OneCLI propone un cortafuegos de credenciales para agentes de IA

OneCLI es un proyecto de código abierto pensado para un problema cada vez más habitual: los agentes de IA necesitan consultar servicios externos, pero para hacerlo suelen requerir claves de acceso que no deberían acabar dentro de sus instrucciones, su memoria o sus registros. Su propuesta es colocar una pasarela entre el agente y las API para que el agente pueda hacer la llamada sin conocer la credencial real.

La idea es sencilla, aunque responde a un riesgo concreto. Un agente que usa herramientas puede acceder a bases de datos, plataformas de pago, almacenamiento en la nube o servicios de modelos de lenguaje. Si recibe una clave de API directamente, esa clave puede quedar expuesta en una conversación, un log de depuración, una herramienta mal configurada o un ataque de prompt injection: instrucciones maliciosas introducidas en los datos que procesa el modelo para intentar que actúe contra las reglas previstas.

Una clave falsa para el agente, la real para la API

El repositorio de OneCLI describe un mecanismo de sustitución de credenciales. El administrador guarda la clave auténtica en el sistema y entrega al agente un marcador, como FAKE_KEY. Cuando el agente realiza una petición HTTP a través de la pasarela, OneCLI identifica el destino, recupera la credencial correspondiente y la inserta en la solicitud saliente. El agente no llega a ver la clave real.

Esto se parece al papel de un gestor de secretos tradicional, pero adaptado a programas que toman decisiones y ejecutan llamadas de forma autónoma. En vez de distribuir una misma clave entre varios procesos, cada agente puede disponer de su propio token de acceso y de permisos limitados a determinados servicios, dominios o rutas de una API.

La ventaja principal no es solo ocultar una contraseña. También permite revocar el acceso de un agente sin modificar el resto de integraciones, rotar una clave comprometida desde un único punto y revisar qué agente utilizó cada servicio. Para una empresa que pruebe varios asistentes internos, ese control evita que las credenciales terminen repartidas entre scripts, archivos de configuración y entornos de desarrollo.

Una pasarela local basada en Rust

La arquitectura publicada combina una pasarela HTTP escrita en Rust con un panel web en Next.js y una base de datos PostgreSQL. Las credenciales se almacenan cifradas con AES-256-GCM, un estándar de cifrado autenticado ampliamente empleado, y se descifran en el momento de preparar la petición. El sistema puede inyectarlas como cabeceras HTTP o como parámetros de URL, según lo que exija el servicio externo.

OneCLI incluye un modo local para un solo usuario y una opción de autenticación con Google para equipos. También anuncia integración con Bitwarden, de modo que las credenciales puedan obtenerse bajo demanda desde un gestor de contraseñas en lugar de permanecer guardadas en el servidor de OneCLI.

El proyecto se distribuye bajo licencia Apache-2.0, que permite usarlo, modificarlo y desplegarlo también en entornos comerciales con pocas restricciones. Su instalación rápida levanta el panel, la pasarela y PostgreSQL mediante Docker, una vía cómoda para hacer pruebas, aunque no sustituye una revisión de seguridad antes de ponerlo ante sistemas críticos.

Centralizar secretos también concentra el riesgo

La propuesta resuelve una debilidad real de los agentes, pero desplaza la confianza hacia la pasarela. Si el servidor de OneCLI, su clave de cifrado o las cuentas con acceso al panel quedan comprometidos, el atacante tendría un punto de gran valor desde el que gestionar credenciales. La centralización mejora el control operativo, pero obliga a proteger especialmente ese nuevo perímetro.

También merece atención la interceptación de tráfico HTTPS que incorpora la pasarela. Para insertar credenciales en conexiones cifradas, este tipo de proxy debe situarse en medio de la comunicación y configurarse correctamente. Es una técnica habitual en herramientas corporativas, pero añade requisitos de certificados, auditoría y control de red que pueden resultar excesivos para proyectos pequeños.

La utilidad de OneCLI dependerá de si los equipos adoptan una disciplina clara de permisos mínimos: un agente de soporte no debería heredar el acceso de uno financiero, ni una prueba local debería reutilizar claves de producción. La herramienta ofrece una capa para aplicar esa separación; no puede decidir por sí sola qué permisos son razonables ni impedir que un agente autorizado ejecute una acción errónea.