Inicio / Seguridad y datos

Una guardia por patrón de texto no es una frontera de seguridad

Una guardia que rechaza una palabra en el texto de un comando juzga una escritura y no un efecto: toda escritura que evita esa palabra pasa, e incluso una lista de comandos admitidos por igualdad exacta deja pasar el código que un comando admitido lee en un archivo que el agente puede modificar.

Una guardia rechaza todo comando que contenga la palabra rm. Tres maneras de escribir la misma eliminación la atraviesan, y la demostración siguiente lo comprueba en una carpeta desechable que ella misma crea, con cuatro archivos vacíos.

La guardia y sus cuatro pruebas

mkdir -p demo-guardia && cd demo-guardia
touch objetivo1.txt objetivo2.txt objetivo3.txt objetivo4.txt
cat > guardia.sh << 'EOF'
#!/bin/bash
cmd="$1"
if echo "$cmd" | grep -qw 'rm'; then
  echo "RECHAZADO : patrón prohibido detectado en el comando escrito"
  exit 1
fi
echo "AUTORIZADO : ningún patrón prohibido encontrado, ejecución"
eval "$cmd"
EOF
chmod +x guardia.sh
./guardia.sh "rm objetivo1.txt"
./guardia.sh "r'm' objetivo2.txt"
./guardia.sh 'A=r; B=m; $A$B objetivo3.txt'
ENC=$(printf 'rm objetivo4.txt' | base64)
./guardia.sh "echo $ENC | base64 -d | bash"
ls -1

RECHAZADO : patrón prohibido detectado en el comando escrito
AUTORIZADO : ningún patrón prohibido encontrado, ejecución
AUTORIZADO : ningún patrón prohibido encontrado, ejecución
AUTORIZADO : ningún patrón prohibido encontrado, ejecución
guardia.sh
objetivo1.txt

La primera prueba se rechaza y objetivo1.txt sobrevive. La segunda corta la palabra con apóstrofos, que el intérprete retira antes de ejecutar. La tercera ensambla la palabra a partir de dos variables de una letra. La cuarta codifica el comando en base64, que base64 -d | bash decodifica y luego ejecuta.

Por qué corregir caso por caso no cierra nada

Prohibir el apóstrofo aislado, las variables pegadas o base64 cierra tres puertas y deja otras, porque el número de escrituras de un mismo comando no está acotado de antemano. La página de permisos de Claude Code dice lo mismo de sus propias reglas de comando: una regla de denegación Bash(rm *) detiene rm -rf build/ y deja pasar /bin/rm -rf build/ o bash -c 'rm -rf build/', y una regla así no es una frontera de seguridad alrededor del programa.

La igualdad exacta reduce la superficie sin cerrarla

Una lista de comandos admitidos aguanta mejor cuando exige la igualdad exacta de cadena y no admite ningún programa lanzador, es decir, ningún programa que ejecute otro comando que se le pasa: bash, sh -c, eval, find -exec, xargs o npm run. Cierra entonces las reescrituras. Deja abierto el código que un comando admitido lee en otra parte. Git lanza el programa nombrado por el ajuste core.fsmonitor del repositorio cuando refresca su índice, al hacer un git status, por ejemplo.

mkdir -p demo-fsmonitor && cd demo-fsmonitor
git init -q
git config core.fsmonitor 'echo EJECUTADO_POR_GIT_STATUS > testigo.txt; false'
git status > /dev/null 2>&1
cat testigo.txt

EJECUTADO_POR_GIT_STATUS

Un git status idéntico carácter por carácter a la entrada admitida ejecutó lo que un agente puede escribir en .git/config. La otra vía ya no inspecciona el texto: el sandbox, un aislamiento que el sistema operativo impone a los comandos de shell y a sus procesos hijos, acota los archivos y la red que ese código alcanza, sea cual sea el comando que lo lanzó. Funciona en macOS, Linux y WSL2, no en Windows nativo.

La lección sobre la lectura que basta para exponer un secreto muestra el mismo límite para una regla de lectura, que no cubre un comando que alcanza el archivo sin nombrarlo. La lección sobre lo que un agente puede filtrar sin que se lo pidas describe la inyección indirecta, una instrucción oculta en un contenido que Claude lee, que es una de las vías por las que un agente escribe una configuración que nadie le ha pedido.

Añadido: rechazar también el apóstrofo aislado.
Elusión siguiente: dos variables pegadas, sigue autorizado.

Autorizado: git status
Rechazado: bash -c 'git status'
Sigue abierto: el programa que core.fsmonitor nombra en .git/config