HAWK

Tu agente ejecuta.
Tu HAWK revisa.

Hardware Autonomous Watcher & Keeper. Un equipo dedicado, como una Raspberry Pi, revisa cada acción de tus agentes de IA antes de que se ejecute. Ante una acción crítica, la niega y, con un router OpenWrt o MikroTik, aísla la máquina.

Cómo instalarlo Descargas
Raspberry Pi vista desde arriba, con las piezas que usa HAWK: el procesador decide, la radio lo anuncia en tu red, el puerto Ethernet habla con el firewall y la microSD guarda el registro. Radio Se anuncia en tu red. Procesador Decide cada acción del agente. Ethernet Le pide al firewall que aísle la máquina. microSD Guarda el registro, encadenado y firmado.
  • ProcesadorDecide cada acción del agente.
  • RadioSe anuncia en tu red.
  • EthernetLe pide al firewall que aísle la máquina.
  • microSDGuarda el registro, encadenado y firmado.

Qué hace.

Los filtros de los modelos revisan lo que el modelo dice. HAWK controla lo que el agente hace con sus herramientas.

  • Fuera del alcance del agente.

    Un agente tiene los mismos permisos que tú, y un monitor en la misma computadora se puede apagar. HAWK corre en otro equipo.

  • Niega y aísla.

    Cada herramienta se consulta antes de ejecutarse. Ante una acción crítica, HAWK la niega y le pide al router, OpenWrt o MikroTik, que saque la máquina de la red.

  • Un registro que el agente no puede reescribir.

    Cada decisión queda encadenada y firmada con Ed25519 y ML-DSA-65. La app verifica las firmas contra la identidad guardada al emparejar.

  • Funciona sin internet.

    HAWK, las computadoras y el teléfono se comunican por QUIC cifrado dentro de tu red. La nube es opcional.

Cabe en una mano.

Hoy HAWK corre en una Raspberry Pi 4 conectada a tu red, o en otro equipo dedicado con Linux de 64 bits, nunca en una de las máquinas que vigila. Lo que viene pide un equipo capaz de ejecutar un modelo pequeño: ver próximos pasos.

Cargando el modelo
Arrastra para girar. Pellizca o usa la rueda para acercar.

Modelo propio de una Raspberry Pi 4, hecho en código con las medidas del plano público. Ábrelo a pantalla completa.

Tu teléfono manda.

La app HAWK encuentra la placa en tu red, la activa contigo y verifica cada firma del registro.

  • ActivarCompara la huella de la placa y empareja con seis dígitos que ven los dos lados.
  • IdentificarToca un equipo y su pantalla avisa. Así encuentras una máquina entre decenas.
  • VerificarCada firma se compara con la identidad guardada al emparejar. Una placa cambiada no pasa.

Cómo se conecta.

Tres equipos y tu router. Se encuentran solos en la red local; si tu red bloquea el descubrimiento, escribes la dirección de HAWK una vez en la app.

Tu computadora le consulta a HAWK por QUIC. Tu teléfono controla HAWK por QUIC. Si algo es crítico, HAWK le pide al router que aísle la computadora. QUIC cifrado QUIC cifrado aislar Tu computadora El agente y un programa que le pasa cada acción. HAWK Raspberry Pi. Decide, registra y aísla. Tu teléfono Activas, identificas y verificas el registro. Tu router OpenWrt o MikroTik.
  • Tu computadoraEl agente y un programa que le pasa cada acción a HAWK.
  • HAWKRaspberry Pi. Decide, registra y aísla.
  • Tu teléfonoActivas, identificas y verificas el registro.
  • Tu routerOpenWrt o MikroTik. Corta la red cuando HAWK lo pide.

Una copia fuera de la placa.

Opcional. HAWK puede copiar su registro a cualquier almacenamiento compatible con S3 que tenga Object Lock: AWS S3, RustFS u otro.

  • Cifrado antes de salir.

    Cada lote viaja con el contenido de sus eventos sellado con la llave de tu teléfono. El almacenamiento guarda datos que no puede leer.

  • Nadie lo puede borrar.

    Object Lock en modo compliance: durante la retención, nadie borra ni sobrescribe un lote, ni siquiera la cuenta dueña del almacenamiento.

  • Comprobable contra la firma.

    Cada cabecera firmada lleva la raíz Merkle de su lote, así que un lote archivado se puede comprobar contra lo que HAWK firmó.

  • Sin depender de la nube.

    Si el almacenamiento no responde, HAWK sigue decidiendo y guardando en el equipo. La copia se retoma después.

Instalación.

Cuatro pasos: la placa, la app, cada computadora y la aprobación. Todo queda dentro de tu red.

