{"id":4572,"date":"2026-08-22T00:40:53","date_gmt":"2026-08-22T03:40:53","guid":{"rendered":"https:\/\/tucumandevelopers.com\/index.php\/2026\/08\/22\/topowatch-audita-el-attack-success-rate-de-tu-workspace-contra-inyeccion-indirecta\/"},"modified":"2026-08-22T00:40:53","modified_gmt":"2026-08-22T03:40:53","slug":"topowatch-audita-el-attack-success-rate-de-tu-workspace-contra-inyeccion-indirecta","status":"publish","type":"post","link":"https:\/\/tucumandevelopers.com\/index.php\/2026\/08\/22\/topowatch-audita-el-attack-success-rate-de-tu-workspace-contra-inyeccion-indirecta\/","title":{"rendered":"topowatch: audita el Attack Success Rate de tu workspace contra inyecci\u00f3n indirecta"},"content":{"rendered":"
\n
<\/header>\n
\n

Tu agente de c\u00f3digo lee tu workspace. Un archivo envenenado en cualquier rinc\u00f3n
puede llevar instrucciones que el agente ejecuta. \u00bfSabes qu\u00e9 fracci\u00f3n de tu
workspace tiene que leer para que eso ocurra? topowatch<\/code> mide eso.<\/p>\n

<\/a> El problema no es el prompt, es la topolog\u00eda <\/h2>\n

El paper Workspace Topology as an Attack Vector in Agentic Coding Assistants<\/em>
(arXiv:2608.14876, Day et al., 2026) demostr\u00f3 algo que intu\u00edamos pero no
med\u00edamos: la topolog\u00eda del workspace afecta mediblemente el Attack Success
Rate (ASR)<\/strong> de la inyecci\u00f3n indirecta. Los entornos altamente modulares
muestran ASR significativamente menor que los planos.<\/p>\n

La raz\u00f3n es mec\u00e1nica: si el agente acota su lectura al m\u00f3dulo de la tarea,
nunca llega al archivo envenenado. Si hace un wide read<\/em> de todo el workspace,
lo lee siempre.<\/p>\n

<\/a> Qu\u00e9 es topowatch <\/h2>\n

topowatch<\/code> es una herramienta de l\u00ednea de comandos que, dado un workspace,
mide el ASR de una inyecci\u00f3n indirecta de referencia bajo varias configuraciones
de topolog\u00eda, y reporta qu\u00e9 estructura minimiza el ASR.<\/p>\n

Fundamentado en arXiv:2608.14876. Determinista y reproducible sin claves ni red:
usa un agente sint\u00e9tico configurable y un fixture con tres topolog\u00edas (monolito,
modular, nesting profundo). <\/p>\n

\n
pip install<\/span> -e<\/span> \".[test]\"<\/span> topowatch --json<\/span> <\/code><\/pre>\n
\n<\/p><\/div>\n<\/p><\/div>\n
  <\/a> Resultados <\/h2>\n
Sobre el fixture de referencia (200 trials, semilla fija):<\/p>\n
\n\n\n\n\n\n\n\n
Topolog\u00eda<\/th>\nASR<\/th>\n% le\u00eddo<\/th>\n<\/tr>\n<\/thead>\n
Monolito (plano)<\/td>\n1.000<\/td>\n100%<\/td>\n<\/tr>\n
Modular (acotado)<\/td>\n0.000<\/td>\n28.5%<\/td>\n<\/tr>\n
Nesting profundo<\/td>\n0.000<\/td>\n66.6%<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n
El reporte incluye read_budget<\/code> (fracci\u00f3n del workspace que lee el agente) y el
 veredicto del defense contract: modular < monolito<\/code>.<\/p>\n
  <\/a> Honestidad sobre v0.1 <\/h2>\n
v0.1 usa un agente sint\u00e9tico<\/strong>, no un coding assistant real (Claude Code \/
 Codex). El claim “modularidad \u2192 ASR menor” est\u00e1 anclado al fixture reproducible,
 no a una medici\u00f3n contra un assistant real \u2014 eso es v0.2 (feature 002). El
 objetivo de v0.1 es darte una herramienta para medir y recomendar modularidad,
 no simular un ataque completo.<\/p>\n
  <\/a> Roadmap <\/h2>\n