Para las alternativas de Skill, curl y git-clone, además de los sistemas PEP 668 y la configuración de ocultación de secretos, consulta la [guía de instalación completa](https://github.com/prismorsec/prismor/blob/main/docs/installation.md).

---

## Capacidades<a name="capabilities" />

![Prismor Architecture](https://assets.kitploit.com/production/public/readmes/13903/0e84c7211b3275de581182b7f69c44d8224142323b43220dd1234eee17616757.png)

- 🛡️ [Prismor](https://github.com/prismorsec/prismor/blob/main/docs/prismor-runtime.md) cubre el motor de políticas, los registros de sesión, la auditoría de seguridad y la referencia de la CLI
- 📦 [Supply Chain](https://github.com/prismorsec/prismor/blob/main/docs/supply-chain.md) cubre la aplicación en tiempo de instalación, la coincidencia de IOC y la puntuación de riesgo
- 🛜 [Network Isolation](https://github.com/prismorsec/prismor/blob/main/docs/network-isolation.md) cubre el control de egreso basado en políticas, la detección de IP sin procesar y el bloqueo de túneles
- 🔍 [Skill Scanner](https://github.com/prismorsec/prismor/blob/main/docs/skill-scanner.md) cubre el escaneo de riesgos de servidores MCP y skills en los agentes compatibles
- 🚦 [MCP Guardrails](https://github.com/prismorsec/prismor/blob/main/docs/prismor-runtime.md#custom-guardrails-for-mcp-tools) te permite bloquear un servidor o herramienta MCP específicos, o exigir aprobación humana antes de que el agente los invoque, con una regla de política que escribes tú mismo
- 🛰️ [MCP Gateway](https://github.com/prismorsec/prismor/blob/main/docs/mcp-gateway.md) es un único conector MCP que se sitúa delante de todos los demás servidores MCP que usas — cada `tools/call` se evalúa según la política antes de reenviarse y cada respuesta se escanea en busca de inyecciones antes de que el modelo la vea, de modo que un resultado de herramienta envenenado nunca se convierte en contexto. `prismor mcp-gateway install` mueve un `.mcp.json` existente detrás de él
- 🛤️ [LLM Proxy](https://github.com/prismorsec/prismor/blob/main/docs/llm-proxy.md) gobierna un agente que Prismor no puede enganchar, a través de lo único que todo agente tiene: su tráfico de modelo. Apúntalo a `prismor proxy` con `ANTHROPIC_BASE_URL`, `OPENAI_BASE_URL` o el `HttpOptions(base_url=...)` del SDK de Google Gen AI y nada más del agente cambia. Cada llamada a herramienta que el modelo *propone* — `tool_use` de Anthropic, `tool_calls` de OpenAI, `functionCall` de Gemini — se reformula en el mismo evento que produce un hook de `Bash` y se juzga con la misma regla, reteniendo las llamadas en streaming hasta que puedan ser juzgadas
- [Claude Inference Hooks](https://github.com/prismorsec/prismor/blob/main/docs/inference-hook.md) convierte a Prismor en el servidor de seguridad de IA detrás de Claude Enterprise: Anthropic envía cada prompt gobernado desde claude.ai, Claude Code y Cowork a `prismor inference-hook serve`, que ejecuta tu política sobre la transcripción y responde allow/deny antes de que se ejecute el modelo — solicitudes firmadas (Standard Webhooks), fail-closed, modo sombra, nada que instalar en los dispositivos de los usuarios. `prismor inference-hook test` envía tramas de muestra firmadas para comprobar el cableado
- 🏷️ [Tool Tags](https://github.com/prismorsec/prismor/blob/main/docs/tool-tags.md) clasifica las herramientas por capacidad (read, write, network, exec) para que una regla pueda decir "nada que lea datos privados puede además alcanzar la red" en lugar de nombrar cada herramienta una por una — las herramientas MCP se autodeclaran mediante `_meta`, y `prismor tags` lista, prueba y valida las expresiones de reglas
- 🔐 [Sweep and Cloak](https://github.com/prismorsec/prismor/blob/main/docs/sweep-and-cloak.md) cubre la prevención de secretos en los límites de las herramientas, la configuración práctica, las mejores prácticas, el modelo de amenazas y la limpieza de secretos filtrados
- 🦞 [OpenClaw Integration](https://github.com/prismorsec/prismor/blob/main/docs/openclaw.md) cubre los hooks en tiempo de ejecución, el escaneo de inyección de prompts y la configuración a nivel de proyecto o usuario para OpenClaw
- 🤖 [Hermes Agent Cloaking](https://github.com/prismorsec/prismor/blob/main/docs/hermes.md) cubre la ocultación de secretos específica de Hermes con autodescubrimiento de puntos de entrada de pip, instalación en el sistema de archivos y guardia de pegado pre_gateway_dispatch
- ☁️ [Hosted Agent VMs](https://github.com/prismorsec/prismor/blob/main/docs/cloud-agents.md) gobierna agentes que se ejecutan en una máquina en la que nunca inicias sesión (Claude Code en la web, agentes en la nube de Cursor, Copilot coding agent, OpenHands Cloud, Codex cloud, Replicas): el script de configuración de la plataforma instala el binario, y `install-hooks --portable` escribe una configuración de hooks que es segura de confirmar
- 🧠 [Semantic Guard](https://github.com/prismorsec/prismor/blob/main/docs/semantic-guard.md): capa híbrida opcional que añade una comprobación de intención asistida por LLM para intentos de inyección de prompts parafraseados que las reglas de expresiones regulares no pueden detectar
- 🪤 [Canary](https://github.com/prismorsec/prismor/blob/main/docs/canary.md) coloca archivos de credenciales honeytoken que activan un hallazgo CRITICAL en el momento en que un agente los lee, detectando comportamiento de reconocimiento
