AEGIS

Observabilidad independiente a nivel de SO para agentes de IA

Observa lo que los agentes de IA realmente hacen en tu máquina — procesos, archivos, red — desde fuera de los agentes, sin necesidad de hooks.

AEGIS es un observador independiente a nivel de SO para agentes de IA. Observa los procesos de los agentes, el acceso a archivos y la actividad de red sin importar cómo se haya lanzado el agente ni si coopera con la monitorización — y vincula cada observación a una instancia específica del agente, con la evidencia de esa atribución declarada explícitamente. Construido sobre un motor de monitorización JavaScript CommonJS, con TypeScript en el renderer y los tipos compartidos. Código abierto, local, sin telemetría — todo permanece en tu máquina.

_{Demo grabada en v0.10.0-alpha; algunas etiquetas se han renombrado desde entonces.}

Descargar · Reportar un error · Solicitar una función · Contribuir

Lo que AEGIS observa

Los hechos contados anteriores no se mantienen a mano: npm run counts:check vuelve a derivar cada contador documentado del árbol en cada ejecución de CI y falla la compilación cuando un número en la documentación se desvía de la realidad.

El grafo de evidencia

Lo que separa a AEGIS de un visor de procesos no son los sensores — es que cada evento se adjunta a una instancia de agente, con evidencia que puedes auditar:

• Identidad de instancia. Un agente se identifica como pid + tiempo de nacimiento del SO (instanceId), de modo que un PID reciclado es una instancia nueva, no una continuación del historial de la anterior. El almacenamiento en caché de identidad está controlado por un testigo, y CI ejecuta una prueba de inyección (npm run verify:gate, 4 mutantes) que se pone en rojo si una identidad pudiera servirse desde una caché obsoleta.
• Atribución con evidencia declarada. Cada registro de auditoría lleva pid, instanceId y un objeto attribution con uno de tres estados — confirmed, inferred o unattributed — respaldado por un registro cerrado de códigos de evidencia. Cuando AEGIS no sabe qué agente tocó un archivo, dice unattributed; nunca inventa un propietario.
• Registro a prueba de manipulación. Los eventos de auditoría son JSONL encadenados por hash (Event Schema v1) con rotación diaria, retención de 30 días y marcadores de pérdida explícitos cuando el búfer de escritura se desborda.
• Medido, no afirmado. El mecanismo de identidad está comparado dentro del repositorio: la paridad del tiempo de nacimiento del proveedor fue exacta para cada proceso comparable en ambas ejecuciones registradas (542/542 y 419/419), y el sidecar de instantánea de procesos cuesta ~10 ms por escaneo, mientras que el proveedor de respaldo cuesta cientos a miles. Las tablas por ejecución, los entornos y las brechas declaradas están en docs/bench/.

Evidencia: src/main/process-identity.js · src/main/attribution.js · auditoría de corrección · bench 2026-08-12 · bench 2026-08-13

Monitor-first

AEGIS es una cámara, no un guardián. Observa y registra — no bloquea agentes a nivel de SO hoy en día. No hay hooks de kernel ni aplicación automática. El control de procesos (matar / suspender / reanudar) es manual y solo invocado por el usuario. El bloqueo activo está en la hoja de ruta, no en la versión actual. Usa AEGIS para visibilidad, auditoría y detección de anomalías — combínalo con sandboxing cuando necesites aplicación de políticas.

Cómo AEGIS difiere de la supervisión dentro del agente

La mayoría de las herramientas de supervisión de agentes de IA instrumentan el propio agente — un plugin de Claude Code, una extensión de IDE, un wrapper de SDK. Esa ubicación tiene un punto ciego estructural: un agente solo aparece si (él o su usuario) instaló el hook. Un python autogpt.py crudo, un binario sin envolver o una herramienta que simplemente no coopera es invisible para la instrumentación dentro del agente.

