BitGoTe 🥸 — Firewall Local para Agentes de IA
Custodio de secretos en tránsito, firewall de salida y aislamiento en Linux para Claude Code, Cursor, Codex y agentes MCP.
Problema que ataca
Nació de un caso real con Sistema Zona: ante un incidente en Railway hubo que rotar todas las variables cruzadas entre Railway y Vercel. Si se lo delegás a un agente de IA, lee tus credenciales reales y quedan grabadas en el contexto y la nube del proveedor del LLM.
Cómo lo resuelve
El agente corre aislado en otro usuario de Linux (bitgote-agent) cuya única salida de red por nftables es el proxy de BitGoTe. El agente nunca ve un secreto: usa referencias {{bitgote:sistemazona/prod/API_URL}}. El proxy verifica la política sellada (bitgote.yaml con SHA-256), bloquea IPs privadas/SSRF, te pide aprobación humana por /dev/tty, inyecta el valor real en tránsito desde la bóveda cifrada con age y redacta cualquier aparición en la respuesta con [BITGOTE:REDACTED].
# El agente opera a ciegas con referencias; el valor real jamás entra al contexto del LLM:
curl https://api.vercel.com/v10/projects/sistemazona-web/env \
-H "Authorization: Bearer {{bitgote:sistemazona/prod/VERCEL_TOKEN}}" \
-d '{"key":"API_URL","value":"{{bitgote:sistemazona/prod/API_URL}}"}'
# bitgote proxy valida bitgote.yaml → pide confirmación en /dev/tty → inyecta → redacta:
# Agente recibe: 201 {"key":"API_URL","value":"[BITGOTE:REDACTED]"}