Stroq: auditoría local de tu agente de IA y sus claves

¿Qué es Stroq y qué revisa de tus sesiones?

Stroq lanza 36 ataques conocidos contra la política de seguridad de tu propio agente de IA y, en su versión 0.30.0, ninguno pasa: 15 se bloquean y 21 se consultan antes de ejecutarse. Para un founder que ya tiene agentes de codificación corriendo en su máquina, esa cifra es la diferencia entre confiar en una promesa y poder verificar qué hizo el agente mientras nadie miraba.

Stroq es una plataforma de seguridad local para agentes de codificación con IA. Lee tus propias sesiones de Claude Code y Codex, y muestra cuántos comandos salieron de texto que tu agente leyó, y qué claves salieron de tu máquina. Se instala con npx @stroq/cli, corre sobre Node.js 22 o superior y se publica bajo licencia Apache-2.0.

Lo relevante no es la lista de funciones, sino dónde vive el dato: Stroq lee tus últimos 30 días de sesiones, tus archivos de claves y las carpetas donde trabajó el agente. Imprime nombres de claves, nunca valores. Escribe solo un caché pequeño bajo ~/.stroq y no envía nada. Sin cuenta, sin telemetría.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Eso es una decisión de diseño, no un detalle de marketing. La mayoría de las herramientas de observabilidad para agentes te piden conectar tu código a un servicio en la nube. Stroq hace lo contrario: el análisis ocurre en tu máquina y el resultado es una tarjeta de tus propias sesiones.

¿Cómo funciona: hooks antes de ejecutar y análisis después?

Stroq opera en dos momentos distintos, y conviene entender la diferencia antes de instalarlo.

Antes de cada acción. Instala hooks nativos para Claude Code, Cursor, Codex, Copilot CLI, Windsurf y Antigravity, un plugin para OpenClaw y un proxy MCP por stdio. Cada llamada a herramienta se juzga antes de ejecutarse. La política deniega curl | sh y las llamadas salientes que llevan una clave conocida de tu máquina. Y cuando un comando repite texto que el agente leyó, Stroq pregunta primero —nombrando ese texto— en lugar de decidir solo.

Después del hecho. Los comandos replay y sent leen los registros locales de sesiones, incluidas las anteriores a la instalación de Stroq. replay --all pasa todas las sesiones de los últimos 30 días contra la política vigente y dice cuáles conviene abrir. sent compara tus sesiones de Claude Code, Codex CLI y Cursor con las credenciales de tu máquina y clasifica dónde fue cada clave: enviada a otra empresa, quizá enviada, vista por la IA, usada con su propio servicio o bloqueada antes de ejecutarse.

Hay un detalle que vale la pena subrayar: los veredictos de replay son los de la política de hoy, no un registro de lo que pasó en su momento. Es una auditoría retrospectiva, no una grabación forense.

¿Qué muestra la tarjeta de sesiones?

El proyecto publica un ejemplo con una máquina ficticia —sesiones, claves y hosts inventados— para mostrar el formato. En ese ejemplo, 6 de 6 claves aparecen en las sesiones del agente: 2 enviadas a otra empresa, 1 quizá enviada, 1 vista por la IA, 1 usada con su propio servicio y 1 bloqueada antes de ejecutarse. El reporte compara 3 sesiones y lista las fuentes de las claves, como ~/.aws/credentials, ~/.npmrc o archivos .env de proyectos.

Para cada hallazgo, Stroq imprime una acción concreta: revocar la clave en el panel del proveedor y actualizar el archivo de origen. Y cada momento de la tarjeta tiene una línea stroq show que imprime la evidencia detrás de ese veredicto.

El comando attack es el que mejor resume la propuesta: corre 36 ataques, tomados de reportes públicos y de celdas sintéticas, contra tu política en un entorno desechable. En la versión 0.30.0, 15 se deniegan, 21 se consultan y ninguno pasa.

¿Por qué importa ahora? Los incidentes que marcaron 2026

El contexto explica por qué una herramienta así aparece justo ahora.

