vipcode 0.2.0 → 0.2.1

package/LICENSE

@@ -1,6 +1,6 @@
 MIT License
 
-Copyright (c) 2026 Pablo Vicente
+Copyright (c) 2026 Pablo Vicente Juan
 
 Permission is hereby granted, free of charge, to any person obtaining a copy
 of this software and associated documentation files (the "Software"), to deal

package/README.en.md

@@ -43,6 +43,10 @@ vipcode update                         # update vipcode
 
 Inside the UI: Enter sends, Tab switches between the `build` and `plan` agents, Ctrl+P opens the command palette, `@path` attaches files, `!command` runs a shell command, Esc interrupts and `/help` lists everything.
 
+## Security
+
+vipcode asks before editing files, running commands, going online or using MCP tools; only a few read-only commands (`git status`, `git diff`, `git log`, `git show`, `ls`, `pwd`) are auto-approved, and never when they chain another command, write to a file or use `$(…)`. A project's own vipcode configuration (MCP servers, providers, permissions, agents with permissions, commands that run shell) is ignored until you trust the folder: vipcode shows what it would change and asks (`vipcode trust` / `vipcode untrust`). Tools can't leave the project folder, not even through symlinks; vipcode can't read or change its own data folder (`~/.vipcode`: keys, config, trusted folders) nor modify its own installation, and commands that mention them always ask. Terminal escape sequences from the model or tools are stripped. To report a vulnerability, see [SECURITY.md](SECURITY.md).
+
 ## Privacy
 
 Free plans have fine print: anonymous providers and several free tiers may store what you send or use it for training. The first time vipcode is about to use a provider that needs no key, it tells you and lets you continue, add a key first or never use them (`"keyless": false`). Don't send secrets or confidential code; for that, use a local model with Ollama or LM Studio. vipcode itself sends no telemetry; it only checks npm and GitHub once a day for a new version (`"checkUpdates": false` turns it off).
@@ -53,4 +57,4 @@ vipcode does not ship LLM Stats data, because their terms don't allow redistribu
 
 ## License
 
-[MIT](LICENSE). The full documentation (in Spanish) is in [README.md](README.md).
+[MIT](LICENSE) © Pablo Vicente Juan. The full documentation (in Spanish) is in [README.md](README.md).

package/README.md

@@ -5,11 +5,12 @@
 Agente de programación para la terminal (comando `vipcode`), al estilo de opencode, que solo usa **modelos gratuitos** y **rota automáticamente** entre proveedores cuando uno se agota.
 
 - **Funciona nada más instalarlo, sin claves ni registro**: usa los proveedores que permiten el acceso anónimo (Kilo Gateway, OVHcloud, LLM7 y Pollinations).
-- Si quieres más límites y mejores modelos, añade claves gratuitas de los más de 20 proveedores incluidos (Gemini, NVIDIA, Mistral, Cerebras, OpenRouter, Groq, Z.ai…). Los modelos gratis nuevos se descubren solos.
+- Si quieres más límites y mejores modelos, añade claves gratuitas de los más de 20 proveedores incluidos (Gemini, NVIDIA, Mistral, Cerebras, OpenRouter, Groq, Z.ai…); con OpenRouter basta con iniciar sesión en el navegador. Los modelos gratis nuevos se descubren solos.
 - Con una clave gratis de [LLM Stats](https://llm-stats.com), **usa primero los mejores modelos** según su ranking.
-- Interfaz en la terminal con Markdown y código coloreado, diffs, diálogos de permiso, autocompletado de `@ficheros` y `/comandos`, historial y barra de estado.
-- Herramientas: leer, escribir y editar ficheros, `list_dir`, `glob`, `grep`, `bash`, `webfetch`, `websearch`, lista de tareas, subagentes, diagnósticos LSP y herramientas MCP.
-- `/undo` y `/redo` con instantáneas de git (deshacen también lo que haya cambiado `bash`), sesiones guardadas, resumen automático del contexto, imágenes, agentes y comandos propios.
+- Interfaz en la terminal con Markdown y código coloreado, diffs, diálogos de permiso, autocompletado de `@ficheros` y `/comandos`, paleta de comandos (Ctrl+P), `!comandos`, historial y barra de estado.
+- Herramientas: leer, escribir y editar ficheros, `list_dir`, `glob`, `grep`, `bash`, `webfetch`, `websearch`, lista de tareas, subagentes, diagnósticos LSP, herramientas MCP y [skills](#skills).
+- `/undo` y `/redo` con instantáneas de git (deshacen también lo que haya cambiado `bash`), sesiones guardadas, resumen automático del contexto, imágenes, agentes y comandos propios, y `/update` para actualizarlo.
+- **Seguro por defecto**: pregunta antes de editar, ejecutar o salir a internet, no sale de la carpeta del proyecto y no usa la configuración que traiga un proyecto hasta que confías en él (ver [Seguridad](#seguridad)).
 
