Índice de contenidos
Claves de la noticia
- Visual Studio Code 1.141 llega con aislamiento para los agentes de Copilot en Windows, macOS y Linux.
- En Agent Host, la antigua política ChatAgentSandboxEnabled pasa a aportar un valor que puede cambiarse; Microsoft remite a ajustes gestionados para exigir el aislamiento.
- La documentación permite comprobar la política efectiva y aclara que activar el aislamiento no bloquea por defecto las conexiones salientes.
Microsoft ha publicado Visual Studio Code 1.141 este 7 de octubre. La novedad decisiva para los equipos que delegan comandos en agentes de IA está en cómo se gobierna su acceso al ordenador: disponer de aislamiento y obligar a utilizarlo son decisiones distintas. Las notas oficiales documentan una migración que merece revisarse antes de extender el nuevo entorno a una empresa.
Una política antigua deja de ser una obligación en Agent Host
La versión incorpora mejoras para trabajar con varias sesiones, recuperar espacio de sus copias de trabajo y conectar cuentas de GitHub Enterprise. Este artículo se centra en el cambio de seguridad porque afecta a una pregunta concreta: ¿puede el usuario modificar una protección que el administrador cree haber impuesto?
Las notas indican que las políticas anteriores de aislamiento quedan obsoletas para Agent Host. ChatAgentSandboxEnabled proporciona ahora un valor predeterminado modificable, en lugar de una exigencia obligatoria en ese entorno. El comportamiento local anterior se mantiene. Por tanto, la migración no debe interpretarse como si todos los modos de ejecución compartieran automáticamente la misma política.
Para exigir el aislamiento e impedir que se eluda, Microsoft presenta ajustes gestionados de Copilot con dos propiedades: sandbox.enabled en true y sandbox.allowBypass en false. La aplicación empresarial de estos controles figura en previsualización. Conviene conservar esa distinción al valorar su despliegue: la edición estable del programa puede incluir funciones que todavía no tienen ese mismo grado de madurez.
Conservar el nombre de una política antigua no acredita que siga imponiendo la misma restricción al cambiar de entorno de agentes. Esa es la consecuencia que surge al comparar la descripción de la política heredada con los nuevos valores gestionados. El inventario empresarial debe identificar el entorno que ejecuta los comandos, además de la versión del editor.
La red y los archivos requieren controles separados
La guía de aislamiento de Agent Host explica que la protección limita recursos del sistema de archivos y de red para las operaciones compatibles. No constituye una máquina virtual ni separa al agente en otra cuenta de usuario. Las aprobaciones, por su parte, deciden si una acción puede ejecutarse automáticamente o necesita confirmación.
Esta separación evita una falsa equivalencia práctica. Autorizar un comando no le concede por sí mismo acceso a cualquier archivo; activar una restricción tampoco decide si el usuario debe aprobarlo. Son preguntas complementarias. El predominio de la confianza condicionada en IA entre desarrolladores ayuda a entender por qué revisar y delimitar acciones importa tanto como elegir un modelo.
Los valores documentados permiten localizar tres decisiones que no deberían quedar ocultas bajo una sola casilla:
| Control | Valor inicial | Consecuencia |
|---|---|---|
| chat.agent.sandbox.enabled | off | El aislamiento requiere activación. |
| chat.agent.sandbox.network.allowNetwork | true | Las salidas de red siguen permitidas, sujetas a las restricciones de destinos configuradas. |
| chat.agent.sandbox.allowUnsandboxedCommands | true | Se permiten solicitudes para ejecutar fuera del aislamiento tras confirmación. |
La conclusión de esta comparación es concreta: activar el aislamiento no equivale a impedir que un proceso contacte con internet. Un equipo que necesite restringir destinos debe configurar la red por separado. Tampoco basta con revisar la carpeta del proyecto: la guía documenta concesiones para herramientas, configuración y cachés de desarrollo, y ofrece opciones para reducirlas.
Ese control de ejecución resuelve un problema distinto al de comprobar que el código producido funciona. La experiencia de Headstart con compilaciones de Rust y un fallo pendiente ilustra por qué la validación del resultado sigue siendo necesaria aunque el proceso tenga límites de acceso.
La protección se comprueba donde corre el agente
Agent Host puede ejecutarse en el ordenador del usuario o en una máquina remota. Microsoft explica esta arquitectura en un artículo del 26 de agosto: las sesiones pertenecen a un proceso dedicado y pueden observarse desde varios clientes. La ventana desde la que se conversa deja así de identificar necesariamente dónde se realiza el trabajo.
El canal oficial ofrece este vídeo de contexto sobre sesiones y acceso remoto, publicado el 20 de agosto. Su descripción sitúa la explicación del acceso web remoto en 02:07. Es un antecedente de la arquitectura, no una demostración de las nuevas restricciones de 1.141.
La guía indica que las rutas, dependencias y ajustes se resuelven en la máquina de ejecución. En Linux y WSL2 requiere bubblewrap y socat; WSL1 no está admitido. En Windows exige la actualización de seguridad correspondiente de septiembre de 2026 y mantiene el soporte en estado experimental. No debe darse por comprobada una sesión remota revisando únicamente el ordenador cliente.
El comando /sandbox policy genera un informe de la política efectiva de la sesión: identifica la máquina, la implementación y los permisos. También funciona con el aislamiento apagado, indicando que las restricciones no están activas. No cambia la configuración. Para comprobar los valores de nuevas sesiones, la documentación recomienda iniciar una nueva antes de obtener el informe.
Una migración verificable para los equipos
La guía empresarial de GitHub permite distribuir ajustes desde un repositorio designado y comprobar tanto errores de configuración como su recepción en clientes compatibles. Advierte que no todas las propiedades tienen cobertura idéntica en todos los clientes. Guardar un archivo central es el inicio de la gestión, no la prueba final de que una sesión concreta cumple sus reglas.
La comprobación útil tras actualizar consiste en relacionar tres evidencias: qué entorno de agentes se usa, qué política gestionada recibe y qué permisos muestra la sesión en su máquina de ejecución. Si una empresa necesita aislamiento obligatorio, ese recorrido permite detectar una política heredada que solo aporta un valor modificable. Actualizar el editor sin verificar esos tres puntos deja sin resolver precisamente la condición que se quería imponer.
