Seguridad de rutas en Claude Code: auditoría de enlaces, plugins y workflows

Si Claude Code interviene en repositorios de producción, el equipo debe comprobar la versión instalada, actualizarla mediante su proceso autorizado y someter los límites del sistema de archivos a pruebas negativas. Las notas de Claude Code 2.1.251, fechadas por Anthropic el 28 de agosto de 2026, describen correcciones relacionadas con enlaces simbólicos, reglas de denegación, rutas de plugins, scripts de workflows y configuración de logs. Son cambios relevantes para cualquier entorno en el que un agente pueda leer, buscar, editar o ejecutar recursos.

La decisión operativa es clara: una sesión no debería trabajar de forma desatendida con código, credenciales o datos sensibles mientras no exista evidencia de que las rutas prohibidas siguen bloqueadas después de resolver enlaces e interpretar configuraciones. CreatikLab plantea esta revisión como una auditoría del límite de confianza, no como una evaluación de la calidad de los prompts. La actualización corrige comportamientos concretos, pero Anthropic no afirma que elimine todos los riesgos posibles ni que todas las instalaciones anteriores estuvieran expuestas del mismo modo.

Anthropic indica que las herramientas de archivo podían seguir un enlace simbólico sustituido dentro del directorio de trabajo después de verificar permisos, con la posibilidad de leer o escribir fuera de la ubicación aprobada. También informa de una corrección para que Grep y Glob apliquen las reglas de denegación de lectura cuando encuentran archivos mediante una ruta de búsqueda enlazada. Un control valida el destino alcanzado por una operación; el otro evita que una búsqueda indirecta ignore una prohibición explícita.

La versión también rechaza como path traversal los comandos de plugins declarados en una entrada de marketplace que apunten fuera del directorio del plugin. Anthropic señala además que Workflow podía leer un scriptPath antes de comprobar el permiso y que determinadas opciones de proyecto podían activar trazas beta detalladas o cuerpos de API sin respetar plenamente controles de mayor alcance. Se añadieron eventos antes y después del cambio de modelo e indicadores de límite de gasto para ciertos desarrolladores detrás de un gateway. No se especifican precios, cobertura universal ni efectos de rendimiento.

Un repositorio aparentemente aislado puede incluir enlaces hacia paquetes compartidos, archivos generados o carpetas externas. El agente ve una ruta, pero el sistema operativo puede resolver otra. Los plugins y los workflows introducen más capas: una definición local puede invocar un comando o script almacenado fuera del perímetro revisado. Comprobar únicamente el árbol del proyecto deja sin responder qué recurso termina leyendo, modificando o ejecutando el proceso.

La regla de CreatikLab consiste en autorizar la combinación de destino final y operación, no solo el texto de la ruta. Lectura, búsqueda, escritura, edición, ejecución y registro deben validarse por separado. Una autorización para leer no implica autorización para escribir; una denegación visible no demuestra que el contenido tampoco apareció en logs. Cuando la precedencia entre configuración administrada, configuración del proyecto y herramientas externas no puede demostrarse, conviene limitar el workspace, usar credenciales desechables y mantener supervisión humana.

• Ruta declarada: referencia que ve el usuario o genera el agente.
• Destino canónico: recurso final después de normalizar y resolver enlaces.
• Capacidad: leer, buscar, editar, ejecutar o registrar.
• Origen de política: administración, usuario, proyecto, plugin o workflow.
• Resultado esperado: permitir, pedir confirmación, denegar o detener con seguridad.

Esta matriz es una metodología de CreatikLab para convertir el riesgo técnico en decisiones inspeccionables; no atribuye funciones no documentadas a Claude Code. Debe ejecutarse sobre una réplica controlada del entorno real.

• Enlace que termina dentro del workspace — evidencia: ruta canónica; acción: conservar y añadir regresión; responsable: mantenedor del repositorio.
• Enlace que termina fuera — evidencia: resolución y operación denegada; acción: eliminar, aislar o aprobar una excepción mínima; responsable: seguridad.
• Plugin que usa una ruta externa o directorio padre — evidencia: manifiesto y rechazo; acción: reparar o retirar; responsable: mantenedor del plugin.
• Script de workflow fuera de su paquete — evidencia: configuración y control previo al acceso; acción: reubicar y fijar versión; responsable: automatización.
• Proyecto que amplía trazas o logs de cuerpos — evidencia: configuración efectiva y destino del log; acción: imponer política administrada y redactar; responsable: plataforma.
• Grep o Glob alcanza contenido prohibido por una ruta indirecta — evidencia: prueba negativa; acción: bloquear la entrega hasta preservar la denegación; responsable: QA.

Para marcar una fila como aceptada no basta con observar un mensaje de error. Hay que comprobar que el archivo protegido no cambió, que su contenido no apareció en la salida y que los artefactos de logging o caché tampoco lo copiaron. Esa verificación posterior diferencia una prueba de interfaz de una prueba real del control.

1. Registrar versión, método de instalación y política de actualización. Anthropic indica que la versión instalada puede comprobarse con el comando correspondiente.
2. Crear un repositorio desechable con archivos ficticios que representen secretos o datos, sin incluir información real.
3. Preparar un enlace interno, otro que termine fuera del workspace y un caso controlado donde el harness cambie el enlace entre validación y acceso.
4. Probar Read, Write, Edit, Grep y Glob individualmente. Guardar política efectiva, salida, destino resuelto y checksum.
5. Revisar plugins instalados y sus declaraciones en busca de rutas absolutas, directorios padre o comandos que escapen de su carpeta.
6. Inventariar scripts de workflows y comprobar que el permiso se decide antes de leer contenido o producir efectos de ejecución.
7. Comparar configuración administrada, de usuario y de proyecto para trazas y cuerpos de API; documentar destino, acceso y retención de logs.
8. Eliminar fixtures, archivar evidencia saneada y obtener aprobación nominativa de ingeniería y seguridad.