- 🪪 [IAM](https://github.com/prismorsec/prismor/blob/main/docs/iam.md) otorga a cada agente una identidad con nombre y un perfil de permisos de mínimo privilegio cuando varios agentes comparten un espacio de trabajo
- 🧩 [Framework Agents](https://github.com/prismorsec/prismor/blob/main/docs/frameworks-overview.md) protege agentes en producción (OpenAI Agents SDK, LangChain/LangGraph en Python y JS, CrewAI, browser-use, Pydantic AI, AutoGen Core, Agno, Semantic Kernel, Google ADK, BeeAI, Claude Agent SDK, Vercel AI SDK, Mastra) con una sola llamada — envuelve cada solicitud en `use_subject("user:alice")` y un agente multiinquilino obtiene atribución por usuario, perfiles IAM por usuario y suspensión por usuario
- 🎯 [Scoped Agent](https://github.com/prismorsec/prismor/blob/main/docs/scoped-agent.md) sintetiza reglas mínimas y específicas de la tarea por sesión para que un pivote inyectado fuera de la tarea quede bloqueado
- 🧬 [Learning](https://github.com/prismorsec/prismor/blob/main/docs/learning.md) extrae del historial de sesiones para proponer nuevas reglas, señalar falsos positivos y detectar evasión
- ⚖️ [Layered Policy & Exemptions](https://github.com/prismorsec/prismor/blob/main/docs/policy-layers-and-exemptions.md) cubre el modo observe/enforce por regla, el suelo no anulable y las exenciones con concesión administrativa y límite de tiempo en las capas de organización / proyecto / repositorio
- 🔐 [Selección explícita de enforce y la ventana de desbloqueo](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md#choosing-what-blocks) — la configuración de enforce comienza sin nada bloqueando y tú eliges el conjunto; `prismor allow` crea excepciones acotadas, y `prismor unlock` abre una ventana protegida por contraseña y con límite de tiempo en la que un agente puede editar la política (nunca las reglas de autoprotección que protegen al propio Prismor)
- 📡 [Live Telemetry](https://github.com/prismorsec/prismor/blob/main/docs/live-telemetry.md) cubre el enlace opcional al plano de control empresarial — registro de dispositivos, política remota firmada y telemetría redactada transmitida a un panel de organización autoalojado
- 🔌 [Telemetry Sinks](https://github.com/prismorsec/prismor/blob/main/docs/telemetry-sinks.md) reenvía cada hallazgo a lo que ya usas — un colector de OpenTelemetry (logs OTLP/HTTP), Splunk HEC, Datadog, syslog, un webhook o un archivo local en JSON/CEF/OCSF — despachado antes de la decisión de bloqueo y nunca capaz de detener una llamada a herramienta
- 📊 [Dashboard](https://github.com/prismorsec/prismor/blob/main/docs/dashboard.md) cubre los paneles de terminal y web local, además de la forense de sesiones, con `prismor tokens` desglosando a dónde fue realmente el contexto y el gasto de tokens de una sesión
- 🩺 [Health and Recovery](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md) — `prismor doctor` comprueba el estado de cada subsistema (hooks, firma de política, registro, sumidero de telemetría, estado de la cadena), y `prismor pause` / `pause-hard` suspende *solo la aplicación* para un humano durante un incidente mientras el registro en modo observación sigue funcionando
- 🧾 [Signed Audit Trail](https://github.com/prismorsec/prismor/blob/main/docs/audit-trail.md) encadena por hash y firma con Ed25519 cada acción del agente localmente, de modo que `prismor trail verify` demuestra que el historial no ha sido editado, eliminado ni reescrito
- 🔖 [Signed Telemetry Receipts](https://github.com/prismorsec/prismor/blob/main/docs/telemetry-receipts.md) es el esquema de transmisión de los registros que reporta un dispositivo — bytes canónicos, las dos capas de integridad y un verificador de referencia sin dependencias, para que un SIEM o un auditor pueda comprobar un recibo sin Prismor
- 📑 [Attestation Bundle](https://github.com/prismorsec/prismor/blob/main/docs/attestation-bundle.md) empaqueta la postura, el inventario de agentes, el descubrimiento de hosts, la cobertura de control de frameworks (OWASP LLM/Agentic, NIST AI RMF, EU AI Act) y el ancla del historial en un único archivo firmado con Ed25519 que un auditor reverifica con `prismor attest verify`
- 🔦 [Host Discovery](https://github.com/prismorsec/prismor/blob/main/docs/attestation-bundle.md#host-discovery) barre la máquina con `prismor discover` y señala cualquier agente de IA que se ejecute sin hooks de Prismor (shadow AI)
- ⏪ [Transcript Ingest](https://github.com/prismorsec/prismor/blob/main/docs/transcript-ingest.md) reconstruye lo que hicieron tus agentes *antes* de que se instalara Prismor — `prismor ingest --discover` reproduce las transcripciones de sesión en disco a través del motor de políticas en vivo, de modo que el panel se llena desde el primer día y puedes ver exactamente qué habría bloqueado activar una regla a enforce, además de `--coverage` para sesiones que se ejecutaron sin monitorización
- 🗺️ [Agentic AI Architecture Review](https://github.com/prismorsec/prismor/blob/main/docs/agentic-architecture-review.md) es una lista de verificación en tiempo de diseño para sistemas multiagente/que usan herramientas — alcance de permisos, integridad de la memoria, confianza entre agentes, ubicación de la supervisión humana — cada elemento mapeado a un ID de control real y, cuando existe, a la regla de Prismor que lo respalda
- 🐳 [Docker and Containers](https://github.com/prismorsec/prismor/blob/main/docs/docker.md) cubre el endurecimiento de contenedores, los requisitos previos y las limitaciones conocidas