AEGIS se sitúa en la capa del SO en su lugar: observa la actividad de procesos, archivos y red desde fuera de los agentes, de modo que lo que ve no depende de la cooperación del agente — solo de la propia cobertura de AEGIS (ver límites conocidos). No es la única herramienta que observa agentes localmente — AgentSight, por ejemplo, observa desde la capa eBPF en Linux — y las herramientas basadas en hooks son complementarias en lugar de competidoras: los hooks ven la intención (prompts, llamadas a herramientas) dentro de los agentes que optaron por participar, mientras que AEGIS ve los efectos (procesos, archivos, conexiones) de lo que se ejecuta en la máquina, vinculados a instancias de agentes sin requerir cooperación.

Límites conocidos

Un monitor que no puedes calibrar es un monitor en el que no puedes confiar, por lo que los límites se declaran aquí en lugar de descubrirse más tarde. Los hallazgos reverificados detrás de esta lista, cada uno con estado OPEN/CLOSED, viven en la auditoría de corrección; la versión corta:

• La cobertura se basa en firmas y heurísticas. La detección comienza con 110 agentes (262 firmas de nombres de proceso) más heurísticas (WSL, extensiones IDE, sondeos de LLM locales). Un binario de agente que no coincida con ninguna de estas no se detecta.
• El sondeo tiene un punto ciego. Un proceso que nace y muere entre ticks de escaneo (~10 s) nunca se observa; las páginas de bench lo declaran explícitamente. La captura por evento mediante ETW está en la hoja de ruta, con un reconocimiento estático ya en docs/recon/kernel-file-etw.md.
• La identidad en macOS/Linux está degradada. Esas plataformas actualmente no proporcionan tiempo de nacimiento del SO, por lo que la identidad de instancia cae solo al PID y no es segura bajo reutilización de PID. El seguimiento de costos de tokens es solo para Windows.
• Las ventanas de eventos de la UI se truncan silenciosamente. El renderer mantiene ventanas de eventos acotadas que pueden discrepar con los totales, y aún no hay un banner de truncamiento.
• La salud de los sensores se rastrea pero aún no se muestra. El proceso principal registra la salud por sensor para los sensores de sistema de archivos y red, pero la UI aún no puede distinguir una máquina silenciosa de un sensor muerto, y los excesos de escaneo de procesos se omiten sin un contador.
• Los marcadores de pérdida de auditoría necesitan un flush exitoso. Si el proceso se mata mientras el disco aún está fallando, las entradas de auditoría desalojadas pueden perderse sin un marcador en disco.

Lo que deliberadamente no afirmamos

Los números aparecen en este README solo cuando se derivan del repositorio (y se aplican con npm run counts:check) o se miden con un método documentado. Algunos números que la gente pide aún no existen, por lo que no los declaramos:

• Tiempo de arranque. No existe un benchmark de inicio; la antigua afirmación de "menos de dos segundos" se eliminó en lugar de mantenerla sin medir.
• Tasas de detección o falsos positivos. Existe un bench de escenarios con un oráculo independiente (bench/, puntuado contra Sysmon/Procmon), pero es solo para Windows, cubre un escenario y no se ejecuta en CI — no es una base para una tasa.
• Sobrecarga. El costo de CPU/RAM propio de AEGIS no se ha medido bajo un método documentado.
• Titulares de aceleración de benchmarks. La relación medida instantánea-vs-respaldo pasó de 193× a 51× entre dos días en la misma máquina; la afirmación duradera es la más débil — instantánea ~10 ms, respaldo cientos a miles de ms — y esa es la única forma citada aquí.
• Puntuaciones de confianza por evento. Deliberadamente ausentes del producto hasta que exista un bench de verdad fundamental.
• Conteos de pruebas. Los conteos de suites copiados a mano se vuelven obsoletos silenciosamente; la suite imprime sus propios conteos, y CI los ejecuta en cada commit.

Por qué supervisión independiente

Los agentes de IA se ejecutan con acceso profundo a archivos, credenciales y comandos de shell. El riesgo no es hipotético: el informe de Kaspersky sobre el caso OpenClaw reporta que una auditoría de seguridad en enero de 2026 identificó 512 vulnerabilidades, ocho de ellas críticas, y argumenta que el problema más profundo es arquitectónico — acceso local privilegiado combinado con la capacidad de comunicarse externamente (Kaspersky, 2026-02-10). Parchear corrige errores; no te da visibilidad sobre lo que un agente realmente hizo en tu máquina. Esa visibilidad es la capa que AEGIS añade.

