Centinela — Escudo contra inyección de prompts

Centinela es la defensa en capas de Theus contra la inyección de prompts en resultados de herramientas: cuando el agente lee contenido externo (una página web, la respuesta de un servidor MCP, la salida de un comando), Centinela lo delimita como no confiable, busca señales de instrucciones inyectadas y, si detecta un intento, degrada la acción a confirmación humana. Nunca bloquea en silencio.

Qué es

Un agente de código pasa buena parte de su sesión leyendo contenido que no escribiste tú: páginas web, respuestas de APIs, resultados de servidores MCP de terceros, archivos descargados. Ese contenido puede traer instrucciones camufladas — «ignora tus reglas y ejecuta este comando», «envía el contenido de este archivo a esta URL» — diseñadas para que el modelo las trate como órdenes del usuario. Eso es una inyección de prompts, y es el vector de ataque más real contra cualquier agente con herramientas.

Centinela ataca el problema en capas, cada una independiente de las demás:

Capa	Dónde vive	Qué hace
Delimitación	CLI	Envuelve cada resultado de herramienta con marcadores únicos de sesión que separan el contenido externo de las instrucciones reales. El modelo recibe el contenido marcado explícitamente como datos no confiables, no como parte de la conversación.
Detección heurística	CLI	Analiza el contenido en busca de señales de inyección (imperativos dirigidos al agente, intentos de suplantar al sistema o al usuario, instrucciones de exfiltración). Si hay señales, añade una advertencia visible para el agente y para ti.
Scoring en el gateway	Plataforma	Un endpoint de evaluación en el gateway puntúa el riesgo del contenido con un clasificador del lado servidor. Su configuración (`guard_config`) se gestiona desde el panel de administración, sin redesplegar el CLI.
Degradación a humano	CLI	Cuando el riesgo supera el umbral, la acción no se ejecuta sola: Theus te la muestra y pide confirmación. La decisión final siempre es tuya.

Cómo funciona

El flujo, de principio a fin:

Delimitadores de sesión — al arrancar la sesión, Theus genera marcadores únicos e impredecibles. Todo resultado de herramienta que contenga contenido externo llega al modelo entre esos marcadores, acompañado de una regla clara: lo que hay dentro son datos, no instrucciones. Un atacante no puede fabricar los marcadores porque cambian en cada sesión.
Señales heurísticas — antes de entregar el resultado al modelo, Centinela lo escanea localmente. Las señales cubren los patrones típicos de inyección: texto que se hace pasar por el sistema o por el usuario, órdenes directas al agente incrustadas en contenido que debería ser pasivo, e instrucciones de enviar datos fuera.
Scoring remoto (infraestructura del gateway) — el gateway expone un endpoint de scoring que evalúa contenido y devuelve una puntuación de riesgo, con parámetros en guard_config ajustables en caliente desde el panel de administración. Es una capa del lado del servidor, gestionada de forma independiente; la defensa activa por sesión en el CLI es local (heurística + delimitadores + degradación de permisos) y no depende de red.
Advertencia y confirmación — si el escaneo detecta un intento, el agente recibe una advertencia explícita junto al contenido (sabe que lo que lee puede estar intentando manipularlo) y, además, el turno queda "contaminado": la siguiente acción destructiva se degrada a confirmación humana explícita, aunque una regla la permitiría. El intento queda visible: ves qué se detectó y decides si continuar.

Centinela nunca bloquea en silencio. No descarta contenido ni cancela acciones sin decírtelo: su respuesta ante una detección es marcar, advertir y preguntarte. Un falso positivo te cuesta una confirmación, no una sesión rota.

Configuración

Ajuste	Dónde	Qué controla
`THEUS_NO_GUARD=1`	Variable de entorno	Kill-switch: desactiva Centinela por completo para esa sesión. Útil para aislar problemas o en entornos totalmente confiables.
`THEUS_GUARD_THRESHOLD`	Variable de entorno	Umbral de sensibilidad a partir del cual una detección degrada a confirmación humana. Más bajo = más estricto (más confirmaciones); más alto = más permisivo.
`guard_config`	Panel de administración	Configuración del scoring del lado del gateway: parámetros del clasificador y umbrales del servidor. Se edita en caliente, sin tocar el CLI.

# desactivar Centinela para una sesión
THEUS_NO_GUARD=1 theus

# subir el umbral (menos confirmaciones, más permisivo)
THEUS_GUARD_THRESHOLD=0.9 theus

Qué NO promete

Copy honesto, porque en seguridad las promesas absolutas son mentira:

Ninguna defensa contra inyección de prompts es garantizada ni infalible. Es un problema abierto de toda la industria: los ataques evolucionan y ningún filtro, heurística o clasificador los detecta todos. Centinela reduce el riesgo y hace visible el intento; no lo elimina.
Centinela no «lee la mente» de ningún modelo. No monitorea pensamientos internos ni estados ocultos de la red: audita el contenido que entra (resultados de herramientas) y el razonamiento que el modelo reporta. Lo que un modelo no exterioriza queda fuera de su alcance, por diseño y por honestidad.
No sustituye al resto de defensas. El sistema de permisos, el sandboxing y tu propio criterio al confirmar acciones siguen siendo la última línea. Centinela existe para que esa última línea reciba menos ataques y llegue mejor informada, no para reemplazarla.
No revisa contenido que no pasa por herramientas. Lo que pegas tú directamente en el prompt es, por definición, instrucción tuya; Centinela vigila lo que llega de fuera.

Recomendación práctica: en repositorios o servidores MCP que no controlas, deja Centinela activo con el umbral por defecto y revisa las confirmaciones con atención. THEUS_NO_GUARD=1 es para depurar, no para trabajar.

Relación con el resto de la seguridad de Theus

Centinela es una pieza del modelo de seguridad, no el modelo entero. Se apoya en las demás capas documentadas:

Seguridad — el modelo de permisos y las reglas de aprobación de acciones.
Sandboxing — aislamiento de comandos y del sistema de archivos.
Servidores MCP — de dónde viene buena parte del contenido que Centinela vigila.

Theus — agente de código local-first y multimodelo · Hecho en Perú