Antes de AgentBox                    Después de AgentBox
─────────────────                  ──────────────
Agente → disco completo ❌          Agente → solo rutas permitidas ✅
Agente → toda la red ❌             Agente → solo hosts permitidos ✅
Agente → secretos en bruto ❌       Agente → tokens con ámbito ✅
Sin registro de auditoría ❌        Cada acción registrada ✅
Sin interruptor de apagado ❌       Apagado en <100 ms ✅
Habilidades ejecutadas como root ❌ Sandbox aislado por kernel ✅

# Instalación
go install github.com/siyad01/agentbox/cmd/agentbox@latest

# Validar un manifiesto antes de ejecutar
agentbox validate manifests/email-sorter.yaml

# Ejecutar un agente en un sandbox
agentbox run --manifest manifests/email-sorter.yaml python agent.py

# Ver qué hizo el agente
agentbox audit --log logs/email-sorter-audit.log

# Verificar que el registro no ha sido manipulado
agentbox verify logs/email-sorter-audit.log

# Gestionar secretos
agentbox vault add ANTHROPIC_API_KEY
agentbox vault list

name: "email-sorter"
version: "1.0.0"
description: "Lee la bandeja de entrada, categoriza correos, escribe en la carpeta ordenada"
runtime: docker        # o: gvisor (nivel de kernel), firecracker (MicroVM)

permissions:
  filesystem:
    read:
      - "~/Documents/inbox"
    write:
      - "~/Documents/sorted"
    deny:                      # SIEMPRE bloqueado, incluso si está en la lista de lectura
      - "~/.ssh"
      - "~/.aws"
      - "~/.config"
      - "/etc"

  network:
    allow:
      - "api.anthropic.com"
      - "gmail.googleapis.com"
    deny:
      - "*"                    # bloquear todo lo demás

  tools:
    allow:
      - "read_file"
      - "write_file"
      - "list_*"
    deny:
      - "execute_shell"        # sin acceso a shell, nunca
      - "*_delete"             # sin herramientas de borrado

  credentials:
    - ANTHROPIC_API_KEY        # inyectado desde la bóveda en tiempo de ejecución
    - GMAIL_TOKEN              # el agente nunca ve el valor en bruto

limits:
  max_tokens:    50000         # presupuesto de tokens LLM
  max_duration:  "30m"         # se elimina después de 30 minutos
  max_memory_mb: 256           # límite de RAM
  max_requests:  500           # máximo de invocaciones de herramientas

audit:
  log_level: full
  alert_on:
    - filesystem_deny
    - network_deny
    - token_budget_80pct
  log_path: "logs/email-sorter-audit.log"

agentbox run --manifest agent.yaml python agent.py
         │
         ▼
┌─────────────────────────────────────────────────────┐
│                 Motor de políticas                   │
│  Analiza el manifiesto → construye listas allow/deny │
│  Valida firmas → rechaza habilidades sin firmar      │
│  Inyecta credenciales desde la bóveda                │
└──────────────────────┬──────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────┐
│              Capa de aislamiento                     │
│                                                     │
│  Docker  → contenedor + seccomp + cap-drop          │
│  gVisor  → kernel en espacio de usuario, intercepta syscalls │
│  Firecracker → kernel MicroVM dedicado por agente    │
│                                                     │
│  Sistema de archivos: solo rutas declaradas montadas │
│  Red: solo hosts declarados alcanzables              │
│  Capacidades: TODAS eliminadas, ninguna añadida      │
└──────────────────────┬──────────────────────────────┘
                       │
          ┌────────────┼────────────┐
          ▼            ▼            ▼
   Registro de    Bóveda de    Monitor de
   auditoría     credenciales  recursos
   (cadena de hash)  AES-256-GCM  auto-apagado
   cada acción    tokens con ámbito  ante límites

El agente intenta: write("/home/user/.ssh/id_rsa")
                    │
                    ▼
         Kernel en espacio de usuario de gVisor
                    │
         ¿Ruta en lista de denegación? → SÍ
                    │
                    ▼
         EPERM devuelto inmediatamente
         El kernel del host nunca ve este syscall
         La inyección de prompts no puede cruzar esta capa

agentbox <comando> [opciones]

Comandos:
  run       Ejecutar un agente en un sandbox
  validate  Validar un archivo de manifiesto
  kill      Terminar un agente en ejecución
  audit     Ver registros de auditoría del agente
  verify    Verificar la integridad del registro de auditoría
  vault     Gestionar credenciales cifradas
  serve     Iniciar el servidor de API REST
  version   Mostrar versión

