Seguridad

Resumen y evidencia

ALL permite que una conversación autorizada de ChatGPT use herramientas en tu computadora: archivos, Terminal, interfaz gráfica, navegador y posiblemente operaciones privilegiadas. Es una autorización importante, no una función de chat libre de riesgos.

Esta página distingue lo desplegado y verificado en producción, lo que está disponible en el runtime 0.6.7 y activo después de actualizar y lo que no está implementado. El plano de control y el relay público se verificaron en producción el 29 de septiembre de 2026. Lo que esta página describe a partir del código sigue siendo una revisión de código, no una auditoría continua en vivo.

Arquitectura y límites de confianza

La instalación se divide entre un runtime local en la computadora, el control plane de ALL, un relay que enruta solicitudes y respuestas de ALL, y la integración autorizada con ChatGPT. El dispositivo inicia la conexión hacia la infraestructura de ALL; el diseño no exige abrir un puerto público de entrada en la computadora del usuario.

El sitio web y ALL Guide son otra superficie distinta. El chat del sitio puede explicar el producto y abrir el checkout, pero no tiene herramientas para controlar la computadora del visitante. El control del equipo solo existe después de instalar ALL, registrar el dispositivo y autorizar la integración correspondiente.

Identidad y autorización

El código verifica las licencias comerciales y registra dispositivos en el servidor. El diseño desplegado reemplaza las credenciales de larga duración firmadas con HMAC por credenciales Ed25519: solo el plano de control conserva la clave de firma, el relay verifica con claves públicas y valida los tokens heredados en línea contra el plano de control. La licencia, la autenticación del dispositivo y la autorización local de OAuth y herramientas son controles diferentes.

Una licencia no es una credencial maestra de infraestructura. Los planes pueden limitar equipos activos, estado de suscripción y acceso a versiones futuras. El valor por defecto son tres dispositivos activos; pueden añadirse cupos adicionales a solicitud, y aplica el límite que muestra la página de tu licencia. Un catálogo pequeño de herramientas o una URL por dispositivo no demuestra, por sí solo, una garantía de seguridad.

Estado del despliegue: verificado, pendiente, no implementado

Las mejoras del 29 de septiembre llegan en tres niveles. Cada protección pertenece exactamente a uno de ellos.

• Desplegado y verificado en producción — plano de control y relay: credenciales de dispositivo Ed25519 con clave de firma solo en el plano de control y verificación pública en el relay; sesiones de dispositivo de cinco minutos con prueba de posesión y renovación dentro del mismo canal; Durable Objects por dispositivo que coordinan registros contra repetición, generaciones de identidad y revocación; endpoints públicos de descubrimiento; y el relay corriendo como un usuario dedicado sin privilegios de root, sin capacidades de Linux, sin HMAC ni secreto maestro en su entorno, con lista de encabezados permitidos y logs de acceso desactivados en el relay y su proxy inverso. Verificado con sondas de endpoints públicos, inspección del proceso en vivo y su sandbox, sondas de supresión de logs y un dispositivo real completando autorización y MCP a través de la nueva arquitectura.
• Runtime 0.6.7, activo después de actualizar — lado del dispositivo: la clave de identidad local persistente en almacenamiento seguro nativo, la renovación automática de sesiones cortas y el OAuth/PKCE reforzado con estado secreto guardado como hashes. Los clientes instalados hoy siguen funcionando con tokens heredados que el relay valida en línea contra el plano de control. Estas protecciones se activan cuando un cliente instala el runtime actualizado; la migración es automática, sin reinstalaciones periódicas ni re-vinculación. Perder la clave, una revocación o una caída del servicio sí pueden interrumpir el acceso.
• No implementado: el cifrado de extremo a extremo que vuelve ciego al relay. TLS sigue siendo por tramo; el relay sigue leyendo el contenido en tránsito, y un relay comprometido puede leerlo, guardarlo o modificarlo y usar bearers observados dentro de su autoridad local.

La eliminación de un dispositivo sigue exigiendo confirmación privada del plano de control antes de quitar la membresía en el sitio. Si falla la confirmación, no se debe informar que el lugar fue liberado. Quitar un equipo no borra archivos locales, historial de tareas ni copias de terceros, y no promete revocación instantánea en todas las capas.

OAuth y conexión con ChatGPT

La integración usa OAuth y PKCE para vincular ChatGPT. El runtime actualizado refuerza ese flujo; en los clientes instalados se activa después de actualizar al runtime 0.6.7. Una sesión de dispositivo de cinco minutos no es la misma credencial que un token bearer de OAuth de ChatGPT.

Un relay comprometido puede observar y reutilizar un bearer válido dentro de su autoridad. La prueba de posesión del dispositivo no evita todos esos usos. El runtime local sigue decidiendo si permite la llamada a una herramienta.

Relay y visibilidad de datos

El relay termina TLS y maneja los cuerpos de solicitudes y respuestas MCP en texto plano, incluidos los contenidos transportados como Base64. Base64 no es cifrado. TLS protege cada tramo de red; no oculta el contenido al relay. No hay cifrado de extremo a extremo (E2EE) en producción.

