La jaula contiene dónde se ejecuta el agente. No lo que puede llevarse.

Hace seis meses, los agentes de programación disparaban menos del 3 % de todo lo que se publicaba en Vercel. Esta semana el consejero delegado de la empresa situó la cifra en más de la mitad, sobre seis millones de despliegues al día, con más de un billón de tokens de IA pasando por su puerta de enlace en el mismo periodo. Los agentes no se colaron en producción. Se la tomaron, en dos trimestres.

Así que Vercel construyó el runtime para ello. Su nuevo Sandbox envía los comandos de shell y las operaciones de archivos de cada agente a una máquina virtual aislada, en un contexto de seguridad separado del harness que lo dirige. Cada ejecución queda registrada, cada llamada a herramientas queda trazada, sobre un principio que enuncian sin rodeos: sin rastro, sin confianza. Ese instinto es correcto, y la mitad relativa a la auditoría es exactamente correcta. Si un agente actúa y usted no puede ver lo que hizo, no tiene nada.

Ahora, la mitad del sandbox que no toca. El aislamiento controla dónde se ejecuta el agente. No dice nada sobre qué puede alcanzar. La razón entera por la que desplegó la cosa es que haga trabajo real, lo que significa que le entregó credenciales reales: una clave de AWS, una contraseña de base de datos, un token de API, un secreto de despliegue. Esas están dentro de la jaula con él, porque las necesita. Así que el sandbox impide que el shell del agente escape al host, y no hace absolutamente nada cuando un agente inyectado mediante prompt o secuestrado recoge la credencial que legítimamente se le dio y la gasta en exactamente lo que esa credencial permite. La jaula contiene la explosión. La credencial es la carga útil. Usted aisló al actor y lo dejó sujetando las llaves.

Y los agentes son secuestrados. Lo vimos este mes: un agente condicionado mediante un juego para entregar las claves SSH y los tokens que había en su entorno. Sin exploit, sin fuga. El agente simplemente hizo lo que le convencieron de hacer, con lo que ya tenía. Un sandbox habría registrado cada segundo de eso y no habría cambiado nada.

La solución no es una jaula más fuerte. Es no poner las llaves dentro de la jaula. Un agente no necesita tener sus credenciales. Necesita el uso de una, para una acción, en el momento en que actúa. Intermediela entonces: limitada al único recurso que necesita la tarea, ligada a la máquina a la que se emitió, caducada con un reloj medido en minutos, desaparecida después. Nada permanece en reposo en el sandbox para que un agente secuestrado lo capture, porque el secreto nunca se almacenó allí. Cuando el agente se vuelva contra usted, y la mitad de su producción son agentes ahora, así que asuma que lo hará, lo que puede alcanzar es una clave que caduca para un trabajo, no su llavero.

Nada de eso convierte en inofensivo un agente secuestrado. Durante la ventana en que tiene una credencial activa, puede hacer un uso indebido de esa credencial en todo lo que esta permita, y ningún diseño reescribe eso. Lo que cambia es el tamaño de la pérdida. El sandbox de Vercel reduce dónde puede ejecutarse un agente malicioso. Las credenciales acotadas, intermediadas y efímeras reducen lo que puede llevarse. Quiere ambas, y resuelven mitades distintas. La industria compite por construir el runtime. La otra mitad consiste en decidir que el agente nunca tenga el llavero, y ahora mismo esa mitad sigue entregando secretos estáticos directamente dentro de la caja.

La capa ganadora, sostiene Vercel, no es quién tiene el mejor modelo. Es el runtime del agente. Tienen la mitad de razón. La otra mitad es la capa de credenciales en su interior.

Mantenemos una lista breve de cosas que un sistema de credenciales nunca debería hacer. Cerca de la cima: un secreto nunca debería permanecer donde se ejecuta el código que lo utiliza. La lista está aquí.

Clavitor (@clavitorai) es la bóveda de credenciales construida para agentes de IA, y contra ellos. clavitor.ai

Fuentes

Vercel (@vercel), a través de su consejero delegado Guillermo Rauch (@rauchg): el lanzamiento del framework de agentes eve y de Vercel Sandbox, con la escala revelada: los agentes ya impulsan más de la mitad de los despliegues y commits de Vercel, desde menos del 3 % hace seis meses; 6 M de despliegues al día; más de 1 B de tokens al día a través de AI Gateway. [1]

TechCrunch (@TechCrunch): «Vercel CEO Guillermo Rauch on the fight to split off models from agents», la tesis de desacoplamiento entre modelos y agentes y el planteamiento de riesgo empresarial. [2]