Mapa completo de comandos para cada capacidad: [CLI Reference](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md).

Estas capacidades se corresponden con el [OWASP Top 10 for LLM Applications](https://genai.owasp.org/llm-top-10/) - cubriendo la inyección de prompts (LLM01), la divulgación de información sensible (LLM02), la cadena de suministro (LLM03), el manejo inadecuado de la salida (LLM05) y la agencia excesiva (LLM06).

---

## Escenarios y casos de uso<a name="scenarios-and-use-cases" />

Flujos de trabajo reales con los comandos y la configuración que los hacen funcionar — incorporar a un equipo en modo observación, atribución IAM por usuario para pipelines multiagente y de frameworks, descubrimiento de shadow AI, aprobación escalonada para operaciones de alto riesgo y generación de un paquete de atestación firmado para una auditoría de cumplimiento. Consulta [USE_CASES.md](https://github.com/prismorsec/prismor/blob/main/USE_CASES.md).

---

## Configuración<a name="configuration" />

### Referencia de comandos

Mapa completo de comandos: [docs/cli-reference.md](https://github.com/prismorsec/prismor/blob/main/docs/cli-reference.md).

### Modos de gobernanza

`prismor setup` te pide elegir una postura en lugar de configurar seis ejes de política a mano. Cada una se compila en `.prismor/policy.yaml` — aplicación, egreso, acceso a herramientas, reglas de etiquetas, sandbox y límite de datos en conjunto.