 ## Instalación
 
@@ -107,6 +108,7 @@ vipcode run "tarea" --yolo   # hace la tarea sin interfaz y termina
 vipcode --plan               # empieza en modo solo lectura
 vipcode run "/review"        # también acepta comandos y skills: vipcode run "/mi-skill tarea"
 vipcode update               # actualiza vipcode
+vipcode trust                # confiar en la configuración que trae esta carpeta (vipcode untrust lo deshace)
 ```
 
 ### Actualizar
@@ -198,7 +200,7 @@ Una vez al día (o con `/models refresh`, o `vipcode models refresh` desde la te
 ## Configuración
 
 - Global: `~/.vipcode/config.json` (se crea la primera vez).
-- Por proyecto: `vipcode.json` o `.vipcode/config.json` en la carpeta del proyecto (se mezcla con la global).
+- Por proyecto: `vipcode.json` o `.vipcode/config.json` en la carpeta del proyecto (se mezcla con la global). Solo se usa si confías en la carpeta: ver [Seguridad](#seguridad).
 
 ```json
 {
@@ -250,7 +252,7 @@ Una vez al día (o con `/models refresh`, o `vipcode models refresh` desde la te
 - **ranking**: `enabled: false` vuelve al orden del catálogo; `metric: "general"` ordena por el índice general de LLM Stats en vez de por programación; `anonymousLast: true` pone los anónimos (sin clave) detrás de los que tienen clave aunque tengan mejor nota.
 - **providers**: si el nombre coincide con uno del catálogo, solo cambia lo que pongas (los modelos se añaden o se sobrescriben por id; con `"replaceModels": true` se usan solo los tuyos). Si es nuevo, es un proveedor propio compatible con la API de OpenAI y va el primero en la rotación. Admite `apiKeyEnv`, `apiKey`, `headers`, `noKey`, `discover: "openai"` para descubrir sus modelos, y en cada modelo `context`, `vision` y `disabled`.
 - **order**: patrones `proveedor/modelo` que van primero. **model**: modelo fijado al arrancar.
-- **permission**: `allow`, `ask` o `deny`. En `bash` y `mcp` gana el patrón más concreto, y los comandos encadenados (`&&`, `|`, `;`) se comprueban por separado. Las reglas `deny` se respetan incluso con `--yolo`.
+- **permission**: `allow`, `ask` o `deny`. En `bash` y `mcp` gana el patrón más concreto, y los comandos encadenados (`&&`, `&`, `|`, `;`, saltos de línea) se comprueban por separado. Aunque un comando esté permitido, se pregunta siempre si escribe en un fichero (`>`, `--output`) o lleva `$(…)` o comillas invertidas. Las reglas `deny` se respetan incluso con `--yolo`.
 - **mcp**: servidores locales (`command`) o remotos (`url`, con HTTP o SSE). Sus herramientas aparecen como `servidor_herramienta`. En modo plan solo se usan las marcadas como de solo lectura.
 - **lsp**: `false` desactiva los diagnósticos; `"id": false` desactiva un servidor concreto.
 
@@ -287,6 +289,8 @@ Arréglalos. Céntrate en $ARGUMENTS.
 
 `$ARGUMENTS` es todo lo que escribes detrás del comando, `$1`…`$9` cada palabra (respetando comillas), y `` !`comando` `` se sustituye por su salida. Con `subtask: true` el comando se ejecuta como subagente y no llena la conversación.
 
+Los agentes y comandos que traiga un proyecto se cargan siempre, pero hasta que confías en la carpeta un agente del proyecto no puede cambiar sus permisos (`permission`, `readOnly`) y los `` !`comando` `` de sus comandos no se ejecutan.
+
 ### Skills
 
 Una skill es una carpeta con un `SKILL.md`: instrucciones (y, si hace falta, scripts y documentos) para un tipo de tarea concreto, como rellenar PDF, seguir la guía de estilo de la empresa o preparar un informe. Es el formato abierto [Agent Skills](https://agentskills.io), el mismo que usan Claude Code y opencode, así que las que encuentres para ellos también sirven aquí.
@@ -335,6 +339,19 @@ vipcode lee `AGENTS.md` (o `CLAUDE.md`, o `.vipcode.md`) de la raíz del proyect
 
 Después de cada edición, vipcode pregunta al servidor de lenguaje si hay errores y se los pasa al modelo. Para TypeScript y JavaScript no hace falta instalar nada: usa el servidor que trae TypeScript 7. Para otros lenguajes usa el servidor si lo tienes instalado: pyright o basedpyright, pylsp, gopls, rust-analyzer, clangd, intelephense o phpactor, ruby-lsp, bash-language-server, yaml-language-server, los de VS Code para CSS, HTML y JSON, lua-language-server, zls, dart, csharp-ls, sourcekit-lsp, kotlin-language-server y svelte.
 
