Guía

¿A qué pueden acceder los agentes de programación con IA en tu máquina?

Claude Code, Codex y Cursor se ejecutan con tu usuario. Qué tienen a su alcance en un portátil de desarrollo, cómo lo limita cada herramienta y dónde quedan huecos.

10 de noviembre de 2026 · 8 min de lectura · Por el equipo de vetkit

La respuesta corta

Un agente de programación con IA como Claude Code, OpenAI Codex o Cursor se ejecuta en tu máquina con tu cuenta de usuario. Todo lo que esa cuenta puede leer, ejecutar o alcanzar por la red está, en principio, al alcance del agente. Lo que realmente lo frena es una combinación de solicitudes de aprobación, un sandbox opcional o activado por defecto y los ajustes que hayáis elegido tú o tu repositorio.

Esos controles son reales y mejoran rápido, pero varían entre herramientas, varios están desactivados o relajados por defecto, y todos los fabricantes los describen como salvaguardas y no como una barrera infranqueable. Vale la pena saber qué hay al otro lado.

Qué está a su alcance

En el portátil típico de un desarrollador, un proceso que se ejecuta con tu usuario suele poder llegar a:

Credenciales en disco. Claves SSH en ~/.ssh, credenciales de la nube como ~/.aws/credentials, tokens de registros en ~/.npmrc, el estado de sesión de las CLI de GitHub, de proveedores cloud y de bases de datos, y los archivos .env de todos los proyectos que tengas clonados.
Otros proyectos. Código fuente, notas y configuración fuera del repositorio en el que se inició el agente.
La red. Cualquier dominio al que llegue tu máquina, lo que incluye sitios de paste, servicios de intercambio de archivos y webhooks arbitrarios.
Herramientas con efectos secundarios. git push, gestores de paquetes, CLI de la nube, clientes de bases de datos y kubectl, a menudo ya con la sesión iniciada.
Lugares que persisten. Perfiles de shell, elementos de inicio, git hooks y los propios archivos de configuración e instrucciones del agente, que determinan lo que podrá hacer la siguiente sesión.

Nada de esto requiere un agente malicioso. Las vías habituales son mundanas: un comando que hace más de lo previsto, la instalación de una dependencia que ejecuta un script, o instrucciones escondidas en una página web, una issue o un README que el agente lee y sigue (prompt injection). Los tres fabricantes advierten sobre la prompt injection en su propia documentación de seguridad.

Cómo lo limitan Claude Code, Codex y Cursor

Esta tabla resume lo que decía la documentación de cada herramienta el 10 de noviembre de 2026. Los valores por defecto cambian entre versiones, así que revisa tu propia versión y tus ajustes.

Límites por defecto de tres agentes de programación con IA
Herramienta	Aprobaciones por defecto	Sandbox de comandos	Opción para omitirlo todo
Claude Code	Las sesiones interactivas empiezan en modo auto, en el que un clasificador revisa las acciones en lugar de preguntarte cada vez; un modo manual pregunta antes de ediciones y comandos	Desactivado por defecto. Cuando se activa (Seatbelt en macOS, bubblewrap en Linux), las escrituras se limitan al proyecto y la red pasa por una allowlist, pero las lecturas siguen abarcando la mayor parte de la máquina salvo que las deniegues	Modo `bypassPermissions`; la documentación indica que solo debe usarse en contenedores o máquinas virtuales
OpenAI Codex	En carpetas bajo control de versiones, workspace-write con aprobación bajo demanda; solo lectura en el resto	Activado por defecto (Seatbelt en macOS, bubblewrap y seccomp en Linux); red desactivada por defecto	`--dangerously-bypass-approvals-and-sandbox` (alias `--yolo`), marcado como no recomendado
Cursor	Las acciones sensibles requieren aprobación; el modo de ejecución recomendado usa un revisor automático, y las ediciones de archivos del espacio de trabajo que no sean de configuración no piden confirmación	Se usa cuando es posible en el modo por defecto (Seatbelt en macOS, Landlock en Linux); con el ajuste de acceso de lectura por defecto se permiten lecturas fuera del espacio de trabajo	Modo «Run Everything», sin sandbox y sin revisor

Dos detalles sorprenden a la gente. Primero, los sandboxes restringen sobre todo las escrituras y la red, no las lecturas: en el sandbox de Claude Code y con el ajuste por defecto de Cursor, un comando puede seguir leyendo archivos como ~/.ssh salvo que lo deniegues explícitamente. Segundo, el valor por defecto que parece más seguro no siempre es el que estás usando, porque un compañero, un alias de shell o un script de CI pueden iniciar el agente con las aprobaciones desactivadas.

