Centro de seguridad técnico

En lenguaje claro

Cuando ChatGPT usa la nueva conexión de ALL, el contenido viaja cifrado entre ChatGPT y tu computadora. La llave que lo descifra se crea en tu computadora. ALL no guarda una copia de esa llave.

OpenAI es el otro extremo de la conversación, así que ve el contenido que ChatGPT lee y escribe. El cifrado no cambia eso.

Qué ve cada parte

Cómo viaja una conexión

1. ChatGPT abre una conexión HTTPS normal a la dirección de tu computadora en ALL.
2. El nodo de paso lee solo el nombre de la conexión (SNI) del primer mensaje y copia los bytes hacia tu computadora. No los abre.
3. Tu computadora termina la conexión TLS con su propio certificado.
4. La app de ALL en tu computadora recibe la petición. Nada más en el camino necesita leerla.

ChatGPT --HTTPS--> <etiqueta>.all-mcp.app --bytes--> nodo de paso (lee solo el SNI) --bytes--> tu computadora (aquí termina el TLS) --> app de ALL

Cifrado medido

La tabla sale de los registros de las corridas de la compuerta del repositorio. Muestra solo lo que se midió, sistema por sistema, y dice si el cliente fue ChatGPT o el cliente de prueba propio de ALL.

El único sistema medido con ChatGPT real hasta ahora es macOS, con un solo origen de cliente de ChatGPT. Windows y Linux no están medidos con ChatGPT.

La llave TLS de tu computadora es ECDSA P-256. Se crea en la computadora y se guarda con permisos solo del dueño (0600 en macOS y Linux; una lista de acceso solo del dueño en Windows, que no se ha medido), así que otras cuentas de usuario no pueden abrirla. Esa comprobación solo mira el dueño y los permisos del archivo. Un administrador (root) de la computadora puede leer la llave, y también tu propia cuenta de usuario. ChatGPT, con las herramientas de archivos de ALL, también podría leerla. ALL no guarda copia.

Su certificado público viene de Let's Encrypt y se pide con el desafío DNS-01, que usa un registro TXT temporal. Pide un perfil de 45 días y, si Let's Encrypt no lo ofrece, el perfil clásico.

El intercambio de llaves híbrido X25519MLKEM768 (ML-KEM combinado con X25519) se midió con tráfico real de ChatGPT en la compuerta G0, en un Mac con OpenSSL 3.5.6. Con ChatGPT real solo está medido ese Mac; para Windows y Linux la tabla de arriba muestra lo que midió el cliente de prueba propio de ALL.

El terminador TLS del dispositivo rechaza cualquier versión anterior a TLS 1.3, por política. El único sistema con la versión negociada medida con ChatGPT real hasta ahora es macOS.

Compruébalo tú mismo

Cualquiera, o cualquier asistente de IA, puede repetir estas comprobaciones. Cambia ETIQUETA por el nombre que ALL dio a tu computadora.

1. Protocolo, cifrado e intercambio de llaves que negocia tu computadora. Necesitas OpenSSL 3.5 o más nuevo de tu lado. La salida depende del OpenSSL del cliente.

   openssl s_client -connect ETIQUETA.all-mcp.app:443 -servername ETIQUETA.all-mcp.app -tls1_3 -groups X25519MLKEM768:X25519 </dev/null 2>/dev/null | grep -E "Protocol|Cipher is|Negotiated TLS1.3 group"

2. Historial público de certificados de tu nombre.

   https://crt.sh/?q=ETIQUETA.all-mcp.app

3. Comando que muestra el registro CAA de la zona, que debería permitir solo Let's Encrypt con dns-01 y prohibir certificados comodín. Un script del repositorio lo compara con la política y comprueba que los registros de la zona apuntan directo a los nodos de paso y no pasan por el proxy de Cloudflare; una lectura suya está registrada ahí.

   dig +short CAA all-mcp.app

4. Comando que muestra si DNSSEC valida en la zona (la línea de flags muestra ad). Valida: el registro del dominio publica el registro DS de la zona y una lectura del 2026-10-29 registrada en el repositorio lo muestra.