Necesitas
  • Un equipo dedicado con Linux de 64 bits, conectado por cable a tu router: una Raspberry Pi 4 de 2 GB o más con Raspberry Pi OS de 64 bits, u otro equipo que no sea una de las máquinas vigiladas.
  • Tu teléfono Android, o la app de escritorio para Windows, macOS o Linux.
  • Las computadoras donde trabajan tus agentes (Linux, macOS o Windows), en la misma red.
  • Opcional: un router OpenWrt o MikroTik, para aislar máquinas.

  1. Instala HAWK en la Raspberry Pi o en el equipo que elijas

    Descarga el Core y arráncalo. Muestra su huella al arrancar, se anuncia en la red y niega todo hasta que lo actives. En un equipo x86_64, usa el archivo x86_64-linux de Descargas.

    $ curl -fsSLO \
    https://hawkeeper.xyz/downloads/v0.1.1/hawk-core-0.1.1-aarch64-linux.tar.gz
$ tar -xzf hawk-core-0.1.1-aarch64-linux.tar.gz
$ ./hawk-core-0.1.1-aarch64-linux/guardian

  2. Actívala desde la app

    Instala la app desde Descargas. La app encuentra HAWK; compara la huella con la que mostró el Core al arrancar y empareja con el código de seis dígitos que ven los dos lados.

  3. Instala el programa en cada computadora

    En Linux y macOS, un comando. Instala el programa que consulta a HAWK y el plugin de OpenCode. En Windows, descarga el .zip desde Descargas y corre host-daemon.exe.

    $ curl -fsSL https://hawkeeper.xyz/install.sh | sh

    Puedes leer el instalador antes de correrlo: install.sh. Comprueba cada descarga contra SHA256SUMS.

  4. Aprueba cada computadora

    En la app, en Equipos, aparece la computadora con su huella. Compárala con la que muestra el programa al arrancar y toca Aprobar. Desde ese momento, cada acción del agente pasa primero por HAWK.

Para aislar máquinas, configura tu router OpenWrt o MikroTik en la app, en Ajustes. Todas las descargas

Próximos pasos.

Más espacio de arquitectura en el mismo equipo. Lo que sigue no está construido todavía.

  • Un modelo local para lo ambiguo.

    Las reglas deciden lo claro. Un modelo pequeño de la clase Granite 4, de unos 800 millones de parámetros, corriendo en el propio equipo HAWK, ayudará a clasificar lo que las reglas no resuelven. El equipo recomendado será el que pueda ejecutarlo.

  • La identidad de cada computadora, en su TPM.

    La llave del programa de cada computadora sellada en su chip de seguridad, para que una máquina clonada no pueda hacerse pasar por otra.

  • Configuración para equipos.

    Una configuración firmada que publica tu pipeline y HAWK aplica sola, siempre como el siguiente eslabón de su cadena, sin vuelta atrás.

Preguntas.

Lo esencial antes de instalarlo.

¿Qué pasa si HAWK se apaga o no responde?
La acción no se ejecuta. Ante un error, un tiempo agotado o un HAWK sin emparejar, la respuesta es negar.
¿Qué agentes soporta?
Hoy, OpenCode, con un plugin pequeño que le pregunta a HAWK antes de cada herramienta.
¿Qué detecta hoy?
Un catálogo de reglas: borrar historial o registros, leer o enviar secretos, apagar el monitor o su plugin, shells inversas, ofuscación y escrituras fuera del proyecto. Ante un force push o un borrado recursivo, te pregunta. Lo que ninguna regla reconoce se permite y queda registrado.
¿Puedo ajustar cuándo me pregunta?
Sí. En la app, en Ajustes, eliges desde qué severidad te pregunta y desde cuál niega. Una acción crítica siempre se niega y aísla la máquina; una alta, como mínimo, te pregunta. El cambio queda firmado y registrado.
¿Necesito una Raspberry Pi?
No. Hoy sirve cualquier equipo dedicado con Linux de 64 bits, ARM o x86_64, que no sea una de las máquinas vigiladas. Los próximos pasos suman un modelo local, y para eso hará falta un equipo capaz de ejecutar un modelo de la clase Granite 4, de unos 800 millones de parámetros.
¿Qué router necesito?
OpenWrt o MikroTik para aislar máquinas. Sin router compatible, HAWK sigue revisando y registrando, y el aislamiento corre en modo de prueba.
¿Puede el agente borrar el registro?
No. El registro vive en la placa, encadenado y firmado. Si alguien cambia una sola decisión, tu teléfono lo detecta al verificar las firmas.
¿HAWK puede leer mi código?
HAWK ve las llamadas a herramientas que tiene que decidir. Lo que guarda en el registro queda sellado con una llave que solo tiene tu teléfono: la placa lo escribe, pero no lo puede leer.
¿Necesita internet?
No. Todo ocurre dentro de tu red. Archivar el registro en la nube es una opción, no un requisito.