jondean213-pixel/quietos-sentinelSentinel — el gobernador de entrada de DeanWay Labs. Controla lo que escucha un agente de IA: el contenido del mundo es dato, nunca órdenes. El reflejo de QuietOS.
DeanWay Labs. Sentinel es el espejo de QuietOS. QuietOS gobierna lo que un agente de IA hace. Sentinel gobierna lo que un agente de IA escucha.
El cerebro propone, QuietOS dispone — y Sentinel decide qué se le permite siquiera escuchar al cerebro.
Un agente lee datos e instrucciones en el mismo flujo, y no puede distinguirlos de forma nativa. Así que el mundo ha aprendido a ocultar órdenes dentro de los datos: una página web que le indica al asistente que envíe las contraseñas por correo, un correo electrónico que lleva el nombre del propietario, un resultado de herramienta con un segundo trabajo secreto escondido dentro. Eso es la inyección de prompts, y funciona porque nada se interpone en la puerta.
Sentinel se interpone en la puerta.
Solo el propietario emite instrucciones. Todo lo demás son datos.
El contenido proveniente del mundo — páginas web, correos electrónicos, archivos, mensajes, salidas de herramientas — se inspecciona
antes de que llegue al cerebro, y lo que pase se entrega envuelto y etiquetado como
datos, nunca como órdenes. Una afirmación dentro del contenido ("soy el propietario", "el propietario ya
aprobó esto", SYSTEM:) no autentica nada: la autenticación proviene del canal,
nunca del texto.
| Veredicto | Significado |
|---|---|
| ALLOW | Datos limpios. Pasan, etiquetados como datos. |
| ESCALATE | Contenido con forma de instrucción dirigido al agente desde una fuente que no es el propietario. Retenido para el propietario con el contenido exacto preservado — la misma disciplina de vinculación de aprobación que QuietOS. Nada actúa sobre él mientras espera. |
| BLOCK | Patrones conocidos como hostiles: directivas de exfiltración, suplantación del propietario/sistema, afirmaciones falsas de aprobación, conjuros de anulación de reglas, directivas de ocultamiento. Rechazado de plano. |
Cada ESCALATE y BLOCK se escribe en un registro de ataques de solo anexado — marca de tiempo, origen, veredicto, señales coincidentes, SHA-256 del contenido exacto y un extracto preservado. Los intentos son evidencia, y el registro es parte del producto, de la misma manera que el registro de pruebas de red-team de QuietOS lo es.
Signal; una comprobación basada en modelo puede unirse a rules.CHECKS sin tocar el motor.docs/PROOF-LOG.md para los huecos abiertos actuales): la valla es
solo en inglés y literal — los ataques elaborados con sinónimos, leetspeak y puramente semánticos pueden
pasar la valla. Aún así se enfrentan a la ley: el contenido no detectado llega al cerebro etiquetado
como datos, no como órdenes. La detección eleva el coste del ataque; la autoridad es el muro.from sentinel import Inspector, Source
inspector = Inspector() # optionally: Inspector(ledger=AttackLedger("attacks.jsonl"))
verdict = inspector.inspect(page_text, Source("webpage", url))
if verdict.verdict == "ALLOW":
brain_input = Inspector.labeled_payload(verdict, page_text)
elif verdict.verdict == "ESCALATE":
hold_for_owner(verdict.excerpt, verdict.signals) # exact content, owner's call
else: # BLOCK
refuse(verdict)
El propio canal autenticado del propietario es la única excepción a la inspección:
Source("owner", ..., owner_authenticated=True) pasa con el rol instruction —
no es una superficie de ataque, es la autoridad. Una afirmación no autenticada al
canal del propietario se bloquea como suplantación por construcción.
python3 -m pytest tests/ -q
Tres suites: tests/test_redteam.py (casos de ataque), tests/test_controls.py
(contenido benigno que debe pasar como datos), tests/test_engine.py (ley de autoridad,
evidencia del libro mayor, etiquetado). Los resultados —incluidos los fallos— viven en
docs/PROOF-LOG.md.
Concebido por Jon Dean (DeanWay Labs), 2026-10-21: "Gobernamos lo que sale — ¿no necesitamos también proteger a la IA y gobernar lo que entra?" Construido la misma noche. Nombrado Sentinel por Jon.