+## Seguridad
+
+vipcode ejecuta lo que le pide un modelo de IA, así que está hecho para que nada importante pase sin que lo veas:
+
+- **Permisos.** Antes de editar un fichero, ejecutar un comando, salir a internet o usar una herramienta MCP, pregunta enseñando el diff o el comando. De serie solo se aprueban solos unos pocos comandos que no cambian nada (`git status`, `git diff`, `git log`, `git show`, `ls`, `pwd`), y ni siquiera esos si llevan otro comando detrás (`&`, `;`, `&&`, `|`), escriben en un fichero (`>`, `--output`) o llevan `$(…)`. Con `--yolo` o `/yolo` se aprueba todo menos lo que tengas en `deny`: úsalo solo en carpetas sin nada que perder.
+- **Carpetas en las que confías.** Un proyecto puede traer su propia configuración de vipcode (`vipcode.json`, `.vipcode/config.json`, agentes con permisos propios, comandos con `` !`órdenes` ``). Como eso podría arrancar programas, mandar tus claves a otro servidor o quitar las preguntas de permiso, vipcode no lo usa hasta que confías en la carpeta. Al abrirlo te enseña qué cambiaría y te pregunta; con `vipcode run` solo avisa. Si la configuración cambia después (por ejemplo tras un `git pull`), vuelve a preguntar. `vipcode trust` y `vipcode untrust` lo cambian a mano.
+- **Ficheros.** Las herramientas solo leen y escriben dentro de la carpeta del proyecto. Un enlace simbólico que lleve fuera (por ejemplo a `~/.ssh` o a tus claves) se rechaza.
+- **vipcode no puede tocarse a sí mismo.** Aunque lo abras en una carpeta que las contenga (por ejemplo tu carpeta personal), el agente no puede leer ni cambiar `~/.vipcode` (tus claves, tu configuración y las carpetas en las que confías) ni modificar la carpeta donde está instalado vipcode, así que tampoco puede desactivar estas protecciones. Los comandos que nombran esas carpetas se preguntan siempre, aunque tengas una regla `allow` o hayas dicho «sí a todo», y con `--yolo` sin nadie delante se rechazan.
+- **Terminal.** Lo que escriben el modelo o las herramientas no puede manejar tu terminal (borrar líneas, cambiar el portapapeles, falsear enlaces). En los diálogos de permiso esos caracteres se ven como `␛` en vez de actuar, para que nadie pueda disfrazar un comando.
+- **Tus datos.** `~/.vipcode` solo lo puede abrir tu usuario y `auth.json` tiene permisos 600. vipcode no envía datos de uso a nadie.
+
+Si encuentras un fallo de seguridad, avísalo en privado como explica [SECURITY.md](SECURITY.md).
+
 ## Privacidad
 
 La primera vez que vipcode va a usar un proveedor que no pide clave, te lo avisa y te deja elegir entre seguir, añadir antes una clave o no usarlos nunca.
@@ -345,7 +362,7 @@ Los planes gratuitos tienen letra pequeña: los proveedores anónimos (Kilo, OVH
 
 Todo está en `~/.vipcode` (o en `VIPCODE_HOME` si la defines):
 
-- `config.json`: tu configuración. `auth.json`: claves (permisos 600). `state.json`: pausas de los proveedores. `notices.json`: avisos que ya has visto. `update.json`: última comprobación de versiones nuevas.
+- `config.json`: tu configuración. `auth.json`: claves (permisos 600). `state.json`: pausas de los proveedores. `notices.json`: avisos que ya has visto. `update.json`: última comprobación de versiones nuevas. `trusted.json`: carpetas en las que confías.
 - `models.json`: modelos descubiertos. `ranking.json`: puntuaciones de LLM Stats descargadas con tu clave. `sessions/`: conversaciones. `history.jsonl`: lo que has escrito.
 - `snapshots/`: instantáneas para `/undo` (un repositorio git aparte por proyecto; no toca tu `.git`).
 - `exports/`: conversaciones exportadas. `agents/`, `commands/` y `skills/`: tus agentes, comandos y skills globales.
@@ -358,6 +375,8 @@ npm test            # compila y pasa las pruebas (servidor de IA simulado, sin c
 VIPCODE_DEBUG=1 vipcode # apunta los detalles internos en ~/.vipcode/debug.log
 ```
 
+vipcode no se deja modificar a sí mismo. Si quieres trabajar en su código con un vipcode instalado desde esa misma carpeta (`npm link`), arráncalo con `VIPCODE_ALLOW_SELF_EDIT=1 vipcode`; o usa el instalado con npm para trabajar en tu copia del código.
+
 ### Publicar una versión
 
 ```bash
@@ -378,6 +397,6 @@ Sube el número en `package.json`, pasa las pruebas, crea el commit y la etiquet
 
 ## Licencia
 
-[MIT](LICENSE).
+[MIT](LICENSE) © Pablo Vicente Juan.
 
 vipcode no envía datos de uso a nadie. Solo se conecta a los proveedores de IA que uses, a las webs que consulte el agente con `webfetch` y `websearch`, a tus servidores MCP, a npm y a GitHub una vez al día para ver si hay versión nueva (`"checkUpdates": false` lo desactiva) y, si le das tu clave, a LLM Stats para descargar el ranking (datos de LLM Stats, llm-stats.com).

