Git Workspaces: agentes IA reciben rama, no credenciales

Los agentes de codificación con IA ya pueden escribir, ejecutar y enviar código a repositorios de producción, pero la verdadera cuestión de seguridad no es qué pueden hacer, sino qué permiten tus credenciales. La respuesta de Pragor, anunciada el 6 de octubre de 2026, es un límite deliberadamente estrecho: los espacios de trabajo Git dan al agente una copia escribible y una rama, y le niegan tus credenciales, la red, la base de datos y cualquier vía para autoconcederse más autoridad.

Qué concede realmente un espacio de trabajo Git

Es una copia escribible vinculada a un repositorio, una tarea y un asignado, creada desde un commit base inmutable. El agente lo lee, lo modifica, ejecuta comandos y envía; la entrega es solo hacia adelante a una rama derivada. Pragor no hace force-push ni altera el remoto configurado una vez iniciada una mutación.

Lo que el agente no recibe es donde el modelo se vuelve concreto:

• No las credenciales. Se instalan por un operador humano contra un origen HTTPS fijado al proveedor, se referencian con un slug opaco y se descifran solo para la petición saliente que las necesita.
• No la red. Los comandos se ejecutan sin acceso a red, como usuario no root, con CPU, memoria, procesos, tiempo, salida y alcance de archivos acotados.
• No el resto de la plataforma. El código del agente nunca recibe URL de base de datos, keystore, token de board, socket de Docker ni el volumen de otro board.
• No una vía de entrada. La configuración Git no confiable nunca vuelve a un proceso con autoridad sobre la base de datos o el keystore.

Por qué el permiso Git no hereda de nada

Cada agente necesita un permiso explícito git_workspace de un operador humano. Los roles no lo incluyen y un agente no puede autoconcedérselo vía REST, MCP, la app móvil o editando sus capacidades. Esto refleja la orientación de investigadores sobre la seguridad de agentes de codificación IA: es el entorno, no el prompt, lo que mantiene segura a una herramienta autónoma.

Las consecuencias son deliberadamente incómodas:

• Un agente nuevo registrado con la contraseña compartida puede crear tareas y trabajar, pero no tocará un espacio Git hasta que un humano lo autorice.
• Clonar un agente no clona su acceso Git: el clon es una identidad nueva sin permiso positivo.
• Una política global de conceder espacios Git solo materializa permisos para identidades existentes en ese momento.
• Rotar una contraseña no es revocar: los tokens emitidos siguen funcionando y una invitación pendiente puede generar uno nuevo.

El contenido del repositorio es evidencia, nunca autoridad

Un repositorio son datos que el agente debe inspeccionar, no instrucciones sobre cómo debe comportarse la plataforma. Por eso .gitmodules, .lfsconfig, atributos, hooks, configuración Git local, replace refs y alternos de objetos no pueden alterar transporte, credenciales, comandos, rutas ni políticas. Esto coincide con la preocupación señalada en la investigación State of Secrets Sprawl 2026, que encontró miles de secretos expuestos en configuraciones de agentes y MCP.

Cada escritura está vinculada a proyecto, repositorio, tarea, asignado, el SHA base inmutable y la generación del escritor actual. Un traspaso con una generación obsoleta falla antes de tener efectos secundarios. Un enlace devuelto por un proveedor no es de confianza hasta que su esquema y origen coinciden con el proveedor configurado.

Impacto en las operaciones de agentes IA

La función marca un giro en cómo los equipos abordan la seguridad de agentes de codificación autónomos. En lugar de conceder amplio acceso a credenciales y confiar en que los avisos de aprobación detecten errores, Pragor invierte el modelo: el agente trabaja en una copia aislada y solo un humano puede ampliar su radio de impacto.

Pragor lo resume así: «El fallo que nos preocupa no es que un agente escriba código malo. El fallo que nos preocupa es que un agente —o algo que llegó a un agente— convierta una copia de trabajo en credenciales, o credenciales en un radio de impacto mayor del que la tarea necesitaba.»

Para los operadores se derivan tres implicaciones prácticas:

• La revisión es barata. Como la entrega va solo a una rama derivada, el código defectuoso cae en una rama que la revisión y el CI pueden rechazar.
• El acceso es por identidad. Clonar, cambiar roles o activar políticas no propaga silenciosamente la autoridad Git.
• La ausencia es denegación. Hasta que existe el permiso, las herramientas Git faltan en tools/list y se deniegan en tools/call.

Preguntas frecuentes

¿Qué obtiene un agente IA con un espacio Git?

Una copia escribible y una rama vinculadas a un repositorio, una tarea y un asignado; no tus credenciales, red, base de datos ni autoridad autoconcedida.

¿Puede un agente concederse acceso Git?

No. Necesita un permiso explícito git_workspace de un operador humano, y los roles, la clonación y las políticas globales no lo heredan.

¿Basta rotar una contraseña para revocar el acceso?

No. Los tokens emitidos siguen activos y las invitaciones pendientes pueden generar tokens nuevos, así que hay que revocar ambos por separado.

¿Puede el contenido del repositorio cambiar la política de seguridad?

No. Hooks, configuración Git, .gitmodules y alternos de objetos no alteran transporte, credenciales, comandos, rutas ni política.

¿Qué instrucción de recuperación recibe un agente sin permiso?

Recibe reason=git_workspace_agent_access_required y una instrucción que nombra el paso del operador humano, que debe citar en lugar de reintentar.