El tráfico puede contener rutas y fragmentos de archivos, comandos, resultados de Terminal, estado de aplicaciones, capturas o datos de herramientas. Un relay comprometido puede leer, guardar o modificar contenido en tránsito y reutilizar tokens bearer de OAuth observados, sujeto a la autorización local. Eso puede incluir ejecutar comandos cuando la autoridad de las herramientas locales lo permita; no podemos afirmar que un relay comprometido no pueda ejecutar comandos.

No se encontró un archivo deliberado de cuerpos del relay en el código de la aplicación. En el relay desplegado, los logs de acceso están desactivados en el relay y en su proxy inverso, y sondas sintéticas confirmaron que las cadenas de consulta ya no se registran. El almacenamiento del host ante caídas, el swap y la retención de Cloudflare o del proveedor no se auditaron por completo, y los archivos rotados anteriores al 29 de septiembre de 2026 pueden contener enlaces de vinculación expirados mientras se decide su purga. Esto no es una promesa general de ausencia de logs o almacenamiento.

Las tareas, flujos de trabajo y resultados locales persisten intencionalmente para poder continuar el trabajo. Los resultados devueltos a la conversación van a ChatGPT; las funciones opcionales de diagnóstico, reparación o visión con IA pueden enviar datos relevantes a Workers AI. Ejecutar localmente no significa procesar todo localmente. Consulta Privacidad.

Números de actividad, transferencias y registros locales

Esta sección describe el código fuente 0.7 y no formó parte de la verificación en producción del 29 de septiembre de 2026. Describe ALL 0.7 y posteriores; las versiones anteriores no informan números de actividad y no tienen transferencias, diario, recetas ni índice de proyectos.

Las computadoras instaladas informan dos números enteros (operaciones completadas hoy, en UTC, y trabajos en ejecución) en su registro de salud, junto a la versión, la plataforma y el estado. Nada de lo que las operaciones tocaron, ejecutaron o imprimieron forma parte de ese registro.

Una copia cifrada de una transferencia de archivos puede descargarse como máximo 24 horas; después se elimina (la eliminación por la regla de expiración del almacenamiento puede tardar hasta un día más), y no se puede abrir sin una llave que nunca se envía a los endpoints del almacenamiento. La computadora de origen cifra con AES-256-GCM, con una llave y un nonce nuevos en cada transferencia, y sube en partes; cada parte lleva su propio SHA-256, que el plano de control comprueba al llegar, y la computadora de destino verifica la etiqueta de autenticación y la suma de verificación del archivo antes de que el archivo reciba su nombre final. La llave viaja dentro de la conversación de ChatGPT, así que un relay comprometido podría verla: esto protege la copia almacenada, no frente al relay.

Varias computadoras: una solicitud se dirige a otra computadora de la cuenta solo donde ChatGPT tiene su propia autorización vigente en esa computadora, con los permisos que la operación necesita, y el servicio de cuentas también comprueba la licencia y el registro del dispositivo; de lo contrario se rechaza. «Desconectar ChatGPT de este computador», en la página de actividad, revoca esa autorización. Las computadoras más allá de tres (cupos adicionales) se añaden a solicitud, y cada una conserva su propio registro y autorización.

El diario local, las recetas guardadas, el índice de proyectos y los resúmenes de trabajos se quedan en la computadora, en la carpeta de estado privada de ALL; ALL no los sube. ALL nunca registra por sí misma contenido de archivos ni salida de comandos en el diario, las recetas o el índice de proyectos (una nota del diario guarda el texto corto que ChatGPT decida escribir en ella); los registros de trabajos conservan un resumen y un log de la salida de los comandos y no se les quitan los secretos. Las notas y recetas guardadas por conversaciones anteriores se tratan como datos, no como instrucciones tuyas. Estos archivos no están protegidos frente a software que se ejecute como tu usuario, así que mantén los secretos en el entorno o en el inicio de sesión propio de cada herramienta y no en las líneas de comando. La misma carpeta guarda además, durante 24 horas, un recibo privado de la respuesta de la mayoría de las operaciones (puede contener contenido de archivos y salida de comandos; la copia guardada pasa por redact_public_result, que reemplazaría con [credential redacted] el texto que coincida con una lista de formatos de credenciales conocidos, pero esa lista está vacía en esta versión, así que la respuesta se guarda tal como se devolvió y también puede guardar los secretos que hubiera en ellos; no se guarda recibo de las respuestas de files.extract, jobs.status, jobs.wait, terminal.job.status, journal.recent, code.references y git.review) y, hasta 7 días, el texto de transcripciones, el texto de OCR y los fotogramas de video que el lector de archivos escribe en los trabajos largos. ALL no sube ninguno de los dos. Consulta Privacidad.

Permisos del sistema operativo

ALL no intenta ocultar ni saltarse las protecciones nativas del sistema. Algunas capacidades requieren aprobaciones explícitas del usuario o del administrador.