package/dist/agents.js

@@ -2,6 +2,7 @@ import path from "node:path";
 import { readMarkdownDir } from "./frontmatter.js";
 import { wildcardMatch } from "./match.js";
 import { GLOBAL_AGENTS_DIR } from "./paths.js";
+import { isProjectFile, projectTrust } from "./trust.js";
 const PLAN_PROMPT = `You are in PLAN mode: you can only read and search (and browse the web). Do NOT try to modify anything.
 Investigate the code and reply with a concrete, step-by-step plan: which files to change, what to change in each one and how to verify it.`;
 const GENERAL_PROMPT = `You are a subagent launched by the main agent to do one task on your own.
@@ -107,7 +108,7 @@ function fromInput(name, input, base, source) {
     };
 }
 // Agentes integrados + ~/.vipcode/agents + .vipcode/agents y .opencode/agent(s) del proyecto + "agents" del config
-export function loadAgents(root, config) {
+export function loadAgents(root, config, trusted = projectTrust(root).trusted) {
     const agents = new Map();
     for (const agent of BUILTIN) {
         agents.set(agent.name, { ...agent, tools: { ...agent.tools } });
@@ -128,6 +129,8 @@ export function loadAgents(root, config) {
     };
     for (const entry of readMarkdownDir(dirs)) {
         const data = entry.data;
+        // Un agente del proyecto en el que no confías no puede cambiar permisos ni dejar editar al modo plan
+        const own = trusted || !isProjectFile(root, entry.file);
         apply(entry.name, {
             description: data.description,
             mode: data.mode,
@@ -135,10 +138,10 @@ export function loadAgents(root, config) {
             model: data.model,
             temperature: data.temperature,
             tools: data.tools,
-            permission: data.permission,
+            permission: own ? data.permission : undefined,
             maxSteps: data.maxSteps ?? data.steps,
             color: data.color,
-            readOnly: data.readOnly,
+            readOnly: own ? data.readOnly : undefined,
             disable: data.disable,
         }, entry.file);
     }

package/dist/app.js

@@ -6,12 +6,12 @@ import { loadAgents, primaryAgents, subagents } from "./agents.js";
 import { envNames, maskKey, readAuth, removeAuth, resolveCredentials, saveAuth, urlVars } from "./auth.js";
 import { CATALOG } from "./catalog.js";
 import { expandCommand, loadCommands } from "./commands.js";
-import { CONFIG_PATH, isAnonymous, loadConfig, setGlobalConfigValue } from "./config.js";
+import { CONFIG_PATH, configNotices, isAnonymous, loadConfig, setGlobalConfigValue } from "./config.js";
 import { buildProviders, detectLocal, refreshModels } from "./discovery.js";
 import { isRemoteSession, loginOpenRouter, openBrowser } from "./login.js";
 import { LspManager } from "./lsp.js";
 import { McpManager } from "./mcp.js";
-import { AUTH_PATH, HOME_DIR, NOTICES_PATH, STATE_PATH } from "./paths.js";
+import { AUTH_PATH, HOME_DIR, NOTICES_PATH, STATE_PATH, ensureHomeDir } from "./paths.js";
 import { SessionGrants, createAsker, permissionsFor } from "./permissions.js";
 import { Ranking, loadRankingData, rankingKey, refreshRanking } from "./ranking.js";
 import { Router } from "./router.js";
@@ -20,6 +20,7 @@ import { deleteSession, listSessions, newSession, saveExport, saveSession } from
 import { Snapshots } from "./snapshot.js";
 import { updateVipcode } from "./update.js";
 import { formatTodos, truncate } from "./tools.js";
+import { projectTrust } from "./trust.js";
 export const BUILTIN_COMMANDS = [
     { name: "help", description: "esta ayuda" },
     { name: "models", args: "[refresh]", description: "estado de cada modelo; elige uno o busca modelos nuevos" },
@@ -115,6 +116,9 @@ export class App {
     agents;
     commands;
     skills;
+    // Configuración que trae el proyecto y si la estamos usando (solo si confías en la carpeta)
+    trust;
+    trusted;
     lsp;
     mcp;
     snapshots;
@@ -130,15 +134,23 @@ export class App {
     });
     constructor(root, options = {}) {
         this.root = root;
-        this.config = loadConfig(root);
+        this.trust = projectTrust(root);
+        this.trusted = options.trusted ?? this.trust.trusted;
+        if (!this.trusted) {
+            const notice = `Esta carpeta trae configuración de vipcode que no estoy usando (${this.trust.files.join(", ")}): puede arrancar programas o cambiar a dónde van tus claves. Si confías en ella, ejecuta «vipcode trust».`;
+            if (!configNotices.includes(notice)) {
+                configNotices.push(notice);
+            }
+        }
+        this.config = loadConfig(root, { trusted: this.trusted });
         this.providers = buildProviders(this.config);
         this.ranking = this.buildRanking();
         this.router = new Router(this.config, this.providers, this.ranking);
         if (this.config.model) {
             this.router.pinned = this.config.model;
         }
-        this.agents = loadAgents(root, this.config);
-        this.commands = loadCommands(root, this.config);
+        this.agents = loadAgents(root, this.config, this.trusted);
+        this.commands = loadCommands(root, this.config, this.trusted);
         this.skills = loadSkills(root, this.config);
         this.lsp = new LspManager(root, this.config);
         if (!this.lsp.enabled()) {
@@ -205,7 +217,7 @@ export class App {
             // primera vez
         }
         data.privacy = new Date().toISOString();
-        fs.mkdirSync(HOME_DIR, { recursive: true });
+        ensureHomeDir();
         fs.writeFileSync(NOTICES_PATH, JSON.stringify(data, null, 2));
     }
     // «No usar nunca los que no piden clave»: se guarda en tu config global

