Seguridad de sesiones
Reportes opcionales sobre sesiones de agentes riesgosas: secretos expuestos, la trifecta letal, cambios en MCP e inyección sospechosa.
Los agentes de código leen archivos privados, traen contenido de internet y ejecutan comandos. La seguridad de sesiones revisa cada sesión de Claude Code o Codex en tu máquina y marca las riesgosas. La detección corre en local. Solo salen conteos y categorías, y solo si tú das tu consentimiento.
Qué detecta
| Señal | Qué significa |
|---|---|
| Exposición | Un patrón de secreto (API key, token, llave privada) llegó a un proveedor. Solo se reporta el conteo y la categoría, nunca el valor. |
| Trifecta | La sesión juntó datos privados, entrada no confiable y una forma de sacar datos. Es justo lo que necesita una inyección de prompt. |
| Cambio en MCP | Un servidor MCP cambió la definición de sus herramientas entre sesiones. Servidores y herramientas se reportan como referencias opacas. |
| Inyección sospechosa | El agente cambió de comportamiento justo después de leer una salida no confiable. Es una heurística determinista, reportada con ordinales y categorías. Las instrucciones leídas de archivos de contexto del agente (AGENTS.md, CLAUDE.md, .cursorrules, .mcp.json) se etiquetan context_file. |
| Decisión de política | Lo que la política de trifecta habría hecho con una acción (ver modo sombra más abajo). |
Cómo activarla
1. Da tu consentimiento en la app
Entra a Guard › Sesiones. La pantalla de consentimiento lista cada campo que se va a compartir, quién lo puede ver (los owners del workspace) y cuánto tiempo se guarda. El consentimiento es por persona y por workspace. Un token de escritura del workspace nunca cuenta como tu consentimiento.
2. Enrola esta máquina
En la misma página enrolas una instalación. La app te da un comando de un solo uso para tu terminal:
tallygraph security enroll --credential <c> --workspace <id> --installation-id <nombre> --generation <n>
3. Recolecta
tallygraph security collect --dry-run # vista previa, no manda nada tallygraph security collect tallygraph security status
Con --spend se une el uso local a cada sesión, para que los owners vean cuánto se gastó en sesiones riesgosas. La seguridad de sesiones va por separado: ni collect ni el servicio en segundo plano la suben.
Qué se comparte
| Lo ven los owners | Nunca sale de tu máquina |
|---|---|
| Tu identidad de miembro, según la credencial enrolada | Contenido de los transcripts |
| Referencias opacas de sesión e instalación | Prompts y respuestas |
| Agente (claude o codex), inicio y fin de la sesión | Valores de secretos |
| Conteos, categorías y severidad de las señales | Rutas de archivos y comandos de shell |
| Cobertura y versión de cada detector | URLs crudas, argumentos de herramientas y descripciones MCP |
- Solo se comparten las sesiones vistas por primera vez después de tu consentimiento. Nada anterior se importa.
- Los reportes vencen 30 días después de la sesión. Desde ese momento se ocultan, aunque la limpieza corra más tarde.
- Solo los owners del workspace leen reportes con nombre. La exportación del equipo es solo agregada, y los grupos de menos de cinco personas salen como
insufficient contributors. - Si cambian los campos compartidos, tienes que volver a consentir antes de que se manden los nuevos.
Pausar o borrar
Hay dos controles separados en Guard › Sesiones:
- Pausar envío detiene las subidas y descarta lo que estaba en cola. Una máquina con una credencial vieja ya no puede reportar.
- Eliminar historial compartido borra tus reportes y los hallazgos ligados a ellos. Tus registros de uso y facturación se quedan.
En la máquina, tallygraph security disable borra las subidas pendientes y descarta la credencial.
Modo sombra
La primera política es la regla de trifecta: cuando una sesión ya tocó datos privados y entrada no confiable, una acción que pueda sacar datos necesita aprobación. El orden no importa.
Todo workspace empieza en modo sombra: la política se evalúa y el resultado se reporta, pero las herramientas siempre corren. El bloqueo (modo enforce) solo se ofrece para agentes cuya intercepción se verificó de punta a punta. Ningún agente ha pasado esa prueba todavía, así que hoy el producto reporta y no bloquea.
Auditorías sin conexión
Sin activar nada, tallygraph exposure, tallygraph trifecta y tallygraph scan corren el mismo tipo de revisiones en local e imprimen el resultado. Ver la referencia del CLI.