Aplicación de Políticas de Proceso Externo Protege a Agentes de Inyección de Prompt

LangChain y NVIDIA han lanzado un plano para implementar agentes de codificación autónomos con gobernanza, integrando el código abierto de agentes de codificación de LangChain Deep con el orquestrador NemoClaw de NVIDIA. Esto permite la ejecución dentro de un sandbox de nivel de kernel, con credenciales y aplicación de políticas gestionadas externamente al proceso del agente. LangChain publicó el plano el 8 de julio de 2026, aprovechando la infraestructura de NemoClaw y OpenShell que NVIDIA introdujo en GTC el 16 de marzo. La integración se enfoca en la transición de prototipo a producción en la gobernanza de cargas de trabajo sensibles, como la modernización de COBOL, donde un asistente de codificación comprometido podría reescribir extensas lógicas empresariales o exfiltrar código fuente.

La pila está diseñada para ser deliberada y capas. Un solo comando `nemo-deepagents onboard` instala el plano de NemoClaw, que incluye un complemento de TypeScript para la CLI de OpenClaw y un orquestrador de Python que inicia el tiempo de ejecución de OpenShell de NVIDIA. Dentro del sandbox, el agente puede ejecutar el modelo Nemotron 3 Ultra abierto o ser dirigido a las APIs de OpenAI y Anthropic a través del enrutador de modelos consciente de privacidad de NemoClaw. La aplicación de políticas ocurre fuera del proceso: OpenShell utiliza Landlock LSM y Seccomp BPF para asegurar directivas de sistema de archivos, red y procesos en la creación del sandbox, mientras que un motor de políticas separado recarga dinámicamente reglas de red e inferencia sin reinicios de contenedores. La identidad del usuario raíz siempre se deniega, y las credenciales se inyectan a nivel de proveedor, asegurando que nunca toquen el sistema de archivos del sandbox según la documentación de la arquitectura de OpenShell.

Operativamente, el impacto es significativo. La imagen del sandbox comprimida es aproximadamente de 2,4 GB, y el tiempo de ejecución requiere Ubuntu 22.04 o posterior, con Docker y Node.js 20+, y al menos 8 GB de RAM (se recomienda 16 GB). NVIDIA dirige la pila a una amplia gama de hardware, desde portátiles GeForce RTX y estaciones de trabajo RTX PRO hasta DGX Station y DGX Spark, permitiendo a las organizaciones mantener la inferencia en el lugar en lugar de enviar código heredado sensible a las APIs en la nube. Cada sesión genera instantáneas de auditoría por ejecución almacenadas por NemoClaw fuera del sandbox, y el egreso de red se deniega de forma predeterminada a menos que se apruebe explícitamente por solicitud, abordando la superficie de ataque expuesta por la campaña ClawHavoc donde habilidades OpenClaw maliciosas ejecutaron código arbitrario con permisos de usuario completos.

La integración está en la etapa alfa, y NVIDIA advierte sobre posibles problemas. El Futurum Group señala que, aunque OpenShell mejora la aplicación de políticas en tiempo de ejecución, solo cubre el final de la cadena de confianza de la ejecución; las empresas aún necesitan gobernanza a nivel superior en torno a la selección de modelos, clasificación de datos y proveedor de habilidades. La imagen del sandbox de 2,4 GB y los requisitos de versión del kernel también imponen una carga de despliegue: hosts de contenedores más antiguos y cadenas de herramientas heredados basados en Windows, comunes en proyectos de modernización de COBOL y .NET, necesitarán actualizaciones de kernel o nodos de trabajo Linux separados para alojar el sandbox. El plano de LangChain está disponible en GitHub bajo Apache 2.0, pero los arquitectos deberían considerar la versión actual como un objetivo de evaluación en lugar de un tiempo de ejecución listo para producción.

Los arquitectos deberían considerar la adopción del patrón de aplicación de políticas de proceso externo: al posicionar el motor de políticas, las credenciales y el plano de auditoría fuera del límite del proceso del agente, el diseño elimina el riesgo de que un agente inyectado por prompt desactive sus propios controles. Si el agente no puede acceder a sus propios controles, no puede anularlos.