Descargar

Instalador de Windows

A partir de v0.11.0-alpha, las versiones incluyen un instalador NSIS de Windows — descarga el .exe desde la última versión. Las versiones desde v0.13.0-alpha en adelante también incluyen un manifiesto firmado, de modo que una descarga puede verificarse sin conexión contra la clave pública comprometida en este repositorio — ver Verificación de una versión de AEGIS. Las versiones anteriores no incluyen manifiesto y no pueden verificarse de esta manera.

Desde el código fuente (todas las plataformas)```bash

git clone https://github.com/antropos17/Aegis.git cd Aegis npm install npm start

> Requiere **Node.js 24.x** (`engines` en `package.json`). Se recomienda Windows 10/11; macOS/Linux experimental ([#37](https://github.com/antropos17/Aegis/issues/37)) — consulte [límites conocidos](#límites-conocidos).

### Probar sin agentes de IA

¿No tienes agentes de IA en ejecución? El modo demo te permite explorar el panel completo con datos simulados: sin monitoreo real, sin procesos reales.```bash
npm run dev
# then open http://localhost:5174

El servidor de desarrollo incluye el motor del escenario de demostración — vite.config.js lo activa siempre que el comando sea serve, por lo que el panel simulado se renderiza sin un paso de compilación separado y sin Electron. Para una compilación estática y compartible (sin servidor de desarrollo ni Electron), ejecuta npm run build:demo y sirve el directorio dist/demo resultante con cualquier servidor de archivos estático (la compilación usa rutas de assets relativas, por lo que cualquier host funciona).

El modo demo ejecuta un motor de escenarios que recorre cuatro fases de amenaza — calma → elevada → crítica → reinicio — con hasta 12 agentes de IA simulados (Claude Code, Copilot, Cursor y más). Los eventos de acceso a archivos, las conexiones de red, las puntuaciones de anomalías y las evaluaciones de riesgo se generan en tiempo real para que cada pestaña y función sea totalmente operativa.

Úsalo para evaluar AEGIS antes de implementarlo, mostrar la interfaz a tu equipo o desarrollar nuevas funciones sin necesidad de un entorno Windows en vivo.

Historial de versiones

Características

Detección — 110 agentes (262 firmas de nombres de procesos), resolución de cadenas parentales, vigilancia de rutas sensibles y configuraciones de agentes, puntuación de riesgo por agente con grados de confianza (A+ a F), detección local de LLM, marcado de falsos positivos

Análisis — Líneas base de comportamiento con promedios móviles, detección de anomalías multieje, evaluación de amenazas por IA mediante la API de Anthropic (opt-in), informes de amenazas HTML imprimibles

Panel — Panel de cuadrícula Bento: indicador RiskRing, TrustBadge, feed de actividad con filtros, línea de tiempo de sesión con tooltips de atribución, tarjetas de agentes expandibles, ajustes preestablecidos de protección (Paranoid/Strict/Balanced/Developer), paleta de comandos (Ctrl+K), atajos de teclado (Ctrl+1-5), tema oscuro/claro, notificaciones toast, protección OOM

Exportación — Informes JSON, CSV, HTML, archivo ZIP con un clic, registro de auditoría JSONL encadenado por hash (rotación diaria, retención de 30 días)

i18n — Internacionalización con una base en inglés (en.json); se aceptan traducciones de la comunidad

CLI — --scan-json para scripting, --version, --help

Conjuntos de reglas YAML

• 73 reglas de detección en 8 categorías (config de IA, secretos, SSH, nube, navegador, herramientas de desarrollo, cripto, certificados)
• Validadas contra rules/_schema.json; editar un conjunto de reglas recarga en caliente sin reiniciar
• Ampliable añadiendo un .yaml a rules/. Los IDs de regla deben ser únicos — un ID duplicado se omite, no se sobrescribe. Un archivo recién añadido se detecta en la siguiente recarga o reinicio, ya que el watcher reacciona a cambios en archivos de nivel superior existentes

Capturas de pantalla

Capturadas de la compilación demo (npm run build:demo), 2026-08-21.