   dig @1.1.1.1 +dnssec +comments all-mcp.app A | grep flags

5. Comprueba el código de cifrado instalado contra un manifiesto que descargues de este sitio: corre el comando con --manifest y el archivo, y compara el SHA-256 que imprime con el que aparece junto a ese archivo. Sin --manifest solo compara con el manifiesto que vino en la instalación, lo que muestra que los archivos y ese manifiesto concuerdan, no que sean los publicados.

   run-all verify-source --manifest MANIFEST.json

6. Lee el código de cifrado de esta versión, archivo por archivo, con el SHA-256 de cada uno.
7. Descarga los archivos de resultados detrás de esta página, cada uno con su SHA-256, en /seguridad/evidencia/: la prueba automática de ceguera, el registro y las negociaciones TLS de la corrida con ChatGPT real, y la lectura del DNS de la zona.

Prueba de ceguera

La prueba de captura (scripts/e2e_pcap.py) lee un archivo de tcpdump y busca un marcador que tú pusiste en una petición. Prueba una sola cosa: que los bytes del marcador no aparecen en el tráfico capturado. Una captura solo ve bytes que cruzan la red. No ve lo que el nodo escribe en sus registros ni en sus discos.

La búsqueda en sí se prueba: un marcador colocado dentro de un paquete se encuentra, y la prueba se niega a llamar limpia una captura sin carga útil.

Los registros del nodo los revisa otra prueba. Una corrida completa del nodo en la suite de pruebas no deja direcciones, etiquetas ni nombres de equipo en sus registros ni en sus métricas. Esa prueba corre en un entorno de prueba, no en un nodo en vivo.

La corrida con ChatGPT real se hizo a mano, una vez. El registro g0-chatgpt-2026-10-26 anota la captura 121641-0d72 como limpia y el marcador como presente en el dispositivo. No anota dónde se tomó la captura; el archivo de negociaciones TLS de esa misma captura, publicado con la evidencia, anota que se tomó en el servidor de paso de prueba de esa corrida, una máquina en la nube.

Una compuerta automática de ceguera planta un marcador nuevo en cada canal (URL, cabeceras, cuerpo, argumentos y resultados de herramientas) y busca en el tráfico y en los registros del nodo, con un control positivo que prueba que la búsqueda puede ver. Es parte de la compuerta de publicación; lo que se corrió con ChatGPT real es la comprobación hecha a mano que se describe arriba.

Protecciones del dispositivo

• Conectar un ChatGPT nuevo solo funciona dentro de una ventana de 10 minutos que abres en tu computadora.
• 5 códigos incorrectos queman esa aprobación pendiente, así que hace falta una nueva.
• Las rutas públicas del dispositivo (registro, autorización, token y emparejamiento) tienen límites de peticiones por dirección IP. Son límites iniciales y pueden cambiar.
• Las actualizaciones se firman con dos llaves: una diaria y una de respaldo guardada cifrada en varios lugares. Desde la versión 2.0, una computadora solo instala actualizaciones con una firma válida de una de esas llaves.
• Los identificadores públicos de las dos llaves de firma son 9fc806846844fc62 (la diaria) y 11789e81770f3364 (la de respaldo). Van incluidos en el programa y cada versión firmada nombra la que la firmó.
• Pausa, un registro de la actividad del día con deshacer por cada acción y secretos enmascarados en ese registro.
• Hay tres puntos de conexión en tu computadora, todos en 127.0.0.1 (solo esta computadora). El local atiende el icono de ALL, la línea de comandos y el instalador. El cifrado atiende solo la conexión de ChatGPT. La conexión compatible solo lleva tráfico cuando esa conexión es la que se usa. El local y la conexión compatible no forman parte de la conexión cifrada.
• Carpetas privadas (ALL 2.0): en la conexión cifrada, una llamada a las herramientas de archivos o de terminal que llega a una carpeta que marcaste como privada se rechaza con el mismo aviso que en la conexión local, y no se ejecuta nada. Una prueba envía esas llamadas por el punto de conexión cifrado y compara cada respuesta con la local. Límite: un comando de terminal es un programa libre, así que donde el sistema no tiene aislamiento para él (Windows) un comando que arma la ruta mientras corre podría llegar a la carpeta.
• El interruptor de apagado está probado de punta a punta en un laboratorio de una sola computadora, con el nodo de paso real, el programa ALL real y un sustituto de ChatGPT: el conector cifrado vuelve sin emparejar de nuevo. Esa prueba no es una corrida con ChatGPT real, ni en Windows, ni en Linux.

