Kiro estrena un sandbox local para aislar los comandos de sus agentes

Kiro, el entorno de desarrollo con agentes de AWS, ha incorporado esta semana una de las funciones más demandadas por los equipos que dejan trabajar a la IA en su propio portátil: un sandbox local que restringe, a nivel de sistema operativo, lo que pueden hacer los comandos de terminal que ejecuta el agente. Está disponible desde Kiro IDE 1.3, publicado el 13 de octubre, y en Kiro CLI 2.31 para las sesiones locales de la nueva versión V3 de la CLI.

El equipo de Kiro lo explica en su blog con un ejemplo que cualquier responsable de seguridad entenderá: el modelo de confianza del producto ya impedía que la herramienta de lectura de ficheros accediera a ~/.aws o ~/.ssh, pero un script lanzado desde la shell podía leer esos mismos ficheros sin problema. Con sesiones largas, varios agentes en paralelo y la fatiga de aprobar comandos uno tras otro, la atención del desarrollador dejaba de ser un control fiable.

¿Qué hace exactamente el sandbox local de Kiro?

El agente sigue ejecutándose de forma nativa, pero los comandos que lanza (y sus procesos hijos) pasan por un sandbox que impone el propio sistema operativo. Como la restricción se aplica en el kernel, da igual que el acceso se intente con una línea de shell o con un script: el resultado es el mismo. La política por defecto es la siguiente:

• Las escrituras quedan confinadas al directorio del proyecto y al espacio temporal.
• Se deniegan las lecturas de las rutas habituales de credenciales.
• El tráfico de red pasa por un proxy local que filtra por dominio.

Cada plataforma usa su mecanismo nativo: Seatbelt (vía sandbox-exec) en macOS, sin instalación adicional; Bubblewrap en Linux, que debe estar en el PATH junto a socat para algunos modos de red; y AppContainer en Windows, que requiere una configuración única con permisos de administrador. Si falta el componente necesario, el sandbox aparece como no disponible y los comandos se ejecutan sin aislamiento.

¿Qué modos de red ofrece?

La documentación define tres modos, que distinguen entre mayúsculas y minúsculas:

• DEFAULT_BLOCKED (por defecto): bloquea toda salida a red salvo los hosts permitidos con una regla sandbox_network.
• COMMON_DEPENDENCIES: permite llegar a los servicios habituales de paquetes, código fuente, compilación y contenedores, y bloquea el resto salvo regla expresa.
• DEFAULT_ALLOWED: red abierta. Kiro advierte de que en este modo no conviene confiar en reglas de denegación.

¿Cómo se activa en el IDE y en la CLI?

El sandbox viene desactivado por defecto. La configuración vive en un fichero sandbox.json, global en ~/.kiro/settings/sandbox.json o por proyecto en .kiro/settings/sandbox.json dentro del repositorio. Un ejemplo mínimo para un proyecto que necesita instalar dependencias:

{
  "enabled": true,
  "networkAccess": "COMMON_DEPENDENCIES"
}

Si además quieres que los servidores MCP locales (los que funcionan por stdio) corran dentro del mismo aislamiento, se añade "mcpSandboxing": true. Un detalle interesante para equipos: cuando existe una política global activa, el fichero del proyecto solo puede endurecerla. Un repositorio no puede desactivar el sandbox ni abrir más la red que la configuración global.

Lee también: Mejor IA para programar en 2026: comparativa de IDEs, agentes y modelos

En el IDE basta con pulsar Command sandbox en la barra de estado, que abre el fichero activo, poner enabled a true y guardar; los cambios válidos se aplican a la sesión en curso y el indicador pasa a «Active». En la CLI se usa el comando /sandbox dentro de una sesión V3:

kiro-cli chat --v3
/sandbox on

En Windows, la preparación inicial se hace con /sandbox setup.

¿Qué no protege?

Kiro es honesto con los límites y conviene leerlos antes de relajarse. El agente en sí, las herramientas de ficheros integradas y los servidores MCP remotos (HTTP o SSE) quedan fuera del sandbox; las primeras siguen gobernadas por las reglas de permisos. El sandbox no elimina las peticiones de aprobación: limita lo que puede hacer un comando ya aprobado. Y la propia documentación avisa de que reduce el riesgo pero no garantiza un aislamiento completo, por lo que recomienda seguir revisando los comandos propuestos y mantener reglas de denegación para lo que nunca debe ejecutarse. Otro matiz técnico: las reglas sandbox_network se evalúan por orden de coincidencia, a diferencia del resto de permisos, donde la denegación siempre gana.

Modo autónomo local: el agente sin pedir permiso

La CLI 2.31 añade también un modo autónomo local. Con /autonomous on en una sesión V3, Kiro trabaja en una tarea sin pedir aprobación para cada comando de shell. Como medida de seguridad, al activarlo cambia al agente por defecto y enciende primero el sandbox. Es la combinación lógica: más autonomía a cambio de un perímetro técnico, en lugar de depender de que alguien lea cada comando.

Conviene saber que V3 es el nuevo motor de la CLI. Desde la versión 2.30, publicada el 12 de octubre, Kiro invita a cambiarse al arrancar, el despliegue es gradual y V3 pasará a ser el predeterminado con la CLI 3.0 a finales de octubre. Mientras tanto se puede probar con kiro-cli --v3.

Otras novedades de Kiro esta semana

• Kimi K3 (15 de octubre): soporte experimental para el modelo de pesos abiertos de Moonshot AI en el IDE, la CLI, Crew y la versión web, para clientes Pro, Pro+, Pro Max y Power en la geografía de EE. UU. Admite texto e imágenes, tiene ventana de contexto de un millón de tokens y consume créditos con un multiplicador de 2,4.
• Fin de Claude Sonnet 4 (14 de octubre): el modelo deja de estar disponible en Kiro; el Sonnet más reciente en la plataforma es Claude Sonnet 5.5.
• Workflows desde el chat (IDE 1.3): /workflow-run lanza una receta guardada y las pestañas del editor muestran el estado de la sesión en vivo.
• Markdown Review (IDE 1.3.11): permite comentar pasajes concretos de un fichero .md, por ejemplo una especificación, y enviar todos los comentarios al agente de una vez.

¿Cuánto cuesta Kiro?

A fecha de octubre de 2026, Kiro mantiene un plan gratuito con 50 créditos mensuales y planes de pago por usuario: Pro (20 dólares, 1.000 créditos), Pro+ (40 dólares, 2.000), Pro Max (100 dólares, 5.000) y Power (200 dólares, 10.000). Los créditos adicionales cuestan 0,04 dólares. El sandbox local no tiene coste añadido.

Nuestra lectura

Para pymes y agencias que trabajan con repositorios de clientes, esta es la novedad más útil del mes en el terreno de los IDE con IA. El riesgo real de los agentes locales no es tanto que escriban mal código como que un comando lea credenciales o envíe datos fuera. Recomendamos activar el sandbox globalmente con DEFAULT_BLOCKED o COMMON_DEPENDENCIES, versionar un sandbox.json restrictivo en cada repositorio y reservar el modo autónomo para tareas acotadas. Es la misma dirección que están tomando otras herramientas del sector, y una buena vara de medir cuando compares opciones.