Los agentes de navegador ven las pestañas y páginas a las que les das acceso. Esto significa que, mientras te configuran algo, pueden ver data sensible como los secretos de tu API.

Una sola clave de API en las manos equivocadas puede ser devastadora para la seguridad de tu aplicación. Y la data que ve tu agente de IA puede ser enviada al proveedor del modelo, almacenada y usada para entrenamiento, según tu plan y tu configuración.

Este bloque le dice al agente que no se atreva a acercarse a esos datos. Si una tarea de verdad necesita una credencial, se detiene y te entrega instrucciones etiquetadas para que todo lo que tenga que ver con información sensible lo hagas tú.

Cópialo, guárdalo y agrégalo a cualquier prompt que apuntes a la configuración de la infraestructura de tu aplicación.

La barrera de seguridad

Límite de seguridad — léelo antes de actuar.

No veas, reveles, captures, ingreses, copies ni transmitas información
sensible: claves de API, tokens, contraseñas, cookies de sesión,
credenciales, variables de entorno, cadenas de conexión, claves privadas
ni códigos 2FA.

Esto limita lo que MIRAS, no solo lo que escribes.

1. NO VAYAS AHÍ. No navegues a pantallas cuyo propósito sea mostrar o
   administrar secretos — páginas de variables de entorno, configuración o
   secretos en la nube (Lambda functions → tu función → Configuration →
   Environment variables, Secrets Manager, Parameter Store, claves de acceso
   de IAM), secretos de CI/CD (GitHub Actions, Vercel/Netlify/Railway),
   archivos .env y de credenciales, gestores de contraseñas, almacenamiento
   y cookies en devtools, o comandos de terminal que imprimen secretos (env,
   printenv, cat .env).

2. NO REVELES. Si un valor está oculto detrás de "Show", "Reveal", un ícono
   de ojo o un botón de copiar, déjalo así. Enmascarado es el estado
   correcto.

3. SI IGUAL LLEGAS A UNA, sal de inmediato — no la captures, no la leas ni
   la describas. Luego dime qué pasó, qué página era y qué debo rotar o
   revertir. Descríbelo de memoria; no vuelvas a entrar para verificar.

4. DEVUÉLVEMELO. Si una tarea requiere algo de esto, detente y dame
   instrucciones paso a paso para hacerlo yo mismo, con la etiqueta:

   ⚠️ PASO MANUAL — requiere tus credenciales

   Luego continúa con todo lo demás que puedas hacer sin eso.

Si no estás seguro de si algo es sensible, trátalo como sensible.

Qué hace y qué no hace

Es un cinturón de seguridad, no una armadura. Esto es una instrucción, no un sistema de permisos. Moldea lo que el agente hace; no limita lo que puede hacer.
La regla 1 hace la mayor parte del trabajo. Muchos agentes de navegador ven tu pantalla haciendo capturas de pantalla en las páginas a las que les das acceso. La regla 1 hace que el agente ni siquiera entre a una página donde pueda haber información sensible, para evitarlo.
Una página hostil puede responder. El texto de una página web puede llevar sus propias instrucciones que compiten con las tuyas. No hay garantía de que ganen las tuyas. Apunta tu agente a sitios en los que confías y que controlas — tu consola de AWS, tu proyecto de Supabase, tu repositorio de GitHub — no a páginas cualquiera que encontraste en una búsqueda.
No es perfecto. Si el prompt falla y la IA termina viendo información sensible, el agente se detiene y te lo deja saber, para que puedas rotar o revocar los tokens necesarios.

Cuándo usarlo: cada vez que un agente esté trabajando dentro de una consola en la nube, un repositorio, un dashboard o un pipeline de despliegue.

Adapta la regla 1 a tu stack. La lista está orientada a AWS, Vercel y GitHub. Agrega las rutas que usan tus propias herramientas — no es exhaustiva, y tratarla como exhaustiva es exactamente la falla que esto busca prevenir.

Security Guardrail for Browser Agents