package/dist/auth.js

@@ -1,5 +1,5 @@
 import fs from "node:fs";
-import { AUTH_PATH, HOME_DIR } from "./paths.js";
+import { AUTH_PATH, ensureHomeDir } from "./paths.js";
 export function readAuth() {
     try {
         const data = JSON.parse(fs.readFileSync(AUTH_PATH, "utf8"));
@@ -13,7 +13,7 @@ export function readAuth() {
     return {};
 }
 function writeAuth(data) {
-    fs.mkdirSync(HOME_DIR, { recursive: true });
+    ensureHomeDir();
     // 0600: solo tu usuario puede leer las claves
     fs.writeFileSync(AUTH_PATH, JSON.stringify(data, null, 2), { mode: 0o600 });
     fs.chmodSync(AUTH_PATH, 0o600);

package/dist/commands.js

@@ -3,6 +3,7 @@ import path from "node:path";
 import { readMarkdownDir } from "./frontmatter.js";
 import { GLOBAL_COMMANDS_DIR } from "./paths.js";
 import { truncate } from "./tools.js";
+import { isProjectFile, projectTrust } from "./trust.js";
 const INIT_TEMPLATE = `Analiza este proyecto y crea (o mejora, si ya existe) el fichero AGENTS.md en la raíz, con las instrucciones que necesitaría otro agente de programación para trabajar aquí sin perder tiempo.
 
 Incluye solo lo que sea útil y concreto:
@@ -25,7 +26,7 @@ const BUILTIN = [
     { name: "review", description: "Revisa los cambios sin confirmar (no modifica nada)", template: REVIEW_TEMPLATE, agent: "plan", subtask: false, builtIn: true },
 ];
 // Comandos integrados + ~/.vipcode/commands + .vipcode/commands y .opencode/command(s) del proyecto + "commands" del config
-export function loadCommands(root, config) {
+export function loadCommands(root, config, trusted = projectTrust(root).trusted) {
     const commands = new Map();
     for (const command of BUILTIN) {
         commands.set(command.name, { ...command });
@@ -47,6 +48,7 @@ export function loadCommands(root, config) {
             subtask: Boolean(data.subtask),
             builtIn: false,
             source: entry.file,
+            allowShell: trusted || !isProjectFile(root, entry.file),
         });
     }
     for (const [name, input] of Object.entries(config.commands || {})) {
@@ -112,7 +114,7 @@ export async function expandCommand(command, args, root) {
     const shellPattern = /!`([^`]+)`/g;
     const commands = [...text.matchAll(shellPattern)];
     for (const match of commands) {
-        const output = await runShell(match[1], root);
+        const output = command.allowShell === false ? "(no ejecutado: esta carpeta no es de confianza; usa «vipcode trust»)" : await runShell(match[1], root);
         text = text.replace(match[0], () => output);
     }
     return text.trim();

package/dist/config.js

@@ -1,6 +1,7 @@
 import fs from "node:fs";
 import path from "node:path";
-import { CONFIG_PATH, HOME_DIR } from "./paths.js";
+import { CONFIG_PATH, ensureHomeDir } from "./paths.js";
+import { projectTrust } from "./trust.js";
 export { CONFIG_PATH, HOME_DIR, SESSIONS_DIR, STATE_PATH } from "./paths.js";
 export const DEFAULT_PERMISSION = {
     edit: "ask",
@@ -201,8 +202,8 @@ export function setGlobalConfigValue(key, value) {
     raw[key] = value;
     fs.writeFileSync(CONFIG_PATH, JSON.stringify(raw, null, 2));
 }
-export function loadConfig(root = process.cwd()) {
-    fs.mkdirSync(HOME_DIR, { recursive: true });
+export function loadConfig(root = process.cwd(), options = {}) {
+    ensureHomeDir();
     // La primera vez creamos el config con los valores por defecto para que puedas editarlo
     if (!fs.existsSync(CONFIG_PATH)) {
         fs.writeFileSync(CONFIG_PATH, JSON.stringify(TEMPLATE, null, 2));
@@ -215,8 +216,12 @@ export function loadConfig(root = process.cwd()) {
         configNotices.push(`He actualizado ${CONFIG_PATH} al formato nuevo (copia del antiguo en config.json.bak).`);
     }
     let config = mergeConfig(DEFAULT_CONFIG, raw);
-    for (const file of projectConfigFiles(root)) {
-        config = mergeConfig(config, readJson(file));
+    // La del proyecto puede arrancar programas o mandar tus claves a otro servidor: solo si confías en la carpeta
+    const trusted = options.trusted ?? projectTrust(root).trusted;
+    if (trusted) {
+        for (const file of projectConfigFiles(root)) {
+            config = mergeConfig(config, readJson(file));
+        }
     }
     if (!Array.isArray(config.providers)) {
         config.providers = [];