📸 Shield — Resumen en tiempo real

📸 Feed de actividad

📸 Reglas y permisos

📸 Informes y exportación

📸 Estadísticas de agentes

📸 Configuración

Arquitectura```

┌───────────────┐ ┌────────────────┐ ┌───────────────┐ ┌───────────────┐ │ Process │ │ File │ │ Network │ │ LLM Runtime │ │ Snapshot │ │ Watcher │ │ Monitor │ │ Detector │ │ (sidecar with │ │ (chokidar + │ │ (TCP + rDNS + │ │ (Ollama / LM │ │ CIM fallback)│ │ handle / RM) │ │ verdicts) │ │ Studio) │ └──────┬────────┘ └──────┬─────────┘ └──────┬────────┘ └──────┬────────┘ └──────────────┬───┴───────────────────┴──────────────────┘ ▼ ┌───────────────────────────────┐ │ Identity & Attribution │ │ instanceId = pid + birth time │ │ evidence codes, no guessing │ └──────┬────────────────┬───────┘ ▼ ▼ ┌──────────────────┐ ┌─────────────────────┐ │ Baselines + │ │ Audit Logger │ │ Anomaly (4-axis) │ │ (Event Schema v1, │ │ Risk Engine │ │ hash-chained JSONL) │ └──────┬───────────┘ └──────┬──────────────┘ ▼ ▼ ┌──────────────┐ ┌──────────────────┐ ┌───────────────┐ │ Dashboard │ │ Exports │ │ CLI │ │ (Svelte IPC) │ │ (JSON/CSV/HTML/ │ │ (--scan-json │ │ │ │ ZIP) │ │ --version) │ └──────────────┘ └──────────────────┘ └───────────────┘

Per-sensor health records live in the main process; surfacing them in the UI is on the roadmap.

**Stack**: Electron 43, Svelte 5, Vite 7, Vitest. El motor de monitoreo es JavaScript (CommonJS); TypeScript se usa en el renderizador y en los tipos compartidos. CI valida cada merge con trabajos de build, lint, svelte-check, test y audit; `npm run counts:check` vuelve a derivar cada contador documentado desde el árbol, `npm run verify:gate` prueba el testigo de identidad contra mutantes inyectados, y `npm run verify:seq-gate` prueba el motor de secuencias contra mutantes inyectados.

## Base de datos de agentes

110 agentes en [`src/shared/agent-database.json`](https://github.com/antropos17/aegis/blob/master/src/shared/agent-database.json):

**Codificación** — Claude Code, GitHub Copilot, Cursor, Windsurf, Tabnine, Amazon Q, Cody, Aider
**Autónomos** — OpenClaw, Devin, Manus AI, OpenHands, SWE-Agent, AutoGPT, BabyAGI, CrewAI
**Escritorio** — Anthropic Computer Use, Google Gemini, Apple Intelligence, Microsoft Copilot
**Frameworks** — LangChain, Semantic Kernel, AutoGen, MetaGPT, TaskWeaver
**LLMs locales** — Ollama, LM Studio, vLLM, llama.cpp, LocalAI, GPT4All, Jan

Añade agentes personalizados mediante la interfaz o editando el JSON. Consulta [AGENTS.md](https://github.com/antropos17/aegis/blob/master/AGENTS.md).

## Hoja de ruta

Todo lo siguiente está **planificado**, no publicado. AEGIS hoy es solo de monitoreo (consulta [Monitor-first](#monitor-first)).

