Agente desatendido

Objetivo

Dejar a Claude Code ejecutando varias fases de trabajo mientras duermes y, por la mañana, tener un informe con evidencia de qué terminó, qué falló y qué solo tú puedes hacer.

Por qué

Un agente desatendido tiene dos problemas que uno atendido no tiene: nadie le contesta si pregunta, y nadie lo frena si se equivoca. La respuesta de esta guía a las dos cosas es estructural, no de confianza:

1. Reglas duras escritas antes (qué no hacer nunca), para que el agente no tenga que decidir en caliente.
2. Un archivo donde dejar lo que no puede hacer (NEEDS-OWNER.md), para que un bloqueo no detenga la noche: se anota, se salta a la siguiente tarea independiente y se sigue.

Pero hay una advertencia que esta página documenta con un caso real: las reglas escritas en un prompt solo valen lo que valga que el agente las cumpla. Aquí la sesión se lanzó con los permisos de Claude Code desactivados (--allow-dangerously-skip-permissions), así que nada técnico impedía romper una regla. Una la rompió, y lo declaró (ver “Qué salió mal”).

Contraste con el paso 08: el worker que corre en la Mac nunca usa ese flag y lleva una lista de herramientas permitidas. La sesión de Windows de esta noche sí lo usó; la seguridad dependió de las reglas y de la revisión posterior.

Pasos

1. Lanzar la sesión

En PowerShell, dentro del repo enjambre:

PS> claude --allow-dangerously-skip-permissions

(captura del entorno real: no se publica; ver docs/CAPTURAS.md para las del modo demo)

El primer mensaje (visible en la captura) le dijo, en resumen: que gh auth login ya estaba hecho en la Mac, que las Command Line Tools se estaban actualizando, que ejecutara el prompt prompts/00-overnight-run.md, que la Fase A ya estaba hecha (sesión 1), y que empezara en la Fase B y siguiera hasta terminar todas las fases sin preguntar nada.

2. Las reglas duras del prompt

El prompt fija, por encima de cualquier otra instrucción (paráfrasis):

• Nada de sudo en la Mac; no teclear, pedir ni guardar contraseñas.
• Ningún borrado (archivos, ramas, repos), ningún git push --force, ningún git reset --hard sobre algo que no se creó esa noche.
• Ningún repo público nuevo ni cambio de visibilidad; los repos nuevos, solo privados y solo donde una fase lo pide.
• No pushear: el kit público (claude-kit, retenido hasta probar en la Mac), el repo del sitio web (su main se despliega solo), ni ningún repo cuya ruta contenga una palabra restringida.
• gitleaks antes de cada push; con un hallazgo, no se pushea y se anota.
• No tocar procesos que el agente no lanzó; los trabajos largos remotos, dentro de tmux.
• Si ssh mac falla: probar una vez un ping al nombre .local de la Mac para hallar la IP nueva (ya había cambiado una vez, ver 04-red-y-dhcp.md); sin escanear la red.
• Si llega un límite de uso: escribir el estado en HANDOFF.md antes de parar.

3. El patrón NEEDS-OWNER

Todo lo que pide una contraseña, un clic de macOS, un login en navegador o una decisión del owner se anota en NEEDS-OWNER.md con exactamente qué clicar o correr, se salta, y se sigue con lo siguiente. En la mañana, el archivo es una lista ordenada de tareas humanas. Cada ítem trae qué pasa, por qué, y las opciones con su costo.

4. El informe de la mañana

MORNING-REPORT.md, corto y en español, con cuatro bloques: lo que terminó con evidencia (comando y resultado), lo que falló y por qué, los ítems NEEDS-OWNER en orden, y un plan para el día. Lo que terminó esa noche (todo del informe):

Que la auditoría termine en cero pushes es un resultado correcto, no un fallo: se aplicó la regla literal más las exclusiones del owner, y ningún repo quedó elegible.

ssh mac 'security show-keychain-info ~/Library/Keychains/login.keychain-db'
→ User interaction is not allowed.
ssh mac 'gh auth status'           → The token in default is invalid.
ssh mac 'claude -p "ok" ...'       → "Not logged in · Please run /login"

PS> ssh mac 'security show-keychain-info ~/Library/Keychains/login.keychain-db'