package/dist/debug.js

@@ -1,5 +1,5 @@
 import fs from "node:fs";
-import { DEBUG_LOG_PATH, HOME_DIR } from "./paths.js";
+import { DEBUG_LOG_PATH, ensureHomeDir } from "./paths.js";
 // Con VIPCODE_DEBUG=1 se apunta en ~/.vipcode/debug.log lo que pasa por dentro (peticiones, errores…)
 const enabled = process.env.VIPCODE_DEBUG === "1" || process.env.VIPCODE_DEBUG === "true";
 export function debugLog(...parts) {
@@ -23,7 +23,7 @@ export function debugLog(...parts) {
     })
         .join(" ");
     try {
-        fs.mkdirSync(HOME_DIR, { recursive: true });
+        ensureHomeDir();
         fs.appendFileSync(DEBUG_LOG_PATH, `[${new Date().toISOString()}] ${text}\n`);
     }
     catch {

package/dist/discovery.js

@@ -3,7 +3,7 @@ import { readAuth, resolveCredentials } from "./auth.js";
 import { CATALOG, RETIRED_PROVIDERS } from "./catalog.js";
 import { configNotices, isAnonymous, mergeProvider } from "./config.js";
 import { debugLog } from "./debug.js";
-import { HOME_DIR, MODELS_CACHE_PATH } from "./paths.js";
+import { MODELS_CACHE_PATH, ensureHomeDir } from "./paths.js";
 // Modelos que no sirven para chatear (embeddings, voz, imágenes, vídeo…)
 const NON_CHAT = /embed|bge-|minilm|rerank|guard|safety|moderation|whisper|tts|transcri|speech|audio-|native-audio|image|imagen|flux|diffusion|sdxl|video|veo|lyria|ocr|retriever|reward|nvclip|clip-|cosmos|bevformer|sparsedrive|streampetr|detector|studiovoice|riva|canary|parakeet|paligemma|grounding|aqa|deplot|kosmos|fuyu|neva|translate|computer-use|robotics|-live|usdcode|usdvalidate|usdsearch/i;
 export function readDiscovery() {
@@ -20,7 +20,7 @@ export function readDiscovery() {
 }
 function writeDiscovery(cache) {
     try {
-        fs.mkdirSync(HOME_DIR, { recursive: true });
+        ensureHomeDir();
         fs.writeFileSync(MODELS_CACHE_PATH, JSON.stringify(cache, null, 2));
     }
     catch {

package/dist/index.js

@@ -10,7 +10,9 @@ import { isImagePath, toDataUrl } from "./images.js";
 import { REPO_URL, VERSION } from "./meta.js";
 import { NoSlotError } from "./router.js";
 import { appendHistory, exportMarkdown, listSessions, loadSession, saveExport } from "./session.js";
+import { stripControl } from "./sanitize.js";
 import { createSkill, installSkills, loadSkills, removeSkill } from "./skills.js";
+import { projectTrust, trustProject, untrustProject } from "./trust.js";
 import { updateVipcode } from "./update.js";
 import { completeMention } from "./tools.js";
 import { plainAdapter, plainEvents, plainPermissionPrompt, ui } from "./ui.js";
@@ -28,6 +30,7 @@ Uso:
   vipcode skills new <nombre>      crea una skill vacía para rellenar
   vipcode skills remove <nombre>   borra una skill instalada con vipcode
   vipcode update                   actualiza vipcode (del repositorio o a la última versión publicada)
+  vipcode trust                    confiar en la configuración que trae esta carpeta (vipcode untrust lo deshace)
   vipcode sessions                 sesiones guardadas de esta carpeta
   vipcode export [id]              guarda una sesión en Markdown (por defecto la última)
 
@@ -70,7 +73,7 @@ function parseArgs(argv) {
         project: false,
         force: false,
     };
-    const commands = ["run", "auth", "models", "skills", "sessions", "export", "update", "help"];
+    const commands = ["run", "auth", "models", "skills", "sessions", "export", "update", "trust", "untrust", "help"];
     for (let i = 0; i < argv.length; i++) {
         const arg = argv[i];
         if (arg === "-c" || arg === "--continue") {
@@ -288,6 +291,28 @@ function runSkills(options, root) {
     ui.error(`Subcomando desconocido: ${sub}. Usa list, add, new o remove.`);
     process.exitCode = 1;
 }
+function showTrust(trust) {
+    console.log(pc.yellow("⚠ Esta carpeta trae configuración propia de vipcode:"));
+    for (const change of trust.changes) {
+        console.log(`  · ${stripControl(change)}`);
+    }
+    console.log(pc.dim("  Puede hacer que vipcode arranque programas, mande tus claves a otro servidor o deje de pedirte permiso."));
+}
+// Antes de abrir la interfaz: ¿usamos la configuración del proyecto?
+async function askTrust(trust) {
+    showTrust(trust);
+    const rl = readline.createInterface({ input: process.stdin, output: process.stdout });
+    try {
+        const answer = (await rl.question("¿Confías en esta carpeta y quieres usar esa configuración? (s/N) ")).trim().toLowerCase();
+        return ["s", "si", "sí", "y", "yes"].includes(answer);
+    }
+    catch {
+        return false;
+    }
+    finally {
+        rl.close();
+    }
+}
 function noModelsHelp() {
     ui.error('No hay ningún modelo disponible (los proveedores sin clave se desactivan con "keyless": false o al limitar enabledProviders).');
     console.log(`Añade una clave gratuita con:   vipcode auth login
@@ -452,6 +477,21 @@ async function main() {
         runSkills(options, root);
         return;
     }
+    if (options.command === "trust") {
+        const trust = projectTrust(root);
+        if (!trust.fingerprint) {
+            ui.info("Esta carpeta no trae configuración de vipcode: no hace falta confiar en ella.");
+            return;
+        }
+        showTrust(trust);
+        trustProject(root);
+        ui.info("Hecho: vipcode usará esa configuración en esta carpeta. Si cambia, te volverá a preguntar.");
+        return;
+    }
+    if (options.command === "untrust") {
+        ui.info(untrustProject(root) ? "Hecho: ya no uso la configuración de esta carpeta." : "No confiabas en esta carpeta.");
+        return;
+    }
     if (options.command === "update") {
         const result = await updateVipcode((text) => ui.info(text));
         if (result.status === "error") {
@@ -503,7 +543,16 @@ async function main() {
     else if (options.continueLast) {
         session = listSessions(root)[0];
     }
-    const app = new App(root, { session, agentName: options.agent || undefined });
+    // En la interfaz se pregunta si usar la configuración del proyecto; con «run» se avisa y no se usa
+    let trusted;
+    const trust = projectTrust(root);
+    if (!trust.trusted && options.command === "" && process.stdin.isTTY) {
+        trusted = await askTrust(trust);
+        if (trusted) {
+            trustProject(root);
+        }
+    }
+    const app = new App(root, { session, agentName: options.agent || undefined, trusted });
     if (options.agent && !app.agents.some((agent) => agent.name === options.agent)) {
         ui.error(`No existe el agente «${options.agent}».`);
         process.exitCode = 1;

