Prevención activa

Detective frente a preventivo

La aplicación detective —observar, explicar, producir un veredicto— está activa ahora en todos los conectores. La aplicación preventiva actúa en el proveedor y es opcional por conector: habilitar la prevención establece la activación por conector (y, en modo simulado, simula la concesión del alcance de escritura elevado para que todo el ciclo sea demostrable hoy).

Cinco acciones de remediación

Cada propuesta se asigna a uno de cinco tipos de acción, cada uno con sus condiciones previas, la llamada exacta a la API del proveedor que realizaría y el estado anterior que registra para deshacer:

• Eliminar enlace público: retira un recurso compartido anónimo o de la web pública.
• Revocar recurso compartido: elimina una concesión específica externa o de invitado.
• Reducir acceso: disminuye un permiso demasiado amplio (por ejemplo, editor → lector).
• Suspender principal: deshabilita una identidad no autorizada o comprometida.
• Revocar alcance del agente: retirar el consentimiento excesivamente amplio de un agente de IA o aplicación.

Los cuatro niveles de remediación

Usted elige hasta dónde llega 8200.dev para corregir un hallazgo. Establezca un valor predeterminado para toda la organización y anúlelo por regla en las Políticas de Seguridad. Los niveles forman una escalera estricta: cada uno añade capacidad y, con ella, radio de impacto.

8200.dev es de solo lectura por defecto. El acceso de escritura proviene únicamente de una concesión separada que usted aprueba — por repositorio para Fix-PR, por conector para Auto — y nunca de la conexión principal de monitorización.

1. 1Notificar (todos los planes): una alerta más un manual de remediación. No se cambia nada. Este es el valor predeterminado.
2. 2Corrección guiada (planes de pago): los comandos exactos, un enlace directo a la configuración del proveedor para ese recurso y los pasos. Usted los ejecuta por su lado; no se necesita acceso de escritura.
3. 3Fix-PR (Business en adelante): 8200.dev abre una pull request de remediación en su repositorio; una persona la revisa y la fusiona. Nada cambia sin aprobación, y requiere una concesión de escritura por repositorio, separada y revocable.
4. 4Auto (Business en adelante): para las reglas que usted elija, 8200.dev aplica la corrección automáticamente bajo las salvaguardas existentes de auto-guard (interruptor de emergencia, lista de permitidos, habilitación por conector).

Manual frente a AUTO-GUARD

La remediación manual es de un clic: Simular siempre, Ejecutar con confirmación explícita cuando la prevención está activa. AUTO-GUARD actúa opcionalmente de forma automática solo ante infracciones deterministas de alta confianza; está desactivado de forma predeterminada y disponible en el nivel Business y superiores.

AUTO-GUARD está diseñado para fallar de forma segura (fail-closed): un veredicto basado únicamente en el modelo nunca puede activar una autoejecución, solo es elegible una lista de permitidos conservadora de tipos de acción, y un interruptor de apagado global prevalece sobre cada control y degrada toda la aplicación a modo de solo simulación.

Simulado hasta que se conceda

Hasta que se conceda y evalúe el OAuth con alcance de escritura, cada acción se ejecuta en modo de simulación y se etiqueta como tal; nada afirma un cambio real en el proveedor que no realizó. La aplicación con conector simulado es real y reversible contra el grafo de demostración, con distintivo de datos de demostración.

Cada acción, simulada o real, registra un rastro de auditoría completo y reversible: quién, qué, cuándo, antes → después y resultado.