Autark: la empresa de agentes de IA que trabaja sola en tu PC y sin sandbox

Autark se presenta como «tu propia empresa de IA». No es solo una metáfora: al abrir la aplicación hay un gerente, varios agentes especialistas y una secretaria, cada uno con su chat, y una bandeja de entrada común donde el usuario escribe o dicta una tarea. El gerente decide quién la hace, la divide si hace falta y los agentes se pasan trabajo entre ellos. Al final queda un registro de lo ocurrido y, por la mañana, un resumen de lo que se hizo mientras el usuario dormía.

El proyecto lo firma Teydra Lab, una empresa austriaca fundada por Stanislaus Hees. La aplicación es gratuita, no requiere cuenta y su código está publicado con licencia Apache 2.0 en GitHub. Hay versiones para Windows, macOS, Linux y Android; en iPhone se usa como aplicación web servida desde el propio PC. En el momento de escribir estas líneas, la web del proyecto muestra la versión 0.3.5.

Cómo funciona

La unidad básica no es la conversación, sino la tarea. El usuario escribe en una bandeja común y el gerente puede convertir una frase larga en varias tareas con responsable. Los agentes se despiertan por horario, temporizador, mensaje, tarea o evento, incluso con la ventana cerrada, y pueden planificar sus propios seguimientos. También abren aplicaciones, navegan, leen archivos y escriben; cada paso queda en un diario que el usuario puede revisar. «My Day» reúne las tareas propias y el calendario, y el resumen de la mañana separa lo hecho de lo que necesita una decisión humana.

El sistema es agnóstico respecto al modelo. Los agentes pueden trabajar con un plan de ChatGPT a través de OpenAI Codex, con un plan de Claude mediante Claude Code, con claves de API o con modelos locales en Ollama, LM Studio, llama.cpp o vLLM. También hay soporte para Gemini CLI, Copilot CLI y Kimi Code a través del Agent Client Protocol. La propia web avisa de que esos tres últimos están construidos pero no se han visto en una ejecución real, y de que las claves de API y los modelos locales tampoco tienen todavía una prueba registrada. Es una advertencia de transparencia poco habitual y conviene tenerla en cuenta antes de confiarles trabajo crítico.

La filosofía es local-first. No hay cuenta ni nube propia: chats, tareas, memoria, agentes y catálogo de secretos viven en una carpeta del disco. Los prompts viajan a los proveedores que el usuario conecta, y el servidor de encuentro de Teydra Lab solo ayuda a que los dispositivos se localicen, con tráfico cifrado de extremo a extremo. Ajustes, habilidades y memoria son archivos de texto que la propia IA puede editar, de modo que puede añadir un proveedor, escribir una skill o conectar una aplicación sin esperar una actualización.

El precio de la autonomía: sin sandbox ni aprobaciones

La página de acceso de Autark es explícita: los agentes se ejecutan con los derechos del usuario, sin sandbox ni solicitudes de aprobación. No hay un guardián ni un límite de gasto en la aplicación; el texto es lo que los orienta. La primera pregunta que hace el sistema es hasta dónde puede llegar, pero esa pregunta es una guía, no una barrera técnica. Una vez respondida, el agente tiene acceso completo desde el principio.

Ese diseño es deliberado. El producto promete trabajo sin estar pendiente de confirmar cada paso, y eso exige que los agentes puedan actuar. Pero traslada la frontera de seguridad al criterio del usuario y a los permisos de su cuenta. Un agente hereda todo lo que el usuario puede alcanzar: sesiones del navegador, consolas de nube, repositorios, claves SSH, gestores de contraseñas y recursos compartidos de red. Si el modelo se equivoca o una página maliciosa logra inyectar instrucciones, el error se ejecuta con esos mismos privilegios.

Hay controles parciales. Los secretos se cifran con la protección del sistema operativo, se referencian con identificadores como secret://github y se enmascaran en la salida de las herramientas. Autark hace copias de la carpeta de datos y de la base de datos antes de cada actualización, pero esas copias no deshacen lo que un agente haya hecho fuera de la aplicación. El botón «Stop all agent work», o la combinación Ctrl Alt Shift X, detiene a todos los agentes y mantiene la parada tras reiniciar. Es un freno útil, no una política de seguridad.

Lo que mostraron las pruebas publicadas

La revisión de The Register, publicada el mismo 10 de noviembre, describió algo que muchos usuarios descubrirán por su cuenta: en pocos minutos, los agentes llegaron a repositorios, copias de seguridad, claves SSH y archivos .env. En una de las pruebas, un agente cambió los permisos de un archivo. Hees declaró a ese medio que la herramienta no es adecuada para el acceso desatendido a sistemas sensibles. Son pruebas sobre una configuración normal, no un ejercicio de laboratorio, y precisamente por eso ilustran la postura por defecto.

El riesgo no requiere un fallo de memoria ni un exploit remoto. Basta con que un agente lea un correo, una página o un servidor MCP manipulado y reciba instrucciones que parezcan parte de la tarea. Sin una puerta de aprobación, la diferencia entre «leer un archivo» y «enviarlo» depende del criterio del modelo y de la redacción del prompt. La pregunta inicial sobre los límites ayuda a alinear expectativas, pero no impide nada.

¿Para quién tiene sentido?

Autark no es una herramienta para producción, para una máquina compartida ni para una cuenta con privilegios amplios. Tiene más sentido en un equipo aislado, una máquina virtual, un portátil de repuesto o una cuenta de usuario creada para la ocasión, con credenciales de prueba y copias de seguridad. Si el agente necesita correo, conviene darle una cuenta dedicada; si necesita código, un clon separado; si necesita navegar, un perfil sin sesiones personales. La segmentación de red y la revisión del diario de ejecución completan lo básico.

También hay que contar con la juventud del proyecto. Los instaladores no están firmados con un certificado de editor de pago: Windows SmartScreen pide confirmación, macOS abre la aplicación con firma ad hoc y sin notarización de Apple, y Linux necesita FUSE 2, un sandbox de Chromium funcional y un llavero del sistema. Son pasos habituales en software libre joven, pero añaden fricción y una superficie de confianza que el usuario debe aceptar.

Quién está detrás

Teydra Lab es una empresa austriaca y Hees aparece en la web como fundador e ingeniero de software. El proyecto recibió el premio de la categoría de startups en el Beyond Optimization Crowd in Motion Challenge del 16.º Austrian Innovation Forum de 2026. En una entrevista con The Register, el fundador dijo tener 14 años y seguir en el colegio; la web oficial no publica su edad. La edad explica parte de la atención mediática, pero no cambia la pregunta importante, que es qué puede hacer el software con los permisos que se le dan.

Una autonomía que hay que confinar

Autark es una muestra creíble de hacia dónde van los agentes: de responder preguntas a asumir tareas, despertar solos y coordinar un equipo. Su apuesta por los planes que el usuario ya paga y por los archivos abiertos es atractiva, y el código público permite comprobar las promesas. Pero la ausencia de sandbox no es un detalle de configuración: es la característica central de su modelo de confianza.

La pregunta útil no es si Autark puede trabajar solo, sino a qué puede llegar cuando lo hace. Sin sandbox, la respuesta es «a todo lo que puede llegar el usuario». Quien lo pruebe debería construir primero el límite que la aplicación no pone: una máquina, una cuenta y unos datos que no importe perder.