Usar Claude Code de forma segura: por qué su agente no debe estar en su portátil

Claude Code es una herramienta potente: lee su código, ejecuta comandos y desarrolla funcionalidades en gran parte por sí solo. Precisamente por eso resulta delicado cuando se ejecuta en su propio portátil. Aquí verá qué puede alcanzar un agente en él, qué mecanismos de protección trae Claude Code y cómo aislar correctamente a su agente.

Lo que su agente ve en su portátil

Claude Code se ejecuta con sus permisos de usuario. Todo lo que usted puede hacer en un terminal, en principio también puede hacerlo el agente en cuanto usted se lo permita o desactive las confirmaciones. Eso incluye:

su directorio SSH ~/.ssh con las claves privadas para servidores y Git,
archivos .env con claves de API y contraseñas de bases de datos,
credenciales de la nube como ~/.aws o ~/.config/gcloud,
perfiles del navegador, descargas y documentos,
las carpetas de todos sus demás proyectos y clientes.

Un agente no tiene malas intenciones. El riesgo surge por descuido: un encargo mal entendido, un comando de borrado en el directorio equivocado o un archivo manipulado en un repositorio ajeno que induce al agente a hacer algo (inyección de prompts). Cuanto más pueda hacer un agente por su cuenta, mayor es el daño posible.

Lo que Claude Code trae de serie

Por defecto, Claude Code pide confirmación antes de modificar archivos o ejecutar comandos. Con los modos de permisos y las listas de permitidos, usted decide qué se permite sin preguntar.

Con el comando /sandbox activa además un sandbox. Los comandos del agente solo pueden entonces escribir en los directorios autorizados y acceder a los destinos de red autorizados. El sandbox está disponible en macOS, Linux y WSL2, pero no en Windows nativo.

Para tareas largas es tentador desactivar todas las confirmaciones con --dangerously-skip-permissions. El nombre va en serio: en su equipo de trabajo, el agente obtiene así vía libre sobre todo aquello a lo que usted tiene acceso. Use esta opción solo en un entorno en el que no haya nada que perder.

Tres formas de aislar a su agente

1. Mantener los permisos al mínimo. Trabaje en el modo predeterminado, permita solo los comandos que realmente necesite y use el sandbox. No cuesta nada, pero supone muchas confirmaciones. Y el agente solo trabaja mientras su portátil está encendido.

2. Una VM o un contenedor local. Usted ejecuta el agente en un entorno propio en su ordenador, por ejemplo en un dev container o con OrbStack en el Mac:

orb create --isolated ubuntu agent

Esta máquina Linux no tiene acceso a sus archivos del Mac. La desventaja: su portátil tiene que seguir encendido y el agente comparte con usted la potencia de cálculo y la memoria.

3. Una máquina Linux propia en un servidor. El agente se ejecuta en un servidor que solo contiene lo que necesita para su tarea. Allí puede darle más libertad, porque en el peor de los casos restablece la máquina. Además, sigue trabajando cuando usted cierra el portátil. Cómo hacerlo se explica en la guía Claude Code sigue trabajando con el portátil cerrado.

Lista de comprobación para cada entorno de agente

Usuario propio: el agente no se ejecuta con su cuenta principal.
Sin claves de producción: sin acceso a bases de datos en producción, proveedores de pago ni servidores de clientes.
Solo el repositorio necesario: clone el proyecto en el entorno en lugar de compartir toda su carpeta de proyectos.
Git como red de seguridad: deje que el agente trabaje en su propia rama y revise sus cambios mediante una pull request.
Snapshots o copias de seguridad: así vuelve a un estado limpio en pocos minutos tras un error.
Credenciales con pocos permisos: una clave de despliegue para un único repositorio en lugar de su clave SSH personal, tokens de API con un alcance limitado.

Conclusión

Un agente es tan seguro como el entorno en el que se ejecuta. En su portátil, manténgalo bajo un control estricto. Dele más libertad solo en una máquina aislada que pueda restablecer en cualquier momento. Precisamente para eso hemos creado la euhost Box. Pero el principio funciona con cualquier máquina Linux.