Guía
Cómo monitorizar los agentes de programación con IA en los equipos de desarrollo
Qué vigilar cuando Claude Code, Codex o Cursor se ejecutan en los portátiles del equipo, qué pueden decirte los hooks y la telemetría y cómo respetar la privacidad.
· 9 min de lectura · Por el equipo de vetkit
Por qué las aprobaciones no bastan
Los agentes de programación con IA preguntan antes de realizar acciones arriesgadas, o dejan que decida un revisor automático. Eso protege el momento de la aprobación. No le dice a un equipo qué ha pasado a lo largo de cientos de sesiones en decenas de portátiles: qué agente leyó una credencial de la nube, cuál envió datos a un dominio que nadie reconoce o cuál editó discretamente sus propios ajustes para que la siguiente ejecución pregunte menos.
La monitorización cubre ese hueco. El objetivo no es vigilar a los desarrolladores, sino poder responder a una pregunta sencilla cuando algo parece ir mal: ¿qué ha tocado el agente? La guía sobre a qué pueden acceder los agentes explica por qué esa superficie es mayor de lo que la mayoría supone.
Qué vigilar
La mayor parte del riesgo se concentra en unas pocas categorías. Un buen monitor cubre cada una de ellas y vincula la actividad con el agente que la provocó.
| Categoría | Ejemplos | Por qué importa |
|---|---|---|
| Acceso a credenciales | Claves SSH y GPG, credenciales de la nube, tokens, llavero, datos del navegador | Lo más valioso que hay en la máquina de un desarrollador |
| Tráfico de salida | Subidas, servicios de paste y de intercambio de archivos, dominios vistos por primera vez | Es la vía por la que salen los datos; leer una credencial y luego enviar datos fuera es la secuencia clásica |
| Acciones destructivas | Borrados masivos, reescritura del historial de git, eliminación de tablas, modificación de recursos en la nube | Aquí los errores salen caros incluso sin un atacante |
| Alcance | Lecturas, búsquedas y escrituras fuera del proyecto | Una tarea de programación rara vez necesita el resto del disco |
| Cadena de suministro | Instalación de paquetes, ejecutar un script remoto redirigido a una shell, lanzar servidores MCP | Llega código nuevo y se ejecuta con tus permisos |
| Persistencia y configuración de seguridad | Elementos de inicio, perfiles de shell, ajustes y archivos de instrucciones del agente, modos que omiten las aprobaciones | Cambios que sobreviven a la sesión y condicionan la siguiente |
Lo que las herramientas traen de serie
Los propios agentes exponen hooks y telemetría útiles. Son un buen punto de partida, con límites claros.
- Hooks. Claude Code, Codex y Cursor pueden ejecutar un script tuyo antes o después de una llamada a herramienta, por ejemplo antes de un comando de shell o de una llamada MCP. Claude Code y Cursor documentan que, por defecto, los hooks fallan en abierto ante timeouts o errores, y Claude Code recomienda el sistema de permisos en lugar de los hooks para reglas estrictas de allow o deny.
- OpenTelemetry. Claude Code y Codex pueden exportar las decisiones y los resultados de las herramientas mediante OpenTelemetry. Está desactivado por defecto, los prompts no se registran salvo que lo actives expresamente, y ninguna de las dos herramientas permite que la propia configuración de un repositorio active la telemetría o elija a dónde se envía.
- Lo que no pueden ver. Las señales integradas describen lo que el agente pidió hacer a sus herramientas. Un comando de shell que inicia otros procesos, un script dentro de la instalación de una dependencia o un contenedor que lanza el agente quedan fuera de esa vista, y cada herramienta informa en su propio formato.