• macOS: Accesibilidad, Grabación de Pantalla, Acceso Total al Disco y permisos de automatización cuando correspondan.
• Windows: permisos de usuario o elevación administrativa para tareas que lo requieran.
• Linux: acceso del usuario, mecanismos de escritorio disponibles y, cuando corresponda, privilegios elevados.
• Las capacidades concretas dependen también de las aplicaciones instaladas, sesiones autenticadas y políticas del equipo.

Operaciones de alto impacto

Algunas herramientas pueden instalar software, modificar configuración, terminar procesos o ejecutar comandos privilegiados. Las verificaciones, snapshots, aprobaciones y límites dependen de cada capacidad y de la política local. No asumas que cada acción exige una nueva confirmación ni que todo efecto puede deshacerse.

Administra solo sistemas que estés autorizado a controlar. Para producción, datos irreemplazables, facturación, credenciales o publicación pública, usa revisión humana, permisos de alcance limitado y copias de respaldo independientes.

Credenciales y secretos

Los paquetes distribuidos al cliente no incluyen credenciales maestras de Cloudflare, claves maestras de Workers AI ni secretos del backend de ALL. Las credenciales de dispositivo son diferentes de las credenciales maestras de infraestructura.

ALL puede operar una sesión de terceros que el usuario ya haya autenticado, por ejemplo un navegador, GitHub, Cloudflare, App Store Connect o una herramienta local. Eso no significa que ALL sea propietario de esas credenciales ni que pueda ignorar 2FA, acuerdos, permisos, suscripciones o aprobaciones exigidas por el tercero.

Integridad de updates y reparación

Las versiones con derecho a updates consultan un canal de releases privado autorizado por la licencia. El agente verifica metadatos de versión y el SHA-256 del artefacto antes de instalar una actualización oficial. Los paquetes se sirven desde almacenamiento privado y la autorización se verifica antes de la descarga.

El plan sin updates queda limitado a la versión comprada según el entitlement registrado. Reparar una instalación no debe convertirse en un mecanismo para obtener una versión no incluida en el plan.

Sitio, pagos y ALL Guide

El código del sitio configura controles del navegador como CSP, HSTS en respuestas HTTPS y restricciones de framing. Stripe aloja la captura del pago; el sitio lo verifica en el servidor. Son observaciones del código, no una auditoría reciente de producción.

Los dos chats del sitio usan Cloudflare Workers AI y no tienen herramientas para controlar computadoras. El modo de privacidad y seguridad recibe un contexto fijo de evidencia y un estado de despliegue de tres niveles elegido por el servidor, no por el texto del visitante. La IA puede equivocarse y no sustituye una auditoría humana.

Los mensajes y resultados del chat no se escriben deliberadamente en el KV de licencias o contactos ni en logs de la aplicación. El sitio usa códigos fijos de error para el chat y desactiva los logs automáticos de invocación y las trazas; eso no demuestra retención cero en el proveedor. No envíes credenciales, enlaces de licencia, capturas ni contenido de documentos. Cómo se procesan los mensajes.

Dependencias de terceros

ALL integra o automatiza software y servicios que no controla. Cambios en APIs, permisos, interfaces, políticas, sistemas operativos o flujos de autenticación pueden degradar o romper una capacidad aunque ALL no haya cambiado. No se garantiza que un tercero mantenga indefinidamente una función concreta.

Responsabilidades del cliente

• Protege tu cuenta de ChatGPT y los dispositivos donde instales ALL.
• No compartas activation keys, tokens o sesiones autenticadas con personas no autorizadas.
• Mantén backups adecuados antes de tareas destructivas o migraciones.
• Revisa comandos o acciones de alto impacto cuando el contexto lo requiera.
• Revoca accesos y elimina la instalación si un dispositivo deja de estar bajo tu control.
• Mantén el sistema operativo y aplicaciones relevantes razonablemente actualizados.

Reportar vulnerabilidades

Escribe a admin@fynory.app con el asunto ALL Security. Empieza con una descripción no sensible del impacto, versión y sistema operativo si los conoces, y pasos reproducibles con datos sintéticos. No envíes tokens, contraseñas, claves privadas, enlaces de licencia, capturas ni contenido de documentos.

Si sospechas un compromiso, detén el trabajo sensible, desconecta la integración de ALL o detén ALL localmente, y contacta a soporte desde un equipo confiable. Este chat no puede revocar accesos ni verificar que el incidente esté contenido.

• No accedas a datos ni sistemas de otras personas.
• No provoques interrupciones, pérdida de datos ni degradación deliberada.
• No uses phishing, ingeniería social ni ataques físicos.
• Permite un tiempo razonable de investigación antes de divulgar públicamente.
• Aquí no se promete recompensa económica ni plazo de respuesta.

Limitaciones y realidad del riesgo

Ningún sistema con capacidad para controlar una computadora puede prometer riesgo cero. Firmas, permisos, OAuth, aislamiento de secretos, verificación de licencia y arquitectura saliente reducen riesgos, pero no eliminan fallos de software, compromiso de cuentas, errores humanos, vulnerabilidades de terceros o instrucciones dañinas.

La seguridad también depende de cómo configures tu dispositivo, de los permisos que concedas y de qué acciones autorices.