package/dist/markdown.js

@@ -1,6 +1,7 @@
 import hljs from "highlight.js/lib/common";
 import { marked } from "marked";
 import pc from "picocolors";
+import { stripControl } from "./sanitize.js";
 // Colores de resaltado de código por clase de highlight.js
 const CODE_COLORS = {
     keyword: pc.magenta,
@@ -249,11 +250,13 @@ function blocks(tokens, width, depth = 0) {
 }
 // Markdown → texto con colores para la terminal
 export function renderMarkdown(text, width = 80) {
+    // El texto del modelo no puede llevar secuencias de la terminal: los colores los ponemos nosotros
+    const clean = stripControl(text);
     try {
-        const tokens = marked.lexer(text, { gfm: true });
+        const tokens = marked.lexer(clean, { gfm: true });
         return blocks(tokens, width).replace(/\n{3,}/g, "\n\n");
     }
     catch {
-        return text;
+        return clean;
     }
 }

package/dist/paths.js

@@ -1,5 +1,7 @@
+import fs from "node:fs";
 import os from "node:os";
 import path from "node:path";
+import { fileURLToPath } from "node:url";
 // Carpeta de datos de vipcode (VIPCODE_HOME permite usar otra, por ejemplo en pruebas)
 export const HOME_DIR = process.env.VIPCODE_HOME || path.join(os.homedir(), ".vipcode");
 export const CONFIG_PATH = path.join(HOME_DIR, "config.json");
@@ -15,6 +17,8 @@ export const HISTORY_PATH = path.join(HOME_DIR, "history.jsonl");
 export const NOTICES_PATH = path.join(HOME_DIR, "notices.json");
 // Última comprobación de versiones nuevas en GitHub
 export const UPDATE_PATH = path.join(HOME_DIR, "update.json");
+// Carpetas en las que confías para usar la configuración que traen
+export const TRUST_PATH = path.join(HOME_DIR, "trusted.json");
 export const SESSIONS_DIR = path.join(HOME_DIR, "sessions");
 export const SNAPSHOTS_DIR = path.join(HOME_DIR, "snapshots");
 export const EXPORTS_DIR = path.join(HOME_DIR, "exports");
@@ -25,3 +29,25 @@ export const GLOBAL_SKILLS_DIR = path.join(HOME_DIR, "skills");
 // Instrucciones que se aplican a todos tus proyectos
 export const GLOBAL_INSTRUCTIONS_PATH = path.join(HOME_DIR, "AGENTS.md");
 export const DEBUG_LOG_PATH = path.join(HOME_DIR, "debug.log");
+// La carpeta de datos guarda claves y conversaciones: solo la puede abrir tu usuario
+export function ensureHomeDir() {
+    fs.mkdirSync(HOME_DIR, { recursive: true, mode: 0o700 });
+    try {
+        fs.chmodSync(HOME_DIR, 0o700);
+    }
+    catch {
+        // en Windows o en carpetas que no son tuyas no se puede: no pasa nada
+    }
+}
+// Carpeta donde está instalado vipcode (la que contiene dist/)
+export const INSTALL_DIR = path.resolve(path.dirname(fileURLToPath(import.meta.url)), "..");
+// Lo que el agente no puede tocar: los datos de vipcode (claves, configuración, carpetas de confianza) ni leerlos,
+// y su propio código no modificarlo. Quien desarrolle vipcode con vipcode puede permitir lo segundo con
+// VIPCODE_ALLOW_SELF_EDIT=1.
+export function protectedDirs() {
+    const dirs = [{ dir: HOME_DIR, read: true }];
+    if (process.env.VIPCODE_ALLOW_SELF_EDIT !== "1") {
+        dirs.push({ dir: INSTALL_DIR, read: false });
+    }
+    return dirs;
+}

