Seguridad y sandbox
Lo que nunca puede hacer, lo que pregunta y cuánto disco alcanza.
Un agente que ejecuta comandos necesita límites que no dependan de que el modelo se porte bien. motita tiene dos capas, y solo una es tuya.
El piso
Algunos comandos se rechazan siempre: formatear discos y editores de particiones, shred, dd hacia una salida, comandos de estado de energía, y rm, mv, cp o ln dirigidos a /, tu home, una ruta del sistema o la carpeta que contiene tu workspace (también tras sudo, xargs o find -exec). Ninguna clave, variable o flag relaja el piso.
Permitir, preguntar, denegar
| Veredicto | Cuándo |
|---|---|
| Permitir | El comando no cambia nada, o solo el workspace: make, go build, npm test, tus propios ./scripts/*. Corre en silencio, porque una política que pregunta por eso termina apagada. |
| Preguntar | Llega a la red o al sistema, escribe fuera del workspace, o no se puede clasificar. Se te pregunta antes de ejecutarlo. |
| Denegar | Modo estricto y la línea no se puede ubicar. |
El sandbox
Los comandos corren confinados, sin Docker. Se limitan memoria, tiempo de CPU, procesos, archivos abiertos y tamaño de salida, y opcionalmente no hay red dentro del comando. En Linux con Landlock, un comando no puede escribir fuera de los directorios en los que trabaja ni leer las sesiones, la configuración o el almacén de credenciales de git de motita.
Acceso al disco
Ajustes → Seguridad elige cuánto del disco alcanza el agente:
- Solo el workspace (por defecto): se rechazan las ediciones de archivos fuera de la carpeta de la sesión, y en Linux un comando no puede leer ni listar tus archivos en otras partes (home,
/home,/mnt, ...). - Todo el disco: ambos llegan a cualquier parte que tu cuenta alcance. La página pregunta primero y explica el riesgo. Las credenciales propias de motita quedan ocultas en ambos casos.
Donde nada confina un comando (Windows, macOS, Linux sin Landlock), el agente pregunta antes de ejecutar código del propio proyecto, salvo que lo desactives.
Cada sesión además tiene su propio HOME y no puede leer los demás proyectos y sesiones del mismo gateway.