Dónde acaban los límites

Los comandos aprobados se ejecutan con todos tus permisos. La página de seguridad de Claude Code señala que un comando Bash que apruebas puede seguir escribiendo en cualquier lugar al que llegue tu cuenta de usuario. Aprobar npm install es aprobar todos los scripts de instalación que arrastre.
Los revisores automáticos también son modelos. Los modos auto reducen la fatiga de confirmaciones, pero un clasificador puede equivocarse, y los fabricantes describen estos modos como de mejor esfuerzo.
Los hooks no son una barrera de seguridad. Claude Code y Cursor documentan que, por defecto, los hooks fallan en abierto ante timeouts o errores, y Claude Code recomienda el sistema de permisos, no los hooks, para reglas estrictas de allow o deny.
Los repositorios traen configuración. Los ajustes del proyecto, las definiciones de servidores MCP, los hooks y los archivos de instrucciones llegan con un git clone. Cada vez más herramientas esperan a que confíes en una carpeta antes de aplicarlos, pero no todos los ajustes pasan por el mismo control. La guía de permisos repasa qué puede cambiar un repositorio.
Nadie mira después. Las confirmaciones protegen el momento de la aprobación. Sin un registro de lo que hizo realmente la sesión, la lectura de una credencial seguida de una subida parece una tarde de trabajo cualquiera.

Cómo reducir lo que un agente puede alcanzar

Activa el sandbox donde sea opcional y deniega la lectura de las rutas con credenciales (Claude Code admite filesystem.denyRead y bloquear las lecturas fuera del directorio de trabajo; Cursor tiene un ajuste de lectura limitada al espacio de trabajo).
Mantén el acceso a la red cerrado por defecto y permite solo los dominios que necesite cada tarea.
Usa los modos que lo omiten todo solo en un contenedor o una máquina virtual desechables sin credenciales personales montadas, como recomiendan los propios fabricantes.
Usa credenciales de corta duración y con permisos acotados en las máquinas de desarrollo, para que un token filtrado valga menos.
Revisa la configuración de los agentes como si fuera código. Los archivos de ajustes, los servidores MCP y los archivos de instrucciones de una pull request merecen la misma atención que una dependencia nueva.
Guarda un registro de las sesiones, para poder responder a posteriori a «¿qué ha tocado el agente?». La guía de monitorización compara las opciones.

Dónde encaja vetkit

vetkit aborda esto desde dos lados. Los checks de riesgos del código generado por IA de la auditoría de repositorios señalan la configuración de agentes commiteada que amplía el acceso: aprobaciones desactivadas, ajustes que aprueban de antemano comandos arbitrarios de shell o de red, hooks que descargan y ejecutan scripts, servidores MCP sin versión fijada u obtenidos de forma remota, credenciales en la configuración de MCP y texto oculto en los archivos de instrucciones de los agentes.

Agent Watch, una aplicación de escritorio para las máquinas del equipo, registra lo que los agentes de programación con IA hacen realmente durante una sesión: lecturas de credenciales, nuevos destinos de red, comandos destructivos, escrituras fuera del proyecto y cambios en sus propios ajustes. Observa e informa; no bloquea acciones, y sube alertas y resúmenes de sesión en lugar de contenidos de archivos o prompts. Consulta la documentación de Agent Watch para conocer la disponibilidad y el modelo de privacidad.

Fuentes

Leímos las afirmaciones sobre cada herramienta en su propia documentación el 10 de noviembre de 2026. Considera las páginas de cada fabricante como la referencia definitiva:

Los nombres de productos son marcas comerciales de sus respectivos propietarios. vetkit no está afiliado a ellos ni cuenta con su respaldo o patrocinio. ¿Has visto algo desactualizado? Escribe a contact@vetkit.dev y lo corregiremos.