Sandbox local de GitHub Copilot: limita archivos, red y credenciales

El sandbox local de GitHub Copilot permite limitar qué archivos puede leer o modificar un agente, qué redes puede alcanzar y si puede usar credenciales de Git o GitHub CLI. GitHub lo declaró disponible de forma general el 7 de octubre de 2026 para Copilot CLI, la aplicación de Copilot y sesiones de VS Code con Agent Host. No está activado por defecto y no convierte toda la sesión en una máquina virtual: aplica controles del sistema operativo a herramientas y comandos. Antes de usarlo, activa el sandbox, revisa la política efectiva y concede únicamente las rutas, destinos y credenciales imprescindibles.

Qué cambió con el sandbox local de GitHub Copilot

Hecho confirmado. El anuncio de GitHub del 7 de octubre llevó el sandbox local a disponibilidad general en Copilot CLI, la aplicación de Copilot y sesiones de VS Code que utilizan Agent Host. La función se apoya en Microsoft eXecution Container (MXC) para traducir una política común a controles nativos de Windows, macOS y Linux.

Las políticas pueden restringir archivos y directorios, internet y red local, credenciales de Git y gh, servidores MCP locales y servidores de lenguaje cuando sean compatibles. Las empresas también pueden exigir el sandbox mediante configuraciones administradas que el desarrollador no pueda debilitar.

La documentación conceptual de GitHub aclara dos puntos importantes: el sandbox local está desactivado por defecto y aplica un aislamiento ligero a nivel del sistema operativo, no una máquina virtual ni un contenedor completo. Si no se activa, los comandos ejecutados por el agente heredan el acceso del usuario local.

Qué puede limitar y por qué importa

Acceso al sistema de archivos

La política permite conceder lectura, lectura y escritura o denegar rutas. Una base razonable es mantener el repositorio de trabajo como única zona modificable, permitir solo lectura en dependencias que el proyecto necesite y negar explícitamente carpetas con secretos, claves SSH, configuraciones de nube, copias de seguridad o datos personales.

Una carpeta de trabajo separada no equivale por sí sola a un límite de seguridad. GitHub distingue el aislamiento de ramas y archivos que aporta un working tree de la protección adicional que impide a un comando recorrer otras rutas de la máquina.

Internet y red local

La red debe revisarse por separado. Un proyecto puede necesitar el registro de paquetes y GitHub, pero no acceso general a todos los dominios ni a servicios internos. La guía de configuración permite controlar internet saliente, red local y, en Copilot CLI, reglas por host o un proxy HTTP.

Permitir la red local amplía el alcance hacia servidores de desarrollo, dispositivos y servicios privados. En Windows, GitHub advierte que algunas protecciones de proxy dependen de que los programas respeten la configuración; en macOS y Linux, el entorno puede impedir conexiones directas que intenten evitar el proxy. Esa diferencia obliga a probar la política en el sistema operativo real del equipo.

Credenciales y variables de entorno

El sandbox puede controlar si los comandos usan credenciales de Git y GitHub CLI. En flujos compatibles, las herramientas reciben valores sustitutos y un proxy local entrega la credencial real solo a destinos HTTPS aprobados. Esto reduce exposición, pero no elimina la necesidad de limitar el alcance del token ni de revisar dónde se puede enviar.

También conviene enmascarar variables de entorno sensibles y evitar que secretos permanentes estén disponibles para tareas que solo necesitan leer código. La recomendación independiente de OWASP para agentes de IA es aplicar mínimo privilegio a herramientas y permisos, restringir rutas y bloquear patrones asociados con secretos.

Cómo activarlo sin abrir más permisos de los necesarios

En Copilot CLI, el punto de partida documentado es:

/sandbox enable
/sandbox status
/sandbox policy

El primer comando activa el sandbox, el segundo confirma su estado y el tercero permite inspeccionar la política resuelta. En la aplicación de Copilot, la opción se configura por proyecto para las sesiones locales nuevas. Los ajustes de la app y los de CLI son independientes: cambiar uno no modifica el otro.

1. Empieza con un repositorio de prueba. Ejecuta instalación, pruebas, compilación y una tarea de lectura antes de usar el agente sobre código sensible.
2. Define el mínimo de rutas. Mantén lectura y escritura en el espacio de trabajo; agrega otras carpetas solo cuando un comando concreto las necesite.
3. Separa internet de red local. Habilita destinos externos o internos según la tarea, no como un permiso global por conveniencia.
4. Revisa Git, gh y variables. Si la tarea no crea ramas, push o solicitudes de cambio, desactiva esas credenciales.
5. Controla las excepciones. Un comando que pide salir del sandbox debe mostrar una necesidad verificable. No conviertas una excepción puntual en una política permanente sin revisión.
6. Valida el resultado. Revisa diferencias, pruebas, archivos tocados y conexiones realizadas antes de aceptar cambios.

