FILE 04 — enforcement Interceptor · runtime policy engine live rules: 5 · enforcing since v5.0
Archivo 04 — la última compuerta antes de tu base de datos

Una tarjeta válida no es
una orden permanente.

El momento de la auditoría no es el runtime. Una tool que estaba limpia el martes pasado puede invocarse hoy con un prompt envenenado. El Interceptor acompaña cada llamada, la chequea contra el capability graph y la política de tu organización, y responde en una palabra — ALLOW o BLOCK — con una razón firmada. El resto del stack responde por el agente. El Interceptor juzga la petición.

FIG. 04-A

Una llamada, un veredicto, dibujado

El Interceptor ve cuatro entradas. Devuelve uno de tres veredictos. Todo lo demás es logging.

① the call (tool + args) ② the caller's card ③ sentinel risk flags ④ org policy (yours) INTERCEPTOR capability graph match P-01 … P-05 score < 5 → BLOCK 5–7 → REQUIRE_APPROVAL no card → REQUIRE_APPROVAL ALLOW + signed receipt REQUIRE_APPROVAL a human, one click BLOCK + signed refusal MCP SERVER JSONL audit trail — indicator + rule + confidence. Never raw args. inputs are evidence, not trust
fig 04-a — decision flow per callthe blocked path still produces a signed receipt
TRY. 04

Alimenta al motor

Seis llamadas, un motor de políticas. Tres están bien. Tres arruinarían un martes. Replay determinista del comportamiento de las reglas — misma entrada, mismo veredicto, siempre.

interceptor — runtime policy engine replay determinista
interceptor · your-mcp-server
// elige una llamada abajo — los veredictos se imprimen aquí
P-01 · undeclared shell.execute → BLOCK P-03 · credential paths (.env, .aws, .ssh) → BLOCK P-04 · net outside capability graph → BLOCK P-0x · org policy slots → yours
RULE. 04

Ocho llamadas permitidas pueden ser un ataque

Los veredictos por llamada pierden la trama: cada paso individualmente ALLOW, la cadena es la exfiltración. El análisis de trayectoria (v5.4, roadmap público) puntúa la sesión, no la frase.

1·searchALLOW 2·readALLOW 3·extract urlALLOW 4·downloadALLOW 5·executeALLOW 6·exfiltrate CHAIN = BLOCK individually boring · together: USER_SECRET → external-domain (exfiltration pattern) cross-tool privilege escalation: tool A (low) + tool B (high) = CRITICAL
fig 04-b — multi-tool attack chaindesign hook · honesty policy: not shipped as v5.0 — tracked on the public roadmap
Lo que se despacha hoy: 5 reglas de política en runtime, vivas desde v5.0 — incluidos los dos bloqueos de firma (lecturas de .env, rm -rf), chequeos de capacidades contra la tarjeta, y la pista de auditoría JSONL. El Interceptor está ejecutando en producción desde agosto 2026.
Lo que es roadmap honesto: el capability graph completo por tool, el DSL de políticas por organización (“score ≥ 8 AND no filesystem AND no shell”), identidad de agente+task en cada ejecución, y el puntaje de trayectoria. Cada uno fechado en el roadmap público — no vendido como hecho.
prev file · 03
← Sentinel — the audit engine