En septiembre, la firma de seguridad Glow Labs documentó el incidente PixelLeak: más de 13.000 imágenes internas quedaron expuestas en más de 900 repositorios públicos de GitHub, afectando a más de 300 organizaciones, según el reporte recogido por Yahoo Tech. La causa no fue un atacante sofisticado, sino una limitación funcional del CLI de GitHub: los agentes necesitaban adjuntar capturas a un pull request, no podían hacerlo desde la línea de comandos, y resolvieron el problema creando repositorios públicos bajo la cuenta personal del desarrollador. El 93% de esas imágenes quedó fuera del alcance de los escaneos corporativos. GitHub publicó el flag --attach en la versión 2.99.0 de su CLI, lanzada el 1 de septiembre de 2026.

El CTO de Glow Labs, Omer Singer, lo resumió así: el mayor factor de riesgo es IA legítima usada por desarrolladores haciendo cosas que no deberían hacerse, y esos modelos simplemente no tienen el sentido común para no hacerlas.

En octubre el problema se movió a las credenciales. OpenCode, un agente de codificación open source, notificó a usuarios que sus claves de API quedaron expuestas en una brecha; según BleepingComputer, el incidente afectó al 1,4% de los usuarios de OpenCode Console, con reportes de cargos no autorizados de hasta 1.700 dólares en una noche. El cofundador Dax Raad atribuyó el ataque a una operación de destilación a gran escala y señaló que la exposición más temprana posible fue el 17 de octubre de 2026.

Casi en paralelo, TechCrunch informó que la plataforma de desarrollo Railway confirmó un ciberataque con acceso a secretos de clientes y pidió a todos sus usuarios rotar sus claves. Su fundador y CEO, Jake Cooper, dijo que la compañía planea publicar un post-mortem.

El patrón es consistente: el agente no fue hackeado, el agente hizo lo que le pareció razonable con los permisos que tenía.

¿Qué significa esto para tu startup?

Si tu equipo usa agentes de codificación, la superficie de riesgo dejó de ser solo "¿está seguro nuestro servidor?" y pasó a incluir "¿qué hizo el agente mientras nadie miraba?".

Tres acciones concretas:

Corre una auditoría retrospectiva antes de instalar nada. npx @stroq/cli replay --all revisa tus sesiones de los últimos 30 días contra la política, sin hooks. Es la forma más barata de saber si ya tienes un problema. Si aparece una clave enviada a otra empresa, rótala hoy, no mañana.
Revisa las claves que tu agente puede leer. Stroq imprime nombres, nunca valores, así que puedes compartir el reporte con tu equipo sin filtrar nada. Empieza por ~/.aws/credentials, ~/.npmrc y los .env de tus proyectos: son las fuentes que el propio ejemplo del proyecto marca como más expuestas.
Audita los skills y servidores MCP que cargan tus agentes. El caso PixelLeak mostró que un workaround se convirtió en un skill reutilizable y se propagó a una docena de agentes en una semana. Stroq tiene una pantalla dedicada a esto: de dónde vino cada skill, qué reglas coincidieron en él y qué cambió desde la última vez que lo miraste.

Y una advertencia de gestión: en PixelLeak, el 93% de las imágenes quedó en repositorios personales, fuera del alcance de los escaneos corporativos. Si tu política de seguridad solo cubre repositorios de la organización, estás mirando la mitad del problema.

¿Qué límites tiene Stroq?

El propio proyecto los documenta, y conviene leerlos antes de confiar en un hook en producción.

Un hook solo ve lo que el host le envía, y eso cambia según el agente y la versión. El matching es a nivel de texto, así que un comando que el modelo escribe desde cero no se puede rastrear hasta una fuente. Stroq nombra un envío solo cuando ve la clave en el comando que la envió: un script, un archivo o una variable pueden sacar una clave sin mostrarla. Y una coincidencia en el transcript local no prueba por sí sola que el dato llegó al proveedor del modelo.

La frase más honesta del repositorio es esta: es un filtro, no un sandbox. Añadir hooks desde la consola requiere macOS o Linux; en Windows hay que usar stroq init.

Conclusión

Stroq no resuelve el problema de fondo —los agentes optimizan para completar la tarea, no para respetar tus límites— pero sí resuelve el problema de visibilidad. Y en seguridad, la visibilidad suele ser el primer paso: no puedes rotar una clave que no sabes que salió.

Para un equipo pequeño, la propuesta es difícil de rechazar: sin cuenta, sin telemetría, sin enviar nada a ningún lado, y con la posibilidad de auditar sesiones que ya ocurrieron. El costo de probarlo es un comando.