Also in English: rosmarops.com/blog/rosmarops-is-out/
Hace unos días conté que mi máquina sacó un 18 sobre 100. Hoy la herramienta que me dio esa nota es pública, para cualquiera con Windows.
RosmarOps lee la configuración de tus agentes de IA para programar y te enseña a qué llega cada uno: qué claves puede leer sin preguntarte, si puede sacarlas fuera y quién lo decide (tú, otro modelo de IA o nadie), y qué agentes pueden cambiar la configuración o las instrucciones de otro.
Qué trae
- Claude Code y Cursor, cada uno con su nota de exposición sobre 100. Cline, GitHub Copilot y Continue se detectan, pero todavía no tienen nota.
- Un informe visual en español o en inglés, en tres pasos: tu situación, qué hacer primero con el cambio exacto y qué queda.
- Claves guardadas en git, también en commits antiguos.
- Memoria entre ejecuciones: avisos nuevos, que siguen o que ya no se observan.
- Un texto que puedes pegar en tu propio agente para que te ayude a aplicar los cambios, preguntándote en cada paso.
Lo que no hace
Solo lee, solo escribe en sus propias carpetas y no tiene ningún código de red. Tampoco telemetría, ni siquiera voluntaria: no hay interruptor, porque no hay código que pueda enviar nada.
Esto me importa más que cualquier función. Un programa que lee la configuración de tus agentes y tus claves tiene, en cuanto a permisos, la misma forma que un malware. Así que lo único honesto es dejarte comprobar lo que hace.
Compruébalo antes de abrirlo
Cada versión trae su huella SHA-256, una atestación de GitHub y una compilación que cualquiera puede reproducir: cómo comprobarlo. El programa aún no está firmado con un certificado de firma de código, así que Windows SmartScreen puede avisarte la primera vez.
Sus límites
Lee la configuración en reposo. No ve lo que hace un agente mientras trabaja, ni los ajustes que solo viven dentro de la base de datos de una app o en los servidores del fabricante, ni lo que fijas solo en una sesión de terminal. El informe dice qué supone y lista lo que no pudo leer. Lo que no se leyó no cuenta como limpio.
Pruébalo
Descárgalo para Windows desde GitHub: descarga rosmarops.exe de la última versión y dale doble clic. Encuentra tus proyectos solo; si no encuentra ninguno, te pide que elijas la carpeta donde los guardas. El informe se abre en tu navegador al terminar (hasta 5 minutos), en el idioma de tu Windows, con un enlace al otro idioma.
Es gratis y de código abierto (AGPL-3.0), y el método entero de la nota es público.
Si lo ves hacer algo que no debe, sobre todo conectarse a la red o escribir fuera de sus carpetas, avísame en privado en GitHub: Security → Report a vulnerability. Y si el informe se equivoca con tu configuración, quiero saberlo.
Escrito con asistentes de IA. La máquina, los hallazgos y la decisión de publicar son míos.