Tus agentes de IA nunca tienen la clave del proveedor.

URL base http://127.0.0.1:8070/v1/agent/<agente>/proxy/<destino> · clave OWE_TOKEN_…

1. 1

   Token del agente

   401

   El agente envía su marcador en Authorization: Bearer. Si falta o no coincide, la petición acaba aquí.

2. 2

   Destinos permitidos

   403 egress_blocked

   El destino de la URL tiene que estar en los allowed_targets del agente.

3. 3

   Comprobación de SSRF

   403 ssrf_blocked

   El host del destino solo puede resolver a direcciones públicas.

4. 4

   Inspección del cuerpo

   403 injection_detected · data_leak_blocked

   Los detectores de inyección de prompt y los patrones de fuga de datos revisan el cuerpo, sin llamar a ningún modelo.

5. 5

   Clave desde OpenBao

   → proveedor

   La clave real se lee de KV v2 y se pone en la petición de salida; la respuesta vuelve al agente en streaming.

• Claves inyectadas desde OpenBao o Vault

  El agente lleva un marcador OWE_TOKEN_…. Tras las comprobaciones, la pasarela entra con AppRole, lee la clave de KV v2 (en caché 5 minutos) y la pone solo en la petición de salida.

• Destinos permitidos por agente

  Cada agente enumera en allowed_targets los destinos a los que puede llegar. Cualquier otro destino configurado recibe 403 egress_blocked antes de leer el cuerpo.

• Prevención de fugas de datos

  Con block_dlp, un cuerpo con un número de tarjeta válido por Luhn, una clave privada PEM, un identificador de clave de AWS, una clave sk- al estilo de OpenAI o un token de GitHub recibe 403 data_leak_blocked.

• Protección contra SSRF

  Loopback, RFC 1918, CGNAT, enlace local (169.254.169.254 incluida), multidifusión, rangos reservados y sus equivalentes IPv6 se rechazan con 403 ssrf_blocked.

• Sin seguir redirecciones

  Un 3xx del proveedor vuelve al agente tal cual, así que la clave inyectada nunca sigue una redirección hacia un host fuera de la lista.

• Cuerpos enteros o nada

  Las imágenes, audios y vídeos en base64 en línea (URI data: y los campos "data" de OpenAI, Gemini y Anthropic) no cuentan como texto inspeccionado. El resto debe caber en la ventana de 1 MiB o la petición recibe 413; nada se reenvía sin inspeccionar ni recortado. El cuerpo tiene un tope de 8 MiB.

1. 1

   Arranca el contenedor en loopback

   Dentro del contenedor la imagen escucha en 0.0.0.0:8070. Publícala solo en 127.0.0.1 o en una red privada.

   docker

   docker run -d --name openwaf-egress -p 127.0.0.1:8070:8070 \
     -v "$PWD/config.json:/app/config.json:ro" \
     ghcr.io/openwaf-dev/egress:0.1.1

2. 2

   Apunta el SDK a la pasarela

   Sirve cualquier SDK compatible con OpenAI: cambia la URL base y dale el token de marcador.

   agent.ts

   import OpenAI from "openai";
   
   const client = new OpenAI({
     baseURL: "http://127.0.0.1:8070/v1/agent/my-support-agent/proxy/openrouter",
     // placeholder; the real key never reaches the agent
     apiKey: "OWE_TOKEN_SUPPORT_AGENT",
   });

Después: el inicio rápido (el secreto en OpenBao, la configuración y una primera petición) y todos los campos de la configuración.