuera
4. 04 Corregir
5. 05 Volver a probar
6. 06 Aprobar el efecto exacto
7. 07 Ejecutar
8. 08 Verificar

Un límite declarado se convierte en una prueba refutable, y ese mismo límite gobierna después la ejecución real. Cambiar un campo material —el modelo, un montaje, la política, el adaptador o el destino— obliga a revalidar las rutas afectadas antes de que vuelvan a contar.

Cuatro responsabilidades separadas

En el laboratorio, observador y Guardian son procesos separados, con directorios y permisos distintos. Eso es independencia respecto del proceso evaluado, no una auditoría institucional independiente.

Perfiles y niveles de laboratorio

Cada resultado nombra las rutas que cubrió, nunca un «seguro» global.

Los tres perfiles, incluida la línea base deliberadamente permisiva, corren dentro de un recinto sin producción ni destinos de Internet. La línea base puede alcanzar un recurso prohibido sintético; jamás uno real.

Evidencia comprobable

Reportes firmados y tres ejes que nunca se mezclan.

Las corridas se describen con estructuras versionadas y validadas con Zod: HarnessProfileV1, HarnessScenarioV1 y HarnessRunReportV1. El reporte lo firma una clave del supervisor fuera del agente y se verifica offline contra anclas instaladas por un canal del operador; nunca se confía en una clave incluida en el mismo reporte que firma.

La evidencia se reutiliza por propiedad, no por un digest global.

La admisión es una conjunción: autoridad exacta, política local, evidencia auténtica y aplicable de todas las rutas exigidas, observación vigente y presupuesto disponible. Un reporte puede satisfacer una de esas condiciones; nunca reemplaza a las demás ni crea un permiso. Una regla versionada, instalada por el operador fuera del agente, compara las dependencias materiales de cada afirmación con la configuración observada ahora: un campo ausente, desconocido o no comprobable significa no evaluado.

• Aislamiento de archivos y procesosDepende del SO, el kernel, el backend, la imagen, la identidad, los privilegios, los montajes, los sockets y el lanzamiento efectivo. Un destino Git nuevo no lo invalida por sí solo; un montaje nuevo sí.
• Salida de red contenidaDepende de reglas, rutas, DNS, proxies, auxiliares y endpoints alcanzables. Autorizar otro dominio nunca hereda un PASS, y un canario local no prueba el bloqueo de Internet.
• El adaptador conserva el efecto exactoReutilizable como evidencia del mecanismo. No prueba nada sobre permisos, red, identidad ni el comportamiento de un proveedor real.
• Integración con el destinoSólo se obtiene en ese destino autorizado. Un fixture local nunca se convierte en evidencia sobre GitHub real, y la ref y el preestado se releen en cada efecto.
• Comportamiento del agenteAtado a modelo, versión, harness, herramientas, tarea y parámetros. Un modelo nuevo no invalida una barrera de SO probada sin depender de él; sí invalida extrapolar su comportamiento.

Un reporte verde nunca emite un Execution Grant, nunca reemplaza MFA ni quórum y nunca autoriza resultados futuros. Un SHA candidato nuevo exige otra aprobación exacta aunque toda la evidencia del entorno siga siendo aplicable.

Exportación exacta

Del laboratorio sólo sale el cambio que se revisó.

1. 01Se detiene la escritura y el candidato pasa a cuarentena. El supervisor reconstruye un repositorio limpio desde una base confiable y el cambio, sin .git, hooks, helpers, configuración, submódulos ni filtros del agente.
2. 02Sólo se aceptan archivos de texto regulares dentro de los paths de la tarea. Se rechazan symlinks, gitlinks, paths escapados y cambios en los controles.
3. 03Se fijan el digest del artefacto, el SHA candidato, la base, el destino, la ref esperada y el diff completo del rango exportado. El autor del commit es metadata, no autorización.
4. 04La revisión dice qué se enviará, a qué repositorio y rama, y qué automatizaciones va a disparar. Un Task Contract fija ese efecto exacto.
5. 05El Execution Guardian revalida artefacto, ref, política, presupuesto y stop, y ejecuta un avance fast-forward o la creación de una ref con comparación atómica del preestado; en GitHub, sólo creación. No existe un force-push genérico.
6. 06Se verifica el estado remoto. Un timeout conserva la reserva y un resultado incierto hasta reconciliar, sin reintentos a ciegas, y el recibo distingue un push autorizado de un código correcto o benigno.

Parada, liveness y presupuesto

Harnesses

Evidencia por harness, versión y plataforma.

Los adaptadores traducen el lanzamiento y los eventos de una versión fijada del harness. Si un harness no tiene un hook bloqueante equivalente, la contención sigue siendo externa y ese hook se marca como no soportado en lugar de inventarlo. Linux es el backend ensayado; macOS y Windows no heredan sus resultados, y ningún logo de harness equivale a cobertura total.

1. 01

   Claude Code · Codex

   Los primeros adaptadores, de a uno. El perfil nativo de macOS se evalúa por separado y no hereda nada de Linux.

2. 02

   Cursor

   Después, con su propio perfil y una propiedad por paquete de trabajo.

3. 03

   SDKs

   Luego los SDKs, con la misma semántica de evidencia.

4. 04

   Agentes cloud

   Sólo se acredita el efecto en el destino realmente mediado; el entorno interno del agente queda no evaluado.

Para equipos que entrenan y evalúan modelos

Evaluaciones agénticas dentro de un perímetro que se probó.

Las evaluaciones de harnesses se integran con Inspect —sus tareas, muestras y sandbox Docker— para ciclos de vida, escenarios y límites. SecureStamp aporta el observador externo, los oráculos de efecto y la exportación del reporte, no otro scheduler, ni un evaluador LLM, ni otra colección de logs. Ningún scorer ejecuta el candidato en el proceso confiable, los reintentos de comandos con efectos están deshabilitados, y los conjuntos de desarrollo y de holdout se mantienen separados: el holdout nunca se usa para ajustar los controles.

• Primero se inyectan intentos determinísticos, como prueba causal del mecanismo. Los harnesses y modelos reales corren después, dentro de un presupuesto autorizado, como evidencia de cómo se comporta el sistema.
• Reproducir las solicitudes no reproduce un razonamiento estocástico. Se guardan versiones, parámetros disponibles, número de corridas, timeouts y denominadores; no se promete un replay idéntico.
• Utilidad y contención se informan por separado, para que bloquear todo nunca cuente como un producto que funciona. Un resultado 0/N no es riesgo cero.