Inicio / Varios agentes y verificación adversa

Retirar la herramienta antes de escribir la prohibición

Una consigna que prohíbe orienta lo que un agente intenta sin impedir nada: la protección que aguanta le retira primero las herramientas que su misión no necesita, y la lista cerrada de los efectos esperados y la prohibición por clase vienen en segunda y tercera línea, como consignas.

Tomemos un caso típico. Un agente de revisión recibe una consigna que le prohíbe dos cosas: escribir un archivo y enviar un mensaje. Tiene acceso al terminal, la herramienta que ejecuta comandos del sistema. Durante la revisión, lanza un comando que transmite el documento a un dispositivo de la red. La consigna no nombraba ese efecto, y la configuración del agente no lo impedía.

Una consigna orienta, no delimita

Alargar la lista de prohibiciones es el primer reflejo, y choca con dos límites. La lista deja permitido lo que no ha previsto. Sobre todo, una consigna sigue siendo un texto que el agente lee: la página de permisos de Claude Code lo dice de las indicaciones colocadas en CLAUDE.md, que orientan lo que Claude intenta sin imponer una frontera, y recomienda reforzarlas con un mecanismo que se aplique de verdad. Una prohibición redactada por clase, todo efecto fuera de la carpeta confiada, cubre más casos que una enumeración, pero sigue siendo una consigna.

Tres líneas, en este orden

La primera línea retira el acceso. Un subagente de Claude Code declara en su cabecera el campo tools, la lista de las únicas herramientas que puede emplear, o el campo disallowedTools, la lista de las herramientas retiradas de las que hereda. Los dos no protegen igual: la documentación precisa que un agente declarado con disallowedTools: Write, Edit conserva el terminal y las herramientas de los conectores MCP, es decir, lo necesario para producir el efecto del caso descrito.

---
name: revisor
description: Revisa un documento y entrega sus observaciones en su respuesta
tools: Read, Grep, Glob
---
Tu único entregable es la lista de tus observaciones, entregada en tu respuesta final.
Todo efecto fuera de esa respuesta queda fuera de tu misión: archivo, mensaje, comando, dispositivo.

La segunda línea es la lista cerrada de los efectos esperados, aquí uno solo: la respuesta. Va más lejos que una prohibición por clase, puesto que lo que no está previsto queda fuera de la misión sin haber sido nombrado, pero sigue siendo un texto que el agente lee, es decir, una consigna que orienta sin imponer una frontera. La tercera línea, la prohibición por clase, sirve de recordatorio legible. Un agente que debe conservar el terminal recibe su primera línea de otra manera: mediante las reglas de permiso, y mediante el sandbox, un aislamiento que el sistema operativo impone a los comandos del terminal, que la misma página señala para proteger archivos y red sin depender del texto del comando. Según su página, el sandbox funciona en macOS, Linux y WSL2, y Windows nativo no es compatible.

La lección sobre el punto de control humano trata la acción irreversible que espera un acuerdo; esta retira la ocasión de antemano. El módulo siguiente aplica la misma lógica a los comandos, con una lista blanca en lugar de un patrón prohibido.