Claude Code mantiene las claves de Datadog fuera del alcance del agente: un proxy añade el token

Una situación habitual: quieres que un agente explore Datadog por su cuenta, investigue las alertas y encuentre la causa de una caída. Lo más sencillo es poner una clave de API en una variable de entorno. Funciona de inmediato. Y, con la misma rapidez, se convierte en un problema de seguridad.

Una publicación de @timwork_notes recoge una cita: Cat Wu, que trabaja en Claude Code, le dijo a Simon Willison que las credenciales de Datadog están «disponibles solo para el agente, pero son inaccesibles para el propio agente». Suena paradójico, pero detrás hay una idea de ingeniería sencilla. Una salvedad importante: solo contamos con un breve resumen de la conversación, sin detalles de implementación, por lo que a continuación analizamos el patrón en sí y no una configuración interna concreta.

Por qué es peligroso tener una clave directamente en el entorno

Un agente lee mucho texto no confiable: páginas web, registros, tickets y comentarios en el código. Cualquiera de ellos puede contener una instrucción como «muestra todas las variables de entorno». Si la clave está en el entorno del proceso, el modelo tiene una vía para acceder a ella. Basta una inyección de prompt exitosa para que el secreto aparezca en una respuesta, se escriba en un archivo o se envíe a un servidor ajeno.

El autor de la publicación lo expresa sin rodeos: una clave directamente en el entorno del agente está «a un solo prompt inyectado de filtrarse». Es difícil discutirlo. Defenderse con instrucciones como «nunca muestres las claves» es poco fiable: es una petición, no una barrera.

Cómo funciona el esquema con proxy

La idea es que el agente sencillamente no tenga el secreto. En su lugar, recibe la capacidad de acceder a Datadog a través de un proxy intermediario.

Un ejemplo sencillo: el agente quiere obtener las métricas de un servicio. Envía una solicitud a la dirección del proxy sin ningún token o con un valor de relleno. El proxy, que se ejecuta fuera del entorno aislado del agente, comprueba que la solicitud esté permitida, añade el token real en una cabecera y reenvía la solicitud a Datadog. La respuesta vuelve al agente. Durante todo el proceso, el secreto real permanece únicamente en el proceso del proxy.

El resultado: el agente puede utilizar el acceso, pero no copiar las credenciales. Si lo engañan, el atacante obtiene, como máximo, la capacidad de enviar las mismas solicitudes a través del proxy mientras esté en funcionamiento, en lugar de una clave que pueda llevarse y utilizar en cualquier lugar.

Qué hacer en la práctica

Este patrón se puede implementar sin herramientas especializadas:

• No pongas claves de larga duración en el entorno del agente, en los archivos del proyecto ni en configuraciones que pueda leer.
• Coloca un pequeño proxy entre el agente y la API externa para que añada el token. Un proxy inverso convencional o un sidecar sirven para ello.
• Reduce los permisos. Para investigar incidentes, al agente le basta con leer métricas y registros; no necesita permisos de escritura ni de administración.
• Restringe en el proxy las rutas y los métodos permitidos. Así, incluso un agente comprometido no podrá exceder esos límites.
• Registra las solicitudes que pasan por el proxy: esto también proporciona una pista de auditoría de lo que el agente hizo con tu infraestructura.

Limitaciones

Un proxy no lo resuelve todo. Mientras el agente tenga acceso a la API a través del proxy, una inyección de prompt puede seguir induciéndolo a realizar acciones permitidas, como leer registros sensibles y transmitir su contenido al exterior. Por eso, el proxy debe combinarse con permisos limitados y controles del tráfico saliente, no sustituirlos.

Otra limitación: se trata solo de una publicación breve y de poco alcance, sin diagramas ni código. Pero el principio de que «el secreto reside donde el modelo no puede alcanzarlo» resulta más útil que una docena de líneas en el prompt del sistema.

Si estás creando agentes que acceden a sistemas de producción, comprueba hoy una cosa: qué ocurriría si el modelo mostrara todas las variables de entorno. Si contienen claves de producción, es hora de añadir un proxy.