Retención de datos y subprocesadores

Los nodos de paso no escriben direcciones IP ni nombres de conexión en sus registros. Su diario del sistema vive en memoria y se borra al reiniciar. Una línea de registro puede incluir un valor con sal de una dirección de origen bloqueada; la sal cambia en cada arranque, así que ese valor no puede seguirse entre reinicios.

El servidor de control guarda la licencia, el nombre del equipo, la llave pública de la computadora, las huellas de los certificados, su versión y contadores de salud, los pasos de activación y si está en pausa. No guarda llaves privadas, ni lo que ChatGPT pide, ni lo que responden las herramientas. La única excepción es un archivo que mueves entre tus propias computadoras: espera ahí cifrado con AES-256-GCM, hasta 24 horas, sin su nombre y sin la llave.

Límites honestos

• OpenAI ve el contenido. Es el otro extremo de la conversación.
• Quien controle el DNS o la cuenta de certificados podría emitir otro certificado para tu nombre. El servidor de control de ALL escribe esos registros DNS, así que también podría hacerlo. Ese certificado aparecería en los registros públicos de certificados (CT). Existe un vigilante independiente de esos registros como script con pruebas; esta página no lo describe como servicio en marcha. Tu computadora también vigila esos registros para su propio nombre, desde la versión 2.0.0.
• Las comprobaciones de DNS de la zona (su registro CAA, y que sus registros no estén detrás del proxy de Cloudflare) las hace un script independiente que se corre a mano o programado; esta página no lo describe como servicio en marcha, y una lectura registrada es la de un momento.
• DNSSEC está activo en la zona: el registro del dominio publica su registro DS y los resolvedores que validan lo confirman (lectura de un momento, 2026-10-29), así que un resolvedor que valida notaría una respuesta DNS falsa.
• Con ChatGPT real la prueba de ceguera se corrió a mano, una vez, para una captura. La compuerta automática corre en una máquina de pruebas con un cliente parecido a ChatGPT, no con ChatGPT real.
• La llave puede leerla el propio usuario de la computadora y un administrador. ChatGPT, con las herramientas de archivos de ALL, también podría leerla. La promesa es solo que la llave se crea en la computadora y que ALL no guarda copia de ella.
• La llave diaria de firma de actualizaciones es un archivo en la computadora de quien mantiene ALL, así que quien controle esa computadora podría firmar una actualización. La llave de respaldo se guarda cifrada en varios lugares y solo se usa si se pierde la diaria.
• El nombre de tu equipo es público. Aparece en los registros públicos de certificados.
• Tu computadora debe estar encendida y despierta para que ALL responda.
• ALL no tiene una auditoría externa de este código de cifrado.
• Las mediciones con ChatGPT real cubren un solo sistema operativo (macOS) y un solo origen de cliente de ChatGPT.
• La prueba de ceguera y las comprobaciones miden los casos que prueban, no todos los casos posibles.

Reportar una vulnerabilidad

Escribe a soporte@all-mcp.fyi (Fynory LLC, operador de ALL) con el asunto Seguridad. Describe cómo reproducir el problema y no accedas a datos de otras personas.

La política completa está en /seguridad/divulgacion-responsable/. El contacto legible por máquinas está en /.well-known/security.txt.

Los cambios a esta página están en el registro de cambios de seguridad, en /seguridad/cambios/.

Preguntas

¿ALL puede leer mi contenido?

No. El contenido viaja cifrado entre ChatGPT y tu computadora, el nodo de paso solo lee el nombre de la conexión y ALL no guarda copia de la llave.

¿OpenAI ve el contenido?

Sí. OpenAI es el otro extremo de la conversación.

¿Se hizo una auditoría externa?

No. ALL no tiene una auditoría externa de este código de cifrado.

¿Funciona si mi computadora está apagada?

No. Tu computadora debe estar encendida y despierta para que ALL responda.