PoisonZero - Whitepaper técnico
El documento de arquitectura para quienes evalúan el agente poison0: ingenieros de seguridad y CISOs que quieren el diseño, no el discurso comercial. Especifica el modelo de amenazas, la cadena de procesamiento orientada a eventos, el motor de decisión con sus umbrales por defecto reales, ambos modos de evaluación (asistido por la nube y totalmente en el dispositivo), el modelo de detección en el dispositivo y las garantías de integridad y tratamiento de datos que los respaldan. Los riesgos residuales se nombran con honestidad. El riesgo que aborda está catalogado como OWASP ASI06 (Memory & Context Poisoning) en el OWASP Top 10 for Agentic Applications.
Descargar el whitepaper (English, PDF)
Versión 2.7 · octubre de 2026 · 39 páginas · inglés
Abstract
Los agentes de IA mantienen una memoria persistente (instrucciones permanentes, notas de proyecto, preferencias aprendidas) en archivos sencillos que se vuelven a leer en el contexto del modelo en cada ejecución. Un atacante que escribe una sola entrada maliciosa influye en todo el comportamiento futuro sin estar presente cuando se produce el daño. El agente poison0 trata cada cambio en un archivo protegido como no fiable hasta demostrar que es seguro, y es fail-closed: cuando la evaluación es imposible o ambigua, el cambio se registra y se expone como evento de auditoría estructurado en vez de pasar sin evaluar. El documento especifica el modelo de amenazas de cinco clases, la cadena de procesamiento, el modo asistido por la nube con su contrato de egreso verificable, el modo totalmente en el dispositivo con su sandbox de privilegios mínimos, el modelo de detección decoder-only con pesos totalmente propios, la integridad en reposo del modelo en el dispositivo, almacenado cifrado y autenticado, a prueba de manipulaciones, de modo que cualquier alteración falla en modo seguro (fail-closed), y la arquitectura de licencia e integridad. Cada versión de modelo tiene su propia clave, derivada de claves maestras en módulos de seguridad de hardware (HSM) de Google Cloud que no se pueden extraer; un dispositivo solo recibe las claves de los modelos que puede usar, envueltas con una clave del propio dispositivo. El detalle de la sandbox por plataforma (Seatbelt, Landlock, AppContainer aislado de red, token restringido y Job Object) está en la visión general de la sandbox del motor.
exec0: revisión de llamadas de herramientas
exec0 revisa cada llamada de herramienta de un agente de IA antes de que se ejecute: comandos de shell, escrituras de archivos, peticiones web y llamadas MCP. Primero actúan reglas fijas, sin modelo; bloquean al instante las catástrofes claras, incluso cuando el motor no está en marcha. Melira AI evalúa todas las demás llamadas en el propio equipo, con la petición del usuario, el historial de la sesión y el último contenido leído por el agente como contexto. Si un caso no está claro, el agente poison0 pregunta en su diálogo habitual; sin respuesta, la llamada no se ejecuta. Se juzga la llamada, no su origen.
Melira Ultra - detección acelerada por GPU
Dentro del nivel Enterprise se ofrece una variante acelerada por GPU: Melira Ultra se ejecuta con aceleración por GPU en hosts con una GPU capaz, con menor latencia y mayor rendimiento. Forma parte del nivel Enterprise y no es un nivel de producto propio. El contrato de inferencia es el mismo. La inferencia con CPU sola sigue siendo el valor por defecto seguro recomendado y la base descrita arriba. La aceleración por GPU es una opción voluntaria (opt-in) que amplía la base de cómputo de confianza; se entrega como un build separado y endurecido en el que el acceso a la red permanece denegado a nivel del sistema operativo. El soporte de GPU endurecido está disponible en las tres plataformas: macOS (Apple Silicon, Metal), Linux (Vulkan) y Windows (Vulkan). En macOS y Linux tiene la misma aislación impuesta por el núcleo que el camino de CPU; en Windows el arranque por GPU abandona el AppContainer y renuncia a la rebaja de integridad, mientras que el token restringido, el job object y el bloqueo de red siguen vigentes.
¿Preguntas para su equipo de seguridad?
Envíenos los detalles de su entorno (requisitos de instalación privada, tamaño de la flota, requisitos de DLP) y recorreremos los detalles con sus ingenieros.
Contactar ventas