![Prismor governance modes](https://raw.githubusercontent.com/prismorsec/prismor/main/assets/prismor-modes.png)

| Modo | Para | Cobertura | Fricción |
|---|---|---|---|
| `dev-safe` | Trabajo de funcionalidades sobre código que no has leído | 31% | 9% |
| `trusted-workspace` | Repositorios internos de confianza, trabajo local con Docker | 34% | 9% |
| `regulated-airgap` | PII/PHI, SOC 2, EU AI Act — sin red, sin shell | 100% | 90% |```bash
prismor mode list                            # compare the three
prismor mode explain dev-safe                # the trade, including what it does NOT stop
prismor mode apply dev-safe                  # compile it into this workspace
prismor mode apply regulated-airgap --observe   # what it would block, blocking nothing

### Un motor de políticas, todas las superficies de aplicación

La Etapa 1 tiene más de una puerta, y eso es deliberado: ningún punto de interposición único cubre a todos los agentes. Los hooks son los más amplios, pero no todos los hosts los ofrecen; MCP es el único lugar donde algunos agentes pueden ser interceptados; los agentes de frameworks en producción se ejecutan donde no hay un host al que engancharse.

Así que cada superficie normaliza lo que vio en un único evento canónico y le pide al mismo evaluador un veredicto. Una regla escrita una vez cubre la misma acción sin importar cómo llegue.

| superficie | qué gobierna | rechazar | reescribir entrada | redactar salida |
|---|---|:--:|:--:|:--:|
| Hooks de agentes de código | toda la superficie de herramientas de un agente | sí | Claude/Qwen | no |
| Puerta de enlace MCP | cada servidor MCP detrás de un conector | sí | sí | sí |
| Built-ins espejados | el propio Bash/Read/Write del agente, sobre MCP | sí | sí | sí |
| Adaptadores de SDK de frameworks | agentes en proceso (13 frameworks) | sí | no | no |
| `prismor eval-server` | llamadores no-Python, proxies externos | sí | sí | sí |
| Canal de hook de inferencia | webhook de turno de transcripción alojado | sí | no | no |

"Redactar salida" es la razón por la que existe el espejo: un hook previo a la acción solo puede *rechazar* una lectura de archivo, mientras que una superficie que transporta la respuesta puede devolver el archivo con la credencial enmascarada.

Esto se verifica en lugar de afirmarse — `tests/test_surface_conformance.py` reproduce una acción a través del normalizador propio de cada superficie y falla si no coinciden en el veredicto o la regla.

Consulta [el contrato de decisión](https://github.com/prismorsec/prismor/blob/main/docs/decision-contract.md) para la forma del evento y el vocabulario de veredictos, y [superficies de gobernanza](https://github.com/prismorsec/prismor/blob/main/docs/governance-surfaces.md) para saber qué superficie usar por agente.

---

## Capacidades seleccionadas, explicadas<a name="selected-capabilities-walked-through" />

Tres módulos de [Capacidades](#capabilities), con configuración, salida y resultados.

### Defensa híbrida semántica contra inyección de prompts<a name="hybrid-semantic-prompt-injection-defense" />

Las reglas regex detectan formas de inyección conocidas. El guardián semántico añade una capa consciente de la intención: un pre-filtro heurístico maneja casos claros en <1 ms, y las entradas inciertas escalan a un juez LLM que posee el veredicto en cualquier caso — confirma ataques parafraseados que el regex solo vio a medias y descarta texto benigno que activó una señal de reclamo de autoridad. Probado en más de 800 casos — **+30% de recall** sin falsos positivos añadidos, incluyendo inyecciones parafraseadas y dentro de archivos que evaden el regex.

![Resultados del Guardián Semántico](https://assets.kitploit.com/production/public/readmes/13903/a32297d3549c5ff60690c8dca14490f1d53a17a253d912bcb2187414dea3d018.png)

El juez se ejecuta con un inicio de sesión que ya tienes — no se necesita clave de API. `prismor setup` lo pregunta en su paso **LLM judge**; por script:```bash
prismor setup --non-interactive --judge claude   # Claude Code CLI, your Claude login
prismor setup --non-interactive --judge codex    # Codex CLI, your ChatGPT login
prismor setup --non-interactive --judge api --judge-model gpt-4o-mini   # any litellm model + key

