Security policy. Docs are in Spanish; reports in English are welcome.
Este repo implementa una cadena de aprobación para trabajo hecho por agentes de IA. Sus garantías están estratificadas, y cada capa promete cosas distintas:
| Capa | Qué garantiza | Qué NO garantiza |
|---|---|---|
Hooks de sesión (.claude/hooks/, .agents/hooks/) |
Frenar la deriva de un agente cooperativo (fugas de secretos, edición de config, push sin review) | Nada frente a un agente/humano local malicioso: son bypasseables por diseño |
Git hooks (pre-commit, pre-push) |
Disciplina local: secretos, lint y review de rama antes de empujar | Lo mismo: quien controla el repo local puede saltárselos |
| Autoridad: PR + branch protection + CODEOWNERS | Ningún merge a main sin review humano de un code owner, checks de CI y require_last_push_approval |
— |
CI (quality + audit-trail) |
El diff de cada PR está cubierto por un review versionado APROBADO ligado a su hash | — |
Que las dos primeras capas sean evitables en local no es un bug: está
documentado en el README y en AGENTS.md. La garantía real vive en el merge.
Nos interesa especialmente:
- Bypass del gate de CI: una PR con código cuyo
audit-trailpasa sin un review APROBADO ligado al diff real (colisiones o manipulación del hash de scope, confusión de base, ficheros que escapan a la clasificación de scope). - Evasión del escaneo de secretos en
pre-commit/CI con secretos reales. - Escapes del sandbox de clasificación: rutas de código que
scope_needs_reviewclasifica como documentación. - Cualquier forma de que la cadena PR + CODEOWNERS + CI certifique como auditado algo que no lo fue.
Un bypass que requiera control del repo local (saltarse hooks de sesión o git hooks) está fuera de alcance, salvo que además engañe a la CI o al PR.
Usa el reporte privado de vulnerabilidades de GitHub ("Security" → "Report a vulnerability") en este repositorio. Si no está disponible, abre un issue pidiendo un canal privado, sin incluir los detalles del fallo.
Respondemos lo antes posible y acreditamos el hallazgo si lo deseas.