La prueba adversarial no debe realizarse sobre un repositorio de cliente en producción. El entorno de staging debe reproducir estructura y políticas sin secretos auténticos. Antes de empezar, el equipo define condiciones de parada: lectura inesperada, escritura fuera de perímetro, activación de logging no controlado o ejecución sin la confirmación prevista. Anthropic confirma las correcciones de producto; esta secuencia de implementación es una práctica operativa de CreatikLab.

La unidad de medida adecuada es el caso de control, no el número de tareas completadas por la IA. Cada prueba necesita identificador, estado inicial, operación solicitada, destino canónico, resultado esperado, resultado observado, comprobación de efectos, versión y revisor. El indicador principal es si todas las pruebas negativas obligatorias deniegan de forma segura sin lectura, salida, escritura, ejecución o registro no autorizado.

El tablero puede usar cuatro estados: no probado, fallido, corregido pendiente de retest y aceptado. No conviene promediar resultados, porque muchos éxitos menores no compensan el acceso indebido a una ruta crítica. El tiempo de corrección se informa aparte. Para gobernanza recurrente, la suite vuelve a ejecutarse tras actualizar Claude Code, instalar o modificar plugins, cambiar scripts, alterar políticas o reestructurar el repositorio.

• Evidencia mínima: transcripción saneada, snapshot de política, ruta canónica y checksum.
• Responsable: persona con autoridad para corregir o aceptar riesgo residual.
• Criterio: denegación o confirmación antes del acceso, no después.
• Efecto: ningún cambio ni divulgación en destino, salida, caché o log.
• Relación comercial: proceso de entrega, despliegue o datos de cliente protegido.

No hay que asumir que instalar 2.1.251 vuelve seguros todos los plugins, wrappers, servidores MCP o comandos de shell. Las correcciones descritas por Anthropic se refieren a comportamientos concretos de Claude Code; cada herramienta externa puede introducir permisos propios. Tampoco debe considerarse fiable una ruta solo porque está dentro de Git. Dependencias, generación de archivos y cambios del entorno pueden alterar lo que finalmente se resuelve o ejecuta.

No se deben usar secretos reales como fixtures ni publicar transcripciones completas. El logging puede convertirse en una segunda vía de exposición. Los nuevos hooks de cambio de modelo y los indicadores de gasto tampoco constituyen por sí solos un sistema completo de gobernanza: Anthropic confirma su incorporación, pero no promete control presupuestario universal ni una política de aprobación lista para cualquier arquitectura. Una prueba aprobada demuestra un comportamiento observado en una configuración y momento determinados; no es una garantía de seguridad futura.

• Versión desconocida o instalación sin gestión: pausar usos sensibles.
• Plugin no revisado con rutas externas: poner en cuarentena.
• Conflicto de logs: aplicar la política administrada más restrictiva.
• Acceso inesperado en una prueba negativa: bloquear la entrega.
• Riesgo residual sin propietario: no autorizar ejecución desatendida.

Un proveedor serio debe entregar un inventario de rutas y capacidades, revisión de plugins y workflows, mapa de políticas efectivas, harness desechable, resultados de pruebas negativas, verificación de efectos, registro de remediación y criterios de aceptación firmados. También debe separar con claridad las correcciones confirmadas por Anthropic de los controles diseñados para la arquitectura del cliente, además de identificar exclusiones y dependencias externas.

El servicio de automatización con IA y desarrollo a medida de CreatikLab puede incluir una auditoría del límite de confianza de Claude Code, una suite reproducible para enlaces y path traversal, remediación de plugins y workflows, control administrado del logging y una puerta de producción basada en evidencia. La entrega cualificada se mide por controles aceptados y vinculados a repositorios reales, no por volumen de código generado. Los resultados no se garantizan y una prueba crítica fallida bloquea la aprobación.

Para continuar el diagnóstico antes de definir alcance, explica a Lia el sistema operativo, la estructura del repositorio, los plugins, los scripts, la configuración administrada y las clases de datos implicadas. Un prototipo supervisado y un agente de despliegue desatendido necesitan permisos y criterios de aceptación diferentes.

¿Qué corrigió Claude Code 2.1.251 respecto a enlaces simbólicos?

Anthropic indica que corrigió herramientas de archivo que podían seguir un enlace sustituido después de comprobar permisos, además de la aplicación de reglas Read de denegación en búsquedas indirectas con Grep y Glob.

¿Basta con actualizar para aprobar producción?

No. La actualización aborda las correcciones documentadas, pero la aprobación debe depender también de pruebas sobre repositorios, plugins, workflows, políticas y herramientas externas concretas.

¿La auditoría debe usar credenciales reales?

No. Debe utilizar archivos ficticios y un entorno desechable. El objetivo es comprobar denegaciones y efectos sin exponer secretos ni datos de clientes.

¿Qué evidencia debe conservar cada prueba?

Versión, política efectiva, operación, destino canónico, resultado esperado y observado, transcripción saneada y comprobación de que no hubo efectos no autorizados.

¿Los hooks de cambio de modelo resuelven la gobernanza?

No por sí solos. Anthropic confirma eventos previos y posteriores al cambio, pero no describe un sistema completo y universal de aprobación, seguridad y costes.

¿Cuándo se repite la auditoría?

Tras actualizaciones relevantes, cambios de plugins o workflows, modificaciones de políticas, reestructuraciones del repositorio o variaciones en los datos accesibles.