Cómo protege el agente poison0
El agente poison0 se ejecuta en la misma máquina que tu agente y actúa sobre el cambio a un archivo, no sobre el archivo en reposo. Cada cambio a un archivo de memoria protegido se comprueba antes de que surta efecto, y el resultado es uno de tres. Esta página es el comportamiento, no las interioridades del modelo.
Dónde actúa la protección
La unidad de protección es el cambio, no el archivo:
- Sobre el cambio: un archivo solo se lee, se compara y se evalúa cuando cambia; nada se juzga en reposo.
- Antes de que surta efecto: la comprobación se ejecuta en el momento de la escritura, no una vez en la instalación.
- Local: el vigilante y la evaluación se ejecutan en la misma máquina que tu agente.
El alcance es una lista de permitidos: solo se vigilan los archivos de memoria, instrucciones y configuración de un agente, y nunca se abre nada más en la máquina. Consulta qué vigila el agente poison0. Las llamadas de herramientas se revisan con exec0 antes de ejecutarse.
Qué dispara una comprobación
El vigilante escucha eventos del sistema de archivos en las rutas protegidas y solo evalúa el contenido que se crea o se escribe:
| Evento | Qué ocurre |
|---|---|
| Archivo creado | Se evalúa como un cambio nuevo |
| Archivo escrito o modificado | El contenido añadido se compara con el último estado limpio y se evalúa |
| Archivo eliminado o renombrado | No se evalúa: quitar contenido no es un vector de envenenamiento |
Los eventos de directorio y los propios archivos de tiempo de ejecución del daemon se filtran antes de la evaluación; solo los archivos de memoria dentro del alcance llegan al modelo.
Los tres resultados
Cada cambio evaluado termina en exactamente uno de tres resultados:
| Resultado | Cuándo | Qué hace el agente poison0 |
|---|---|---|
| Permitir | El cambio se evalúa como inofensivo | El cambio se acepta y pasa a ser el nuevo estado limpio |
| Preguntar | El cambio no es ni claramente seguro ni un ataque probado | El archivo se retiene en su último estado seguro y se te pregunta antes de que surta efecto. En un archivo creado por primera vez no hay estado anterior: rechazarlo mueve el archivo entero a cuarentena, de forma reversible |
| Revertir | El cambio se evalúa como un ataque probado | El cambio se deshace automáticamente y el archivo vuelve a su último estado limpio |
La puntuación exacta no se expone aquí; lo que importa es el comportamiento: lo seguro pasa, lo incierto pregunta, lo peligroso se revierte. La banda intermedia incierta se cubre en las solicitudes de confirmación del usuario.
Revertir es reversible
Una reversión nunca destruye contenido. El cambio peligroso se deshace restaurando la última versión conocida como limpia, y el contenido desplazado se conserva, no se borra:
- Restaurar, no borrar: el archivo se reescribe a su último estado limpio; el cambio se pone en cuarentena, se aparta en lugar de eliminarse.
- Recuperable: el contenido desplazado se conserva literalmente, así que una decisión siempre se puede deshacer.
- Registrado: cada resultado se escribe en el registro de auditoría local - qué cambió, cuándo y por qué.
Como una reversión es una cuarentena reversible, una entrada que el agente poison0 no pudo despejar nunca se convierte en silencio en una de las creencias de tu agente, y una falsa alarma no te cuesta más que un clic para conservarla.
Fail-closed: si el evaluador no está disponible o no devuelve nada utilizable, el cambio se retiene en su estado seguro, nunca se deja pasar. La seguridad es el valor por defecto. Consulta fail-closed por diseño.
Sigue leyendo
El conjunto exacto de archivos vigilados: qué vigila el agente poison0. La banda intermedia incierta: las solicitudes de confirmación del usuario. La postura segura por defecto: fail-closed.
Aviso cuando se bloquea una amenaza: la ventana tras una cuarentena
De forma opcional, el agente poison0 muestra una ventana en el dispositivo tras una reversión automática. Por defecto: desactivado.
| Punto | Comportamiento |
|---|---|
| Activarlo | Consola: perfil, ajuste Aviso cuando se bloquea una amenaza. Dispositivos privados: sudo poisonzero notify on; el ajuste local tiene prioridad sobre el perfil |
| Contenido | Archivo, contenido eliminado y motivo de cada caso |
| Frecuencia | Casos seguidos comparten una ventana, como máximo una cada 10 minutos |
| Dispositivos headless | Sin sesión de escritorio no hay ventana; los casos aparecen en sudo poisonzero status y en el registro de auditoría |
| OK | El caso sigue en cuarentena. Cerrar la ventana o 5 minutos sin respuesta cuentan como OK |
| Falsa alarma, restaurar | Solo para administradores. El sistema operativo pide el inicio de sesión de administrador para cada caso; solo después el servicio restaura exactamente el contenido mostrado |
| Notificar como falsa alarma | Para usuarios sin derechos de administrador. El caso se registra como falsa alarma y sigue en cuarentena; la ventana muestra el comando para restaurarlo |
| Nota en la consola | Solo dispositivos cloud con el uso compartido de veredictos activado; la vista de auditoría muestra que el dispositivo lo notificó como falsa alarma. Los dispositivos privados nunca notifican |
| Claude Code | Un hook muestra los casos nuevos a la persona, sin el contenido eliminado. poisonzero setup-claude lo instala |
Aviso cuando se bloquea una amenaza: comandos
| Comando | Efecto |
|---|---|
poisonzero notify | Muestra si la ventana está activada y de dónde viene el ajuste (local, perfil, predeterminado) |
sudo poisonzero notify on / off | Interruptor local, tiene prioridad sobre el perfil |
sudo poisonzero notify clear | Quitar el interruptor local; vuelve a aplicarse el perfil |
sudo poisonzero quarantine false-alarm <id> | Registrar el caso como falsa alarma; sigue en cuarentena |
sudo poisonzero quarantine restore <id> | Restaurar el caso |
poisonzero setup-claude --notice-off | Quitar de nuevo el hook de ~/.claude/settings.json; las demás entradas se mantienen |
Windows: ejecuta los comandos marcados con
sudo en un terminal de administrador, sin sudo.