Ejemplos:
  agentbox validate manifests/email-sorter.yaml
  agentbox run --manifest manifests/email-sorter.yaml python agent.py
  agentbox kill agent-abc123
  agentbox audit --log logs/email-sorter.log --deny
  agentbox audit --log logs/email-sorter.log --last 1h
  agentbox verify logs/email-sorter.log
  agentbox vault add ANTHROPIC_API_KEY
  agentbox vault list
  agentbox vault delete OLD_KEY
  agentbox serve :8081

# Listar agentes en ejecución
curl http://localhost:8081/api/agents

# Iniciar un agente
curl -X POST http://localhost:8081/api/agents \
  -H "Content-Type: application/json" \
  -d '{"manifest":"manifests/email-sorter.yaml","command":["python","agent.py"]}'

# Eliminar un agente
curl -X DELETE http://localhost:8081/api/agents/abc123

# Consultar el registro de auditoría
curl "http://localhost:8081/api/audit?deny=true&agent=email-sorter"

{"id":1,"hash":"a3f2...","prev_hash":"genesis","timestamp":"2026-05-05T09:00:00Z","agent_id":"abc123","agent_name":"email-sorter","event_type":"agent_start","allowed":true,"resource":"manifests/email-sorter.yaml"}
{"id":2,"hash":"b7c1...","prev_hash":"a3f2...","timestamp":"2026-05-05T09:00:01Z","agent_id":"abc123","agent_name":"email-sorter","event_type":"filesystem_allow","allowed":true,"resource":"read:/home/user/Documents/inbox/mail.txt","rule":"filesystem.read: ~/Documents/inbox"}
{"id":3,"hash":"d9e4...","prev_hash":"b7c1...","timestamp":"2026-05-05T09:00:01Z","agent_id":"abc123","agent_name":"email-sorter","event_type":"filesystem_deny","allowed":false,"resource":"read:/home/user/.ssh/id_rsa","rule":"filesystem.deny: ~/.ssh","reason":"path is explicitly denied"}

agentbox verify logs/email-sorter-audit.log

✅ El registro de auditoría está intacto
   Entradas: 47 (IDs 1–47)
   Cadena de hash: sin interrupciones

# Almacenar un secreto (nunca se registra, nunca en texto plano en env)
agentbox vault add ANTHROPIC_API_KEY

# Listar nombres de credenciales almacenadas (los valores nunca se muestran)
agentbox vault list

# Verificar que una credencial puede descifrarse
agentbox vault test ANTHROPIC_API_KEY

# Rotar una credencial
agentbox vault add ANTHROPIC_API_KEY   # add actualiza las existentes

# Este agente está configurado con max_duration: 5s
agentbox run --manifest manifests/timeout-test.yaml python long_running_agent.py

Agent started
tick 1
tick 2
tick 3
tick 4
tick 5
🛑 Killing agent timeout-test: duration limit exceeded: 5s
⚠️  Agent timeout-test exited code 137 in 5.2s

# Clonar
git clone https://github.com/siyad01/agentbox
cd agentbox

# Compilar
go build -o agentbox ./cmd/agentbox/

# Ejecutar pruebas (27 pruebas, todas pasan)
go test ./...

# Instalar globalmente
go install ./cmd/agentbox/

agentbox/
├── cmd/agentbox/main.go          ← Punto de entrada de CLI
├── internal/
│   ├── policy/
│   │   ├── manifest.go           ← Esquema de manifiesto YAML
│   │   ├── parser.go             ← Validación + valores por defecto
│   │   └── engine.go             ← Motor de decisión deny-first (20 pruebas)
│   ├── audit/
│   │   ├── logger.go             ← Registro de solo anexión con cadena de hash SHA-256
│   │   ├── verifier.go           ← Detección de manipulación
│   │   └── reader.go             ← Consulta + filtro
│   ├── vault/
│   │   ├── store.go              ← Almacén de credenciales cifrado AES-256-GCM
│   │   └── injector.go           ← Inyección en tiempo de ejecución (7 pruebas)
│   ├── sandbox/
│   │   ├── sandbox.go            ← Interfaz Sandbox
│   │   ├── docker.go             ← Backend Docker
│   │   ├── gvisor.go             ← Backend gVisor (nivel de kernel)
│   │   ├── manager.go            ← Gestión del ciclo de vida del agente
│   │   └── util.go               ← Detección WSL2, utilidades de rutas
│   ├── monitor/
│   │   └── enforcer.go           ← Límites de recursos + auto-apagado
│   └── api/
│       └── server.go             ← API REST en :8081
└── manifests/
    ├── email-sorter.yaml         ← Ejemplo de producción
    └── timeout-test.yaml         ← Ejemplo de aplicación de límites