Requisitos y diferencias por sistema operativo

GitHub documenta requisitos distintos. En macOS recomienda macOS 15 o posterior. En Linux exige bwrap 0.5.0 o superior y componentes adicionales para red saliente. En Windows requiere compilaciones recientes de Windows 11; las funciones disponibles varían con la versión. Si una capacidad solicitada no puede aplicarse, las versiones compatibles deben informar el requisito o fallar en vez de ejecutar con una política más débil.

Precaución: no basta con guardar la preferencia de sandbox. Confirma el estado efectivo en cada sesión y configura un comportamiento de fallo cerrado cuando la política empresarial lo requiera. En un host no compatible, la preferencia puede conservarse aunque los comandos no puedan ejecutarse aislados.

Qué límites conserva esta protección

El sandbox reduce el alcance de un comando no deseado; no garantiza que el código generado sea correcto ni que una operación autorizada sea segura. Tampoco inspecciona automáticamente la lógica de cada herramienta.

• Los servidores MCP remotos no se ejecutan dentro del sandbox local; su acceso depende de sus propias credenciales y políticas.
• Las herramientas de archivo integradas en CLI se ejecutan dentro del proceso principal y respetan la política mediante comprobaciones de software, no mediante el aislamiento del sistema operativo.
• El aislamiento local es más ligero que una máquina virtual o un contenedor completo.
• Modelo y herramientas son capas diferentes: cambiar el modelo no cambia la política del sandbox.
• La supervisión humana sigue siendo necesaria para publicar código, desplegar, borrar datos o cambiar infraestructura.

Aplicación práctica en equipos de desarrollo

Análisis. La mejora más útil es convertir el acceso del agente en una lista explícita y revisable. Un equipo puede definir una política de desarrollo local, otra para mantenimiento y una tercera para tareas que requieren push. Esto hace visibles permisos que antes se heredaban del usuario sin una frontera clara.

La política debe coordinarse con otros controles. La guía de GitCoders sobre Copilot en JetBrains explica la administración de modelos y el inicio de servidores MCP; el artículo sobre Cloudflare Skills por MCP muestra por qué cada integración necesita permisos propios. Para automatizaciones CI/CD, las protecciones de GitHub Actions separan quién puede iniciar un flujo de los privilegios que el flujo conserva.

Si la organización también está migrando modelos, no combine ambos cambios en una sola prueba. El retiro de modelos de Copilot del 19 de octubre afecta disponibilidad y comportamiento del modelo; el sandbox controla las herramientas que ejecutan acciones.

Hechos, análisis y recomendaciones

Hechos: GitHub declaró la función disponible de forma general; permite restringir archivos, red y credenciales; está desactivada por defecto; opera en Windows, macOS y Linux con requisitos diferentes; y las empresas pueden imponer políticas administradas.

Análisis: el valor principal es reducir el radio de impacto de comandos incorrectos o de herramientas demasiado permisivas. La protección es significativa, pero no equivale a aislamiento absoluto ni sustituye la revisión del código.

Recomendaciones: habilita el sandbox en un piloto, niega carpetas sensibles, limita destinos de red, entrega credenciales solo cuando la tarea lo exige, revisa excepciones y confirma el estado efectivo antes de cada sesión crítica.

Alcance internacional e incertidumbres

GitHub no anunció una restricción geográfica específica. La disponibilidad práctica depende del acceso a Copilot, la superficie utilizada, el sistema operativo, sus versiones y las políticas de la organización. La función local se incluye con el asiento de Copilot sin costo adicional; eso no implica que todos los productos o modelos estén disponibles en cada plan.

No se publicaron métricas independientes que permitan cuantificar cuánto reduce incidentes, errores o fugas. Tampoco debe inferirse que un sandbox evita toda exfiltración si la política permite red y credenciales amplias. El resultado depende de la configuración efectiva y del comportamiento de las herramientas.

Preguntas frecuentes

¿El sandbox local está activado automáticamente?

No. GitHub indica que está desactivado por defecto, salvo que una política empresarial administrada lo exija.

¿Puedo bloquear solo una carpeta sensible?

Sí. Las políticas admiten rutas de lectura, lectura/escritura y denegadas. Una denegación más específica conserva prioridad frente a un permiso más amplio.

¿El sandbox impide usar internet?

Puede bloquearlo o limitarlo, pero la configuración predeterminada y las capacidades varían según la superficie y el sistema operativo. Revise la política efectiva.

¿Protege también los servidores MCP?

Puede incluir servidores MCP locales cuando sean compatibles. Los servidores MCP remotos no se ejecutan dentro del sandbox local y necesitan controles propios.

¿Sustituye la revisión humana?

No. Limita accesos; no demuestra que una modificación sea correcta, necesaria o segura. Las acciones irreversibles deben conservar aprobación y revisión.

Fuentes y fecha de verificación

• GitHub Changelog: disponibilidad general del sandbox local, 7 de octubre de 2026.
• GitHub Docs: concepto, capacidades, requisitos y límites, consultado el 12 de octubre de 2026.
• GitHub Docs: configuración del sandbox local, consultado el 12 de octubre de 2026.
• OWASP AI Agent Security Cheat Sheet, consultado el 12 de octubre de 2026.

Información verificada el 12 de octubre de 2026 a las 03:11, America/Lima.