- [ ] Bloqueo activo — aplicar reglas ante violaciones (espacio de usuario, pre-ejecución; los controladores de kernel son un no-objetivo) (hoy: observar y registrar únicamente)
- [ ] Mostrar el estado de salud de cada sensor en la interfaz — existen registros del proceso principal ([diseño](https://github.com/antropos17/aegis/blob/master/docs/roadmap/sensor-health-degraded.md))
- [ ] Mapeo MITRE ATT&CK para reglas de detección
- [ ] Detección de anomalías basada en ML (hoy: pesos heurísticos codificados)
- [ ] Soporte de primera clase para macOS y Linux (actualmente experimental — [#37](https://github.com/antropos17/Aegis/issues/37))
- [ ] Monitoreo de GPU para detección de inferencia local
- [ ] Atribución de archivos por proceso (ETW, fanotify) — reconocimiento estático: [docs/recon/kernel-file-etw.md](https://github.com/antropos17/aegis/blob/master/docs/recon/kernel-file-etw.md)
- [ ] Detección de contenedores/VMs (Docker, WSL)
- [ ] Extensión de navegador para agentes de IA basados en web
- [x] Actualizaciones automáticas firmadas para Windows (implementado; la primera versión requiere instalación manual)
- [x] i18n / localización ([#53](https://github.com/antropos17/Aegis/issues/53))

## Preguntas frecuentes

### ¿Qué es Aegis?

Aegis es un monitor de código abierto a nivel de sistema operativo para agentes de IA. Rastrea procesos, acceso a archivos, actividad de red y anomalías de comportamiento en tiempo real, construido sobre Electron 43 y Svelte 5. El motor de monitoreo es JavaScript CommonJS; el renderizador usa módulos ES, y TypeScript se emplea en el renderizador y en las definiciones de tipos compartidas. Todos los datos permanecen locales — sin telemetría, sin dependencia de la nube.

### ¿Por qué los agentes de IA necesitan monitoreo?

Los agentes de IA autónomos como OpenClaw, AutoGPT y Devin tienen acceso profundo a archivos locales, credenciales y comandos de shell — pero operan con una supervisión mínima. El caso de OpenClaw es el ejemplo concreto: una auditoría de seguridad reportada por [Kaspersky](https://www.kaspersky.com/blog/openclaw-vulnerabilities-exposed/55263/) identificó 512 vulnerabilidades en un agente popular. Aegis proporciona la capa de observabilidad independiente, para que puedas ver qué hacen realmente los agentes en tu máquina.

### ¿En qué se diferencia Aegis de un EDR tradicional?

Las herramientas EDR tradicionales monitorean amenazas impulsadas por humanos — malware, ransomware, phishing. Aegis está construido específicamente para el comportamiento de agentes de IA: incluye 110 agentes (262 firmas de nombres de proceso) en su base de datos de detección, 73 reglas de detección ajustadas para patrones específicos de agentes, y líneas base de comportamiento que rastrean cómo cambia la actividad de cada agente con el tiempo. También es monitor-first: observa y registra, y deja la aplicación de reglas al sandboxing.

### ¿Funciona Aegis con herramientas MCP?

Aegis monitorea procesos, no protocolos. Si una herramienta conectada mediante el Model Context Protocol (MCP) genera procesos, accede a archivos o realiza llamadas de red, esa actividad se observa y atribuye como cualquier otra — Aegis no analiza el tráfico MCP por sí mismo.

### ¿Es Aegis un reemplazo para el sandboxing?

No. Aegis es una capa de observabilidad, no una capa de restricción. Los sandboxes limitan lo que los agentes pueden hacer; Aegis te muestra lo que los agentes están haciendo. Son complementarios — usa sandboxing para la aplicación de reglas y Aegis para visibilidad, auditoría y detección de anomalías.

### ¿Qué agentes soporta Aegis?

Aegis incluye 110 agentes (262 firmas de nombres de proceso) en su base de datos, abarcando asistentes de codificación (Claude Code, Copilot, Cursor), agentes autónomos (OpenClaw, AutoGPT, CrewAI, Devin), IA de escritorio (Gemini, Apple Intelligence), frameworks (LangChain, AutoGen, MetaGPT) y runtimes de LLM locales (Ollama, LM Studio, llama.cpp). Puedes añadir agentes personalizados mediante la interfaz o la configuración JSON.

