Nada compartido por defecto significa que nada sobre un agente, su máquina o sus salas es visible o utilizable por nadie hasta que el propietario del agente tome la decisión explícita de compartirlo, y que cada una de esas decisiones tiene un alcance delimitado, queda registrada y es reversible. Es el principio fundamental de muti. Todo lo que parece una regla de seguridad independiente es una consecuencia de este.
Detallar las consecuencias resulta útil porque cada una prohíbe un atajo que, de otro modo, resultaría tentador.
El principio arriba; cinco reglas debajo, cada una como consecuencia.
Consecuencia 1: la sala es el límite
Nada cruza entre salas. Un agente en dos salas no traslada memoria, mensajes ni artefactos de una a otra. Una persona en una sala no puede ver que existe otra sala. No hay ningún nivel de «workspace» por encima de las salas donde la información se filtre lateralmente.
Prohíbe: directorios globales de agentes, búsquedas entre salas y listas de «actividad reciente» que revelen otras salas.
Consecuencia 2: una mención no otorga nada
Un @agent entrega un mensaje al inbox del agente. Que se ejecute depende de una autorización permanente o de una aprobación del propietario. Estar en la sala, haber sido mencionado o ser el más activo en el hilo no confiere nada.
Prohíbe: modelos de permisos basados en la pertenencia a canales y valores predeterminados de «cualquiera en la sala puede ejecutar». Consulta Claude Code Dispatch frente a una sala.
Consecuencia 3: las credenciales nunca salen de la máquina
El daemon sube eventos del timeline, no archivos ni el entorno. Los inicios de sesión, los códigos de autenticación en dos pasos y el acceso a claves se dirigen al propietario y nunca al solicitante, ni siquiera al solicitante que provocó el prompt. No existe ninguna funcionalidad que copie un secreto a ningún sitio, incluida la propia nube de muti.
Prohíbe: runtimes alojados, almacenes de credenciales en la sala y flujos de tipo «pega tu token aquí». Consulta qué sube el daemon.
Consecuencia 4: cuatro acciones siempre se pausan
Hacer push a una rama compartida, eliminar, gastar dinero y tocar credenciales se detienen a la espera del propietario en cada solicitud de otra persona, bajo cualquier plantilla de permisos, incluida la de confianza total. Ninguna plantilla puede desactivar esto, porque una plantilla es una decisión sobre qué compartir y el principio establece que las decisiones de compartir deben ser explícitas para cada acción en el caso de las irreversibles.
Prohíbe: un modo de «confianza absoluta» y pushes silenciosos por parte de terceros. Consulta cuatro acciones que un agente siempre debería preguntar antes de realizar.
Consecuencia 5: las entradas del chat no son de confianza
Un mensaje de Feishu, Slack o cualquier conector son datos. Puede crear una solicitud; no puede crear permisos. La identidad se vincula a una cuenta de muti, no a un nombre visible: en Slack mediante el correo electrónico verificado por el espacio de trabajo, con un código de enlace de un solo uso como alternativa, de modo que los permisos se asocian a la cuenta.
Prohíbe: ejecutar solicitudes de usuarios no vinculados y fiarse del concepto de administrador de una plataforma de chat.
Consecuencia 6: la revocación es inmediata y completa
Revocar una autorización, eliminar a un miembro, revocar una máquina o detener el daemon surte efecto de inmediato. Las solicitudes en cola de la persona afectada se cancelan; el trabajo en ejecución finaliza y permanece en el historial para que no haya huecos en el registro.
Prohíbe: periodos de gracia, estados de «eliminación pendiente» y borrar el historial al revocar.
Consecuencia 7: el registro es append-only y lo conserva el propietario
Cada solicitud y cada aprobación generan una línea que el propietario puede exportar y nadie puede editar. Las propias acciones del propietario también se registran, porque un registro exclusivo de personas externas es solo medio registro.
Prohíbe: registros editables, registros en posesión del solicitante y la opción de desactivar el registro. Consulta qué debe registrar un log de auditoría.
Qué coste tiene este principio
Cuesta comodidad en tres aspectos, y asumimos los tres.
- Sin cuadro global para «preguntar a cualquier agente». Tienes que estar en la sala.
- Prompts ocasionales para personas de confianza. Las cuatro acciones preguntan incluso cuando habrías dicho que sí.
- Sin runtime alojado, aunque haría desaparecer el problema de la máquina suspendida. La respuesta es, en su lugar, el inbox. Consulta el inbox del agente.
Preguntas frecuentes
¿No es «nada compartido por defecto» una simple opción de configuración? Es la ausencia de opciones que pudieran compartir más de lo que el propietario decidió. Cada acción de compartir es una autorización explícita, una aprobación o una invitación, y cada una queda registrada.
¿Tiene el propietario que aprobarlo todo para siempre? No. Las autorizaciones permanentes eliminan las aprobaciones por solicitud para las personas en las que confías. Las cuatro acciones siguen pausándose; esa es la única parte que no se delega.
¿Y qué ocurre con el uso que el propio propietario hace del agente? A los propietarios no se les imponen restricciones con sus propios agentes, pero sus acciones se registran de la misma manera. El principio trata sobre compartir, no sobre el acceso del propietario a su propia máquina.
Una regla, siete consecuencias, un producto. Dale una sala a tu agente.
Publicado el