CrabMeat v0.1.0: Un Gateway de Agentes Centrado en Seguridad que No Confía en el LLM para el Límite de Seguridad

CrabMeat v0.1.0 se publicó ayer bajo Apache 2.0, construido sobre una tesis de diseño: el LLM nunca tiene el límite de seguridad. El proyecto es una respuesta directa a fallos como el agente de Summer Yue eliminando más de 200 correos electrónicos, donde una instrucción de seguridad era un prompt que se compactó y desapareció.

Protecciones clave (siempre activas, sin interruptor de configuración)

• Indirección de ID de capacidad — El modelo ve IDs opacos derivados de HMAC por sesión como cap_a4f9e2b71c83, nunca nombres reales de herramientas. No puede adivinar ni falsificar un nombre de herramienta porque no conoce ninguno.
• Clases de efecto — Cada herramienta declara una clase (read, write, exec, network). Cada agente declara qué clases puede usar. La verificación es una función pura sin estado de ejecución, fácil de probar exhaustivamente, difícil de eludir.
• IRONCLAD_CONTEXT — Las instrucciones críticas de seguridad se fijan al principio de la ventana de contexto y se marcan explícitamente como no compactables. El modo de fallo de compactación que eliminó la instrucción de Yue no puede ocurrir.
• Cadena de auditoría a prueba de manipulaciones — Cada llamada a herramienta, operación privilegiada y ejecución del planificador entra en el mismo registro encadenado con hash SHA-256. La manipulación es demostrable.
• Filtro de fugas de salida en streaming — Los secretos (claves API, JWT, bloques PEM, IDs de capacidad) se redactan en mitad del flujo a través de los límites de los tokens antes de llegar al cliente.
• Sin modo YOLO — No hay un interruptor global de 'confiar en el LLM con todo'. El alcance ampliado se logra a través de raíces con nombre y ámbito definido que son explícitas, registradas en auditoría y acotadas.

El README lista 15 protecciones siempre activas en una tabla; ninguna puede desactivarse mediante configuración. La puerta de enlace es local por defecto, configurada para Ollama, LM Studio, vLLM de serie. Anthropic y OpenAI requieren configuración explícita; no hay envío silencioso a la nube.

Para quién es

Desarrolladores que crean sistemas agentivos que necesitan garantías arquitectónicas, no seguridad basada en prompts, y quieren una puerta de enlace en la que puedan confiar para la ejecución de herramientas y datos sensibles.