Agent-blackbox: la caja negra de código abierto que audita y frena a Claude Code antes de que filtre tus credenciales

Por Zendoric · 4 de octubre de 2026.

Un desarrollador que firma como developerfred ha publicado en GitHub agent-blackbox, una herramienta de código abierto que graba, sesión a sesión, todo lo que hace un agente de codificación como Claude Code —cada instrucción, cada llamada a una herramienta, cada resultado— y bloquea en el acto los intentos de sacar datos sensibles a internet. Es software gratuito, bajo licencia Apache-2.0, que se instala y corre enteramente en el ordenador del usuario: según su documentación, no requiere cuenta, no usa la nube y no envía telemetría a ningún servidor externo.

El mecanismo central es un 'ledger' (un registro de solo anexión, es decir, que únicamente permite añadir líneas nuevas, nunca borrar ni reescribir las anteriores) que encadena cada entrada mediante hashes criptográficos y la firma con Ed25519, un esquema de firma digital. Antes de escribir nada en disco, el programa sustituye cualquier valor que parezca una clave de API o una contraseña por una 'huella' (fingerprint) derivada con HMAC, de modo que el propio registro de auditoría nunca llegue a contener el secreto en claro. El resultado, según el autor, es una prueba de que el historial no se ha manipulado después de los hechos —se puede verificar con el comando blackbox verify— aunque, como se detalla más abajo, esa garantía tiene un límite importante.

La segunda pieza es un motor de políticas que actúa antes de que la herramienta se ejecute, en el 'hook' (gancho) PreToolUse de Claude Code. Vigila lo que en la literatura de seguridad de agentes se conoce como la 'trifecta letal': que una misma sesión haya leído datos privados (un archivo .env, una clave SSH), haya ingerido contenido no confiable (una página web, el resultado de una búsqueda, una herramienta MCP) y, a continuación, intente contactar con un host que el usuario no pidió explícitamente. En la demo que ofrece el propio proyecto, el agente lee un archivo .env y poco después intenta mandar su contenido por curl a un dominio externo; agent-blackbox corta la llamada y solo le dice al agente que fue bloqueada por la política, sin explicarle la regla exacta, para que una inyección de prompt (texto malicioso escondido en una página o archivo que intenta reprogramar al agente) no pueda aprender a sortearla por tanteo.

El propio autor publica resultados de su banco de pruebas interno (eval/corpus.js): dice haber bloqueado 62 de 62 ataques conocidos —variantes de ofuscación como dividir comandos entre comillas, codificar en base64 o esconder el exfiltrado en un hook de git— sin ninguna falsa alarma en 20 comandos legítimos. Son cifras de parte, no una auditoría independiente, y el propio README lo admite con una franqueza poco habitual en el género: la herramienta 'falla abierta' por defecto (si el proceso que vigila se cae, las herramientas del agente siguen funcionando igual), su detección es heurística y cualquier otro proceso que corra con el mismo usuario del sistema operativo puede, en principio, leer las claves de firma y reescribir el historial sin dejar rastro, salvo que ya se haya publicado una 'cabeza' de la cadena fuera de la máquina con el comando blackbox anchor.

Nuestra lectura: agent-blackbox importa menos por lo que ya resuelve que por el vacío que señala. Hace apenas unas semanas comentábamos otro incidente de abuso de agentes de IA a gran escala como un caso que confirmaba lo que ya advertían los responsables de seguridad: el problema de la IA agéntica hoy no es que el modelo se desalinee, sino que nadie lleva un inventario fiable de qué puede tocar un agente una vez desplegado. Este proyecto es la respuesta de la comunidad de código abierto a esa misma pregunta, aplicada al caso más cotidiano de todos: un asistente de programación con acceso a tu terminal, tus archivos y tus claves.

Conviene situar el fenómeno en su tamaño real. En el momento de escribir esto, el repositorio tenía cero estrellas en GitHub y el envío a Hacker News apenas sumaba dos puntos y ningún comentario: es, literalmente, el trabajo de una sola persona en sus primeros días de vida pública, no un estándar adoptado ni una herramienta auditada por terceros. Eso no la invalida —la honestidad sobre sus propias limitaciones es, de hecho, una señal de calidad poco frecuente en seguridad— pero sí obliga a tratarla como lo que es: un prototipo prometedor, no una garantía.

A medio plazo, lo relevante no es si este proyecto concreto prospera, sino que la necesidad que cubre es real y va a crecer con cada nuevo agente que escribamos para que actúe solo. La promesa de fondo de la IA —liberar tiempo humano automatizando lo rutinario y, con el tiempo, ayudar a resolver problemas mucho más grandes que mandar código a producción— solo se sostiene si la confianza operativa acompaña a la capacidad técnica. Herramientas como agent-blackbox, con todas sus limitaciones de hoy, son el tipo de infraestructura de gobernanza silenciosa que hace falta para que la adopción agéntica no se frene por miedo, mientras los grandes proveedores, Anthropic incluida, deciden si construyen algo parecido de forma nativa.