Tres formas de monitorizar
| Enfoque | Bueno para | Límites |
|---|---|---|
| Hooks y telemetría del agente | Llamadas exactas a herramientas, fácil de empezar, con soporte del fabricante | Una configuración por herramienta, fallan en abierto, no ven los procesos hijos, dependen de la configuración de cada desarrollador |
| Seguridad de endpoints (EDR) | Ve todos los procesos y conexiones de la máquina | No sabe qué actividad procede de una sesión de agente, y sus reglas están escritas para malware, no para un asistente de programación muy activo |
| Un monitor específico para agentes | Vincula la actividad del sistema operativo con el agente y la sesión, una sola vista para todas las herramientas, reglas escritas para el comportamiento de los agentes | Otra aplicación que instalar; necesita un modelo de privacidad claro para que el equipo lo acepte |
Se combinan bien. Los hooks aportan la intención precisa, un monitor específico aporta cobertura y atribución, y el EDR sigue siendo la última línea de defensa para todo lo demás que ocurre en la máquina.
Piensa en sesiones, no en eventos
Una lectura de archivo aislada rara vez es interesante. Una sesión que leyó una credencial de la nube y después subió algo a un dominio visto por primera vez, sí. Dos ideas hacen que la monitorización sea útil en lugar de ruidosa:
- Agrupa por sesión y por regla. Las repeticiones del mismo comportamiento deberían aumentar un contador, no generar una alerta nueva cada vez.
- Haz afirmaciones de lo que «no ocurrió», con honestidad. El resultado más tranquilizador de un monitor es una afirmación como «ninguna lectura fuera del proyecto» o «tráfico de salida solo hacia dominios permitidos». Una afirmación así es tan sólida como la cobertura de sensores que la respalda, así que debería indicar cuándo la cobertura fue parcial, por ejemplo tras reiniciarse un sensor o cuando el agente delegó trabajo en Docker o SSH.
Monitorizar sin vigilar a las personas
Observar lo que hace una herramienta en el portátil de alguien se parece mucho a monitorizar a los empleados, y debería diseñarse como tal:
- Vincular un dispositivo debería ser una acción explícita de la persona en su propia máquina.
- Sube metadatos (alertas, resúmenes de sesión), no contenidos de archivos, prompts ni pulsaciones de teclas.
- Oculta los secretos en el propio dispositivo antes de que nada salga de él.
- Permite que las organizaciones limiten lo que ven los administradores y registra cada vez que un administrador abre los detalles de otra persona.
- Mantén periodos de retención cortos y permite que cada persona revoque su propio dispositivo en cualquier momento.
- Antes del despliegue, comprueba los requisitos de información, consentimiento y comité de empresa que exija tu legislación local.
Dónde encaja vetkit
Agent Watch es la aplicación de escritorio de vetkit para esto. Observa las sesiones de Claude Code, Codex, Cursor, Windsurf, Copilot, Gemini CLI, Cline y Aider en una máquina vinculada e informa de hallazgos de acceso a credenciales, tráfico de salida, comandos destructivos, alcance, cadena de suministro, persistencia y configuración de seguridad, agrupados por regla y dispositivo. Cada sesión lleva atestaciones marcadas como verificadas, parciales o desconocidas según la cobertura de los sensores. Observa e informa; no bloquea.
Sigue el modelo de privacidad descrito arriba: los dispositivos se vinculan mediante un código que la persona aprueba, solo se suben metadatos, los eventos en bruto se suben únicamente cuando tanto la organización como el usuario lo activan expresamente, las consultas de un administrador a los detalles de otro miembro quedan auditadas y los miembros pueden revocar su dispositivo en cualquier momento. La documentación de Agent Watch detalla la disponibilidad y los planes. En cuanto a la configuración, la guía de permisos muestra qué señala la auditoría de repositorios en los ajustes de agentes commiteados.
Fuentes
Leímos las afirmaciones sobre cada herramienta en su propia documentación el :
Los nombres de productos son marcas comerciales de sus respectivos propietarios. vetkit no está afiliado a ellos ni cuenta con su respaldo o patrocinio. ¿Has visto algo desactualizado? Escribe a contact@vetkit.dev y lo corregiremos.