Seguridad
Aquí no va a leer que la seguridad es nuestra prioridad. Va a leer qué mecanismo protege qué cosa, con qué número, y al final una lista de lo que todavía no está construido.
Aislamiento entre empresas
La pregunta que hace todo responsable de sistemas es si el vecino puede leer sus documentos. La respuesta corta es no. La larga es que hay que romper cuatro cosas distintas para conseguirlo.
Cada fila que pertenece a una empresa carga su identificador, y la empresa activa se toma de la cabecera verificada de la sesión, nunca del cuerpo de la petición. Las dos piernas de la búsqueda, la semántica y la de término exacto, llevan la condición de empresa dentro del SQL. No es un filtro que se aplica al resultado.
PostgreSQL aplica seguridad a nivel de fila en modo FORCE sobre las 33 tablas que llevan identificador de empresa. El identificador se fija dentro de la transacción, y ese alcance es transaccional, así que una conexión reutilizada del pool no puede arrastrar el valor a la petición siguiente. Una prueba revisa que toda tabla nueva con identificador de empresa tenga la política activa, y rompe la integración si alguien la olvida.
Una carpeta por empresa, creada en modo 0700 y propiedad del usuario del servicio. Aunque el código de la aplicación se equivocara, el sistema operativo no permite leer el contenido de una empresa desde otra. Las carpetas se reconcilian de forma idempotente en cada instalación.
Un espacio por identificador de empresa, con el UUID y no con el nombre corto, así que renombrar una empresa nunca deja su grafo huérfano. El cliente nunca envía consultas al grafo: el servicio las construye y valida cualquier ruta contra los documentos de la propia empresa antes de tocar nada.
Una suite dedicada intenta cruzar esos límites en cada cambio, con peticiones concurrentes intercaladas entre empresas. Es la prueba que más nos interesa que siga fallando el día que alguien rompa algo.
Autenticación y superficie expuesta
Ninguna de estas líneas es novedosa. Todas son las que se descubren ausentes cuando ya pasó algo.
El agente
Un agente que escribe archivos es útil justamente por lo que puede hacer. Lo que su equipo de sistemas necesita poder señalar es dónde termina.
Cada chat del agente trabaja dentro del subárbol de archivos de su propio proyecto. Los proyectos padre y los proyectos conectados no se montan: el agente los conoce por el resumen que le inyectamos, con la descripción, la memoria, las tareas abiertas y un listado de archivos. Lo decimos así, y no como permiso archivo por archivo, porque eso es lo que hoy aplica el sistema.
Una sesión sin ruta asignada caía al directorio raíz de la empresa, y ahí un chat de un departamento podía leer archivos de otro. Hoy una ruta que no se puede resolver devuelve un directorio aislado por empresa, nunca la raíz de la bóveda. Lo contamos porque es exactamente el tipo de fallo que un proveedor prefiere no mencionar.
Cada vez que el agente despacha una herramienta se escribe una fila con el hash de los argumentos, si terminó bien, cuánto tardó, y el hash de la fila anterior encadenado con el de esta. Editar o borrar una fila rompe la cadena y se nota. Los argumentos crudos no se guardan nunca, solo su hash. Aparte de eso, cada llamada de IA deja una línea en una bitácora mensual en disco que registra el tamaño del texto cubierto, jamás el contenido.
La jaula del código
Cuando el agente ejecuta Python, corre en un contenedor rootless que nace para esa ejecución y muere al terminar.
El permiso se comprueba antes de crear el contenedor, así que la petición de alguien sin rol suficiente no llega a levantar nada.
Operación
La parte que nadie mira en la demostración y todos miran el primer día malo.
Si prefiere que nada de esto corra en nuestra infraestructura, el nivel Corporativo instala la plataforma completa en su servidor, con los mismos respaldos y el mismo proxy. Ver planes
A las 03:30 se vuelcan las dos bases con pg_dump más los roles globales. Se conservan catorce días.
Los archivos que no cambiaron quedan enlazados a la foto del día anterior, así que cada día en disco cuesta solo lo que se movió.
Todos los servicios se atan a 127.0.0.1. Lo único alcanzable es el proxy inverso, y su configuración viaja dentro del repositorio.
Base de datos, servidor de embeddings, caché, grafo y temporizadores de respaldo se levantan con un solo comando idempotente. Correrlo dos veces no rompe nada.
Bitácoras de uso, permisos, sesiones, mensajes, notificaciones, secretos e hilos se van con ella. Hay pruebas que verifican que no queda ningún huérfano.
Un sondeo de salud reinicia únicamente el servicio que dejó de responder, que es el caso que un supervisor de procesos no detecta porque el proceso padre sigue vivo.
Sin adornos
Su equipo de sistemas va a preguntar por esta lista, y si no la publicamos la va a encontrar de todas formas. Es más barato para los dos que esté aquí.
Ni SOC 2, ni ISO 27001, ni una auditoría de seguridad hecha por un tercero. Las pruebas de intrusión que corremos son nuestras y no sustituyen a un auditor externo. Si su proceso de compras exige un informe firmado por alguien de afuera, hoy no lo tenemos.
Rootless, sin red, con la raíz en solo lectura y sin capacidades, que es una frontera seria. Pero comparte el núcleo del anfitrión, y quien evalúa esto conoce la diferencia frente a una máquina virtual ligera. Hay un diseño escrito para llegar ahí. No está construido, y hasta que lo esté no aparece en esta página como si lo estuviera.
La ejecución de Python corre sin red, eso es literal. Pero la caja donde corre el agente sí tiene salida y todavía no filtramos a dónde. Son dos cosas distintas y mezclarlas sería vender humo.
Hay TLS en tránsito, secretos cifrados con pgcrypto en la base y el cifrado que ofrezca el disco del servidor. Decir que todo está cifrado en reposo sería falso: la bóveda son archivos Markdown legibles para quien tenga acceso al sistema de archivos del servidor, y ese acceso lo controla el modo 0700 y quien administre la máquina.
La comprobación permiso por permiso existe en la superficie de herramientas y está probada, incluido el caso de un lector al que se le niega escribir. No está en el camino activo por defecto, así que la frontera real de hoy es la carpeta del departamento montada en el contenedor.
Depende de dónde esté alojada la instalación y del proveedor del modelo. Si su empresa necesita que los datos no salgan de una jurisdicción, el único camino honesto es el autoalojamiento, y con gusto le confirmamos por escrito qué cumple la instalación administrada antes de que firme.
La comprobación previa está escrita y probada, pero ninguna ruta del agente la llama todavía. Usted ve exactamente cuánto gastó y le avisamos, y eso es lo que podemos prometer hoy.
Si algo de esta lista es un requisito duro en su empresa, dígalo en la primera conversación. Preferimos perder la venta a que lo descubra durante una auditoría. ventas@ofivia.com
Las de siempre
Las cinco que aparecen en cada revisión, con la respuesta corta.
Si su responsable de sistemas tiene una objeción, prefiere tenerla antes de la migración. Nos sentamos con ella.