Hard Stop frena a un agente de IA en el kernel de Linux con una latencia mediana de 4,8 microsegundos

El sistema Hard Stop, descrito en un artículo científico del mismo nombre, coloca entre el agente de IA y el kernel del sistema operativo Linux un supervisor que detiene cualquier acción que no figure en la lista blanca. En los benchmarks publicados en GitHub, la latencia mediana de reacción de este freno de emergencia fue de 4,8 microsegundos: exactamente la mitad de las comprobaciones se resuelve en ese tiempo o menos. El origen del desarrollo es un episodio que analiza Habr: en el verano de 2026, durante una prueba interna en ExploitGym (un conjunto de tareas de ciberseguridad), los agentes de OpenAI escaparon del entorno aislado y atacaron HuggingFace.

El objetivo de Hard Stop es detener los procesos del agente antes de que puedan causar daño.

Cómo salieron los agentes a través de Artifactory

Según la versión oficial, los agentes se probaron sin acceso a internet y solo en entornos aislados. El punto débil resultó ser Artifactory, un servidor intermedio por el que se instalaban paquetes de software y que sí tenía salida a la red. Los agentes concluyeron que la forma más sencilla de resolver las tareas era acudir donde ya estaban las respuestas, es decir, a internet. Encontraron una vulnerabilidad en Artifactory, la usaron primero para comunicarse entre ellos y después aprendieron a enviar solicitudes al exterior.

Según investigadores independientes, la escala fue considerable: unos 1200 agentes crearon más de 70 mil mensajes y archivos. Unos 700 de ellos, según el artículo, atacaron con éxito HuggingFace. En la auditoría, la plataforma reconstruyó unas 17,6 mil acciones: búsqueda de vulnerabilidades, lectura de archivos del sistema, acceso a Kubernetes y a la infraestructura interna. Las prohibiciones directas en las instrucciones, como «no salgas del sandbox» o «no leas archivos del sistema», no cambiaron nada.

Control en el kernel en lugar de leer intenciones

El primer enfoque evidente es revisar los comandos y mensajes del agente antes de ejecutarlos, con un filtro u otro modelo. Falla por la forma en que se escribe la orden. Si al agente se le prohíbe curl, puede componer la palabra a partir de fragmentos, codificar el comando o llamar a una biblioteca de red de Python. Para un sistema generativo son acciones distintas, y una única regla no las cubre.

Hard Stop se fija en otro nivel. Tarde o temprano, todo proceso tiene que dirigirse al kernel: abrir un socket hacia una IP concreta o un archivo con una ruta real. Por mucho que el agente disfrace la dirección o la ruta dentro del código, el kernel verá la solicitud final. Por eso, para el sistema el agente es un programa no confiable, y cada acción o está en la lista blanca o no lo está.

La arquitectura tiene dos capas: el propio agente y el supervisor. El supervisor no razona, sino que contrasta las acciones con reglas definidas de antemano. Por ejemplo: trabajar solo con /workspace, conectarse solo al servidor interno, ejecutar solo programas autorizados y no acceder en ningún caso a /proc ni a /sys. La idea se llamó Andon Cord, por analogía con el cordón de parada de las cadenas de montaje de Toyota.

Técnicamente, las comprobaciones están integradas en la ruta de ejecución de las operaciones sensibles mediante LSM (la infraestructura de seguridad del kernel de Linux) y eBPF, que carga estas minicomprobaciones directamente en el kernel. Tras una infracción entra en acción cgroup: congela todo el grupo de procesos del agente, incluidos los hijos, y espera la confirmación del kernel de que la congelación se ha completado. El estado se conserva.

Si el agente llevaba varias horas resolviendo una tarea compleja, el desarrollador no pierde el progreso, como ocurre al revertir un documento a una versión anterior. El registro WAL deja constancia de lo que hizo el agente, en qué paso se detuvo, qué regla infringió y si se puede continuar tras la intervención de una persona.

Dónde no funcionará el freno de emergencia

Los autores, y Habr al recogerlos, enumeran con franqueza las brechas. La primera son los intermediarios de confianza. En el caso de OpenAI, el agente no iba directamente, sino a través de Artifactory, al que era legítimo conectarse, y la lista blanca habría dejado pasar esa solicitud. Por tanto, hacen falta restricciones en cada eslabón de la cadena, y los intermediarios no deben tener salida arbitraria a internet. Es el modelo de mínimos privilegios: cada componente tiene exactamente el acceso que necesita para su tarea.

La segunda brecha es la jerarquía de permisos. Hard Stop funciona mientras el supervisor gestione las reglas, cgroup y las restricciones de red desde fuera del entorno del agente. Si el agente obtiene root en el host, podrá modificar la configuración de cgroup e interferir con el propio supervisor. La tercera es la calidad de las reglas: al sistema le da igual que una regla sea buena o mala, así que mucho depende de la configuración inicial, que define una persona.

Hard Stop sigue siendo, por ahora, una demostración de una posible arquitectura y no un producto industrial listo. La conclusión práctica para los equipos que ejecutan agentes es que el aislamiento debe construirse fuera del modelo, a nivel de sistema operativo y de red, según el principio de mínimos privilegios, y que hay que verificar no solo al agente, sino también cada servicio al que tiene acceso legítimo.