Ejecuta esta lista de verificación de contención de agentes antes de producción: inventario, permisos, alarmas de deriva y respuesta ante incidentes
Trata el inventario de agentes locales y la visibilidad de permisos como un control de contención antes de producción, no como una auditoría posterior al incidente.
El inventario es el primer control de contención
Un agente que puede leer un archivo, invocar una herramienta o escribir un registro es un proceso con acceso. Antes de que ese proceso entre en producción, el operador necesita conocer su superficie de acceso. El inventario de agentes locales es el primer control de contención. Le da al operador observabilidad de agentes locales antes de la primera solicitud de producción, no después de la primera escritura incorrecta.
Geiger, un escáner publicado por Atomburst, es un punto de referencia útil para la forma del control. La licencia es MIT y la herramienta se distribuye sin dependencias de tiempo de ejecución. Realiza una sola pasada de solo lectura. Elabora un inventario de las superficies de agentes, servidores MCP, complementos y extensiones, y luego indica a qué puede acceder cada una. Los servidores MCP, que conectan agentes con herramientas externas, son una de las superficies que el operador debe ver.
El escaneo no debe modificar archivos. Debe producir una lista que el operador pueda usar para la revisión de seguridad de agentes. La salida debe ser comparable con escaneos posteriores. Si la herramienta necesita tiempo de ejecución adicional, el operador debe anotarlo como parte del estado de la máquina.
La escala es visible en el ecosistema. Un arnés de agentes de código abierto obtuvo más de 200,000 estrellas de GitHub en tres semanas durante agosto de 2026. El ecosistema de complementos superó las 13,000 repositorios durante el mismo período. Un escaneo censurado de una máquina real produjo 9 hallazgos en 3 ecosistemas, incluidos 7 componentes que podrían ejecutar código y 1 credencial en archivos de configuración.
Ejecuta la lista de verificación preproducción
La lista de verificación siguiente es el mínimo. Cada elemento es una comprobación, no un proyecto. Debe ser posible ejecutar la pasada completa antes de que el agente reciba tráfico de producción.
- Ejecuta un escaneo de inventario en el host de producción.
- Registra cada agente, servidor MCP, complemento y extensión que encuentre.
- Marca cada componente que pueda ejecutar código.
- Registra dónde aparecen las credenciales en los archivos de configuración.
- Confirma que la ruta de escaneo cubra cada repositorio al que el agente pueda acceder.
- Verifica que la alarma de deriva vigile cada repositorio al que el agente pueda acceder.
- Designa al operador responsable de la primera respuesta.
- Redacta el paso de reversión que detiene al agente sin borrar evidencia.
La lista es corta a propósito. Una lista más larga se convierte en un proyecto. Una lista corta sigue siendo ejecutable. El operador puede volver a ejecutarla después de cada actualización de dependencias, cada nueva extensión y cada cambio en el acceso a herramientas del agente. La salida debe respaldar el monitoreo de agentes de IA, no solo una auditoría puntual.
Los elementos de inventario existen porque un componente no visto es un permiso no controlado. Los elementos de ruta existen porque un repositorio omitido no está vigilado. Los elementos de respuesta existen porque el operador necesita un responsable designado, un paso de detención y un registro antes del incidente.
Las alarmas de deriva fallan cuando las rutas son estrechas
Una alarma de deriva es tan buena como su ruta. En una prueba, Geiger identificó 14 de 19 superficies de agentes plantadas cuando se dirigió a un directorio de inicio. La misma prueba encontró 17 de 19 cuando la ruta de escaneo incluía tres repositorios. La alarma de deriva recomendada no reportó ningún cambio cuando un nuevo servidor MCP apareció en un repositorio fuera de la ruta de escaneo. El archivo de datos de agentes conocidos tiene 1,265 bytes y lista 13 identificadores para extensiones de VS Code, 7 nombres de paquetes npm y 18 fragmentos de nombres para extensiones de navegador.
Esa brecha importa porque los agentes no son estáticos. Un nuevo servidor, complemento o extensión puede aparecer en un repositorio que el operador ya confía. Si la alarma no vigila ese repositorio, el cambio es invisible. El operador debe incluir la cobertura de rutas en el diseño de la alarma.
La respuesta ante incidentes comienza antes del incidente
Cuando un agente se comporta de forma incorrecta, la primera acción debe ser detener su acceso, no explicarlo. El operador necesita un responsable designado, un paso de detención y un registro de lo que cambió. Ese registro debe incluir la instantánea del inventario, la lista de permisos y el estado de la alarma de deriva.
Si la máquina es compartida, la respuesta debe preservar suficiente estado para una auditoría posterior. Si la máquina es local, la respuesta aún debe asumir que el agente pudo haber accedido a más de lo que la tarea solicitaba. El registro del incidente también debe indicar qué cuenta de usuario ejecutó el agente, a qué directorios pudo acceder y qué herramientas externas pudo invocar. Ese detalle acota la investigación. La lista de verificación es operaciones de agentes antes de que el agente se despliegue. El operador debe guardar la lista con el registro de despliegue del agente.