### ¿Puedo usar Aegis en producción?

Aegis es software alfa (consulta [Releases](https://github.com/antropos17/Aegis/releases) para la versión actual) y se recomienda para entornos de desarrollo y pruebas. Es monitor-first — no bloqueará nada — y las funciones de despliegue en producción como la actualización automática y la aplicación de reglas a nivel de sistema operativo están en la [hoja de ruta](#roadmap), no en la versión actual.

### ¿Es Aegis gratuito?

Sí. Aegis se publica bajo la licencia MIT sin telemetría, sin requisitos de nube y sin niveles de pago. El código fuente completo está disponible en GitHub.

## Contribuyentes

<table>
  <tr>
    <td align="center"><a href="https://github.com/antropos17"><img src="https://assets.kitploit.com/production/public/readmes/11867/d578c57b7ef172e620fdae169ad91c8e0055b37d16844c2c2629faaf9b9219a2.jpg" width="80px;" alt=""/><br/><sub><b>Antropos7</b></sub></a></td>
    <td align="center"><a href="https://github.com/ElshadHu"><img src="https://assets.kitploit.com/production/public/readmes/11867/3c10ee663b93377a199c1e7210a9367027209543b0517b81c3d062f896295e8f.jpg" width="80px;" alt=""/><br/><sub><b>Elshad Humbatli</b></sub></a></td>
    <td align="center"><a href="https://github.com/skmelendez"><img src="https://assets.kitploit.com/production/public/readmes/11867/e5155c2418c9da5882d234cc3c4cc9553f394b267dc070af20e46ec29e6c1424.jpg" width="80px;" alt=""/><br/><sub><b>Steven Melendez</b></sub></a></td>
    <td align="center"><a href="https://github.com/travisbreaks"><img src="https://assets.kitploit.com/production/public/readmes/11867/bc41c225a907e0765ed5854e34d18643727303d9f0322b87e3aadffce277f93a.jpg" width="80px;" alt=""/><br/><sub><b>travisbreaks</b></sub></a></td>
    <td align="center"><a href="https://github.com/raye-deng"><img src="https://assets.kitploit.com/production/public/readmes/11867/922df91939ff1c15304305ca05e0e48193a6fd98679450b765363ae710a22344.png" width="80px;" alt=""/><br/><sub><b>raye-deng</b></sub></a></td>
    <td align="center"><a href="https://github.com/KJyang-0114"><img src="https://assets.kitploit.com/production/public/readmes/11867/bf4bc0e449422b18054b342eea0716b8d434554a3b84fd539df0ac570d375a73.png" width="80px;" alt=""/><br/><sub><b>KJyang-0114</b></sub></a></td>
  </tr>
</table>

[CONTRIBUTING.md](https://github.com/antropos17/aegis/blob/master/CONTRIBUTING.md) &middot; [SECURITY.md](https://github.com/antropos17/aegis/blob/master/SECURITY.md) &middot; [CODE_OF_CONDUCT.md](https://github.com/antropos17/aegis/blob/master/CODE_OF_CONDUCT.md)

## Soporte

Si Aegis te resulta útil, considera darle una estrella en GitHub — ayuda a que otros descubran el proyecto.

**Equipos y Empresas** — ¿Necesitas paneles centralizados, integración con SIEM o despliegue gestionado? Lo estamos construyendo. [Recibe notificaciones](mailto:[email protected]?subject=Aegis%20Enterprise%20Interest)

## Licencia

[MIT](https://github.com/antropos17/aegis/blob/master/LICENSE)

## Historial de estrellas

[![Star History Chart](https://assets.kitploit.com/production/public/readmes/11867/7cd00fa07216305d19bb2b6ece0de2b2dd36eeb2786d065aef0359159e4598a8/43d9ce4f0049392bf903058716bccb8009e9bdf415dc7e9e892487d4c1f75365-display-v1.webp)](https://www.star-history.com/?repos=antropos17%2FAegis&type=timeline&legend=top-left)