# Escaneo básico
tool --target example.com

# Escaneo con hilos personalizados y tiempo de espera
tool --target example.com --threads 10 --timeout 30

# Salida en formato JSON
tool --target example.com --json --output results.json

# Usar un proxy y cabeceras personalizadas
tool --target example.com --proxy http://127.0.0.1:8080 --header "Authorization: Bearer token"

# Leer objetivos desde un archivo
tool --input targets.txt --threads 20

# Configuración de ejemplo
target: example.com
threads: 10
timeout: 30
output: results.json
verbose: true
proxy: http://127.0.0.1:8080
headers:
  User-Agent: "Mozilla/5.0"
  Accept: "application/json"

export PATH=$PATH:/usr/local/bin

chmod +x /usr/local/bin/tool

ping example.com
curl -I https://example.com

tool --target example.com --timeout 60

Veredictos: `< 30` permitir · `30–59` advertir · `≥ 60` bloquear. La coincidencia de IOC siempre bloquea. Crea alias para tus gestores de paquetes para controlar cada instalación automáticamente.

`prismor supplychain harden` escribe la configuración de bloqueo en `.npmrc` / `.yarnrc.yml` / `pip.conf` / `.cargo/config.toml` para que el gestor de paquetes las aplique incluso cuando se omite el alias (CI, plugins del IDE).```bash
prismor supplychain harden           # apply to current directory
prismor supplychain harden --dry-run

`--scope` tiene como valor predeterminado `project`. **Los ámbitos de proyecto y de usuario editan archivos diferentes** — ejecutar solo `--scope user` *no* toca los hooks locales de un workspace, y viceversa:

| Agente | Ámbito de proyecto | Ámbito de usuario |
|---|---|---|
| Claude Code | `<workspace>/.claude/settings.json` | `~/.claude/settings.json` |
| Cursor | `<workspace>/.cursor/hooks.json` | `~/.cursor/hooks.json` |
| Windsurf | `<workspace>/.windsurf/hooks.json` | `~/.codeium/windsurf/hooks.json` |
| OpenClaw | `<workspace>/.openclaw/plugins.json` | `~/.openclaw/config.json` |
| Hermes | `<workspace>/.hermes/plugins.json` | `~/.hermes/config.json` |
| Codex | `<workspace>/.codex/hooks.json` | `~/.codex/hooks.json` |
| Copilot | `<workspace>/.github/copilot/hooks.json` | `~/.copilot/hooks.json` |
| Grok Build | `<workspace>/.grok/hooks/prismor.json` | `~/.grok/hooks/prismor.json` |
| Kiro CLI | `<workspace>/.kiro/agents/kiro_default.json` | `~/.kiro/agents/kiro_default.json` |
| Crush | `<workspace>/crush.json` | `~/.config/crush/crush.json` |
| OpenHands | `<workspace>/.openhands/hooks.json` | `~/.openhands/hooks.json` |
| Qwen Code | `<workspace>/.qwen/settings.json` | `~/.qwen/settings.json` |
| Continue CLI | `<workspace>/.continue/settings.json` | `~/.continue/settings.json` |
| Goose | `<workspace>/.agents/plugins/prismor/hooks/hooks.json` | `~/.agents/plugins/prismor/hooks/hooks.json` |

Si solo ejecutas un ámbito, los hooks del otro (si están instalados) siguen disparándose. Ejecuta ambos si quieres que Prismor quede completamente fuera de escena para un agente.

Una sesión en ejecución ya ha cargado su configuración de hooks — desinstalar a mitad de sesión no surtirá efecto hasta que inicies una nueva sesión.

Si `prismor uninstall-hooks` informa de éxito pero los hooks siguen disparándose, es probable que estés ejecutando una instalación obsoleta — por ejemplo, una copia instalada con `pipx` que es una instantánea desactualizada de un checkout de desarrollo. Comprueba `which immunity` y, si resuelve a un venv de `pipx`, reinstala desde la fuente actual (`pipx install --force <path-or-package>`) antes de volver a ejecutar la desinstalación. Como último recurso, edita manualmente el archivo de configuración de hooks.

### 2. Desactivación suave: modo observación + dry-run

Mantén los hooks instalados pero evita que bloqueen:```bash
prismor install-hooks --agent all --scope project --mode observe
PRISMOR_LOCAL_DRY_RUN=1   # set in your shell/session env