package/dist/permissions.js

@@ -1,5 +1,8 @@
+import os from "node:os";
+import path from "node:path";
 import { deepMerge } from "./config.js";
 import { wildcardMatch } from "./match.js";
+import { HOME_DIR, INSTALL_DIR } from "./paths.js";
 const STRICTNESS = { allow: 0, ask: 1, deny: 2 };
 function strictest(a, b) {
     if (STRICTNESS[b] > STRICTNESS[a]) {
@@ -27,9 +30,13 @@ export function matchRules(rules, subject, fallback) {
     return fallback;
 }
 // Parte "a && b | c; d" en comandos sueltos para que "git status && rm -rf x" no pase como "git status"
+// Redirecciones que no escriben ficheros (2>&1, >/dev/null): no cuentan como separadores ni como escritura
+const HARMLESS_REDIRECTS = /\d*>&\d+|&>\s*\/dev\/null|\d*>>?\s*\/dev\/null/g;
 export function splitCommand(command) {
+    // Un & suelto (segundo plano) también separa: «ls & rm -rf ~» son dos comandos
     return command
-        .split(/&&|\|\||;|\||\n/)
+        .replace(HARMLESS_REDIRECTS, " ")
+        .split(/&&|\|\||;|\||\n|&/)
         .map((part) => part.trim())
         .filter((part) => part.length > 0);
 }
@@ -55,7 +62,10 @@ export function evaluate(config, kind, subject) {
         result = strictest(result, matchRules(config.bash, part, "ask"));
     }
     // Una sustitución $(...) o `...` puede esconder cualquier cosa
-    if (/\$\(|`/.test(subject)) {
+    // Sustituciones, escribir en ficheros (> o --output) y saltos de línea raros siempre se preguntan,
+    // aunque el comando esté permitido (si no, «ls > ~/.zshrc» pasaría por «ls*»)
+    const writes = /[<>]\(|>/.test(subject.replace(HARMLESS_REDIRECTS, " ")) || /--output\b|\r/.test(subject);
+    if (/\$\(|`/.test(subject) || writes) {
         result = strictest(result, "ask");
     }
     return result;
@@ -106,12 +116,26 @@ export class SessionGrants {
     }
 }
 // Decide si una acción se permite sola, se bloquea o hay que preguntar
+// Un comando que nombra la carpeta de datos de vipcode o su instalación (para leer tus claves, cambiar la
+// configuración o tocar su propio código) se pregunta siempre: no vale ninguna regla allow ni «sí a todo»
+export function touchesVipcode(command) {
+    const home = os.homedir();
+    const names = [HOME_DIR, INSTALL_DIR, "lib/node_modules/vipcode"];
+    if (HOME_DIR.startsWith(home + path.sep)) {
+        const inHome = HOME_DIR.slice(home.length + 1);
+        names.push(`~/${inHome}`, `$HOME/${inHome}`, `\${HOME}/${inHome}`);
+    }
+    return names.some((name) => command.includes(name));
+}
 export function createAsker(getConfig, grants, prompt) {
     return async (request) => {
         const action = evaluate(getConfig(), request.kind, request.subject);
         if (action === "deny") {
             return { allow: false, feedback: "bloqueado por la configuración de permisos (deny)" };
         }
+        if (request.kind === "bash" && touchesVipcode(request.subject)) {
+            return prompt({ ...request, title: `${request.title} (toca la carpeta de vipcode)` });
+        }
         if (action === "allow" || grants.allows(request.kind, request.subject)) {
             return { allow: true };
         }

package/dist/ranking.js

@@ -1,7 +1,7 @@
 import fs from "node:fs";
 import { readAuth } from "./auth.js";
 import { debugLog } from "./debug.js";
-import { HOME_DIR, RANKING_PATH } from "./paths.js";
+import { RANKING_PATH, ensureHomeDir } from "./paths.js";
 const WEIGHTS = {
     coding: { code: 0.4, agents: 0.3, tools: 0.15, general: 0.15 },
     general: { general: 1 },
@@ -223,7 +223,7 @@ export async function refreshRanking(apiKey, signal) {
         throw new Error("la API no devolvió puntuaciones que vipcode sepa leer");
     }
     const data = { updated: new Date().toISOString().slice(0, 10), source: "https://llm-stats.com (API)", models: rated };
-    fs.mkdirSync(HOME_DIR, { recursive: true });
+    ensureHomeDir();
     fs.writeFileSync(RANKING_PATH, JSON.stringify(data));
     debugLog("ranking actualizado", rated.length);
     return { count: rated.length };

package/dist/sanitize.js

@@ -0,0 +1,38 @@
+// Lo que llega del modelo, de las herramientas o de los proveedores no puede mover el cursor, borrar la pantalla,
+// cambiar el portapapeles (OSC 52) ni disfrazar un comando en el diálogo de permiso
+// Secuencias completas (CSI, OSC, DCS…) y escapes sueltos
+const SEQUENCES = /\x1b\[[0-?]*[ -/]*[@-~]|\x1b\][^\x07\x1b]*(?:\x07|\x1b\\)?|\x1b[PX^_][^\x1b]*(?:\x1b\\)?|\x1b[@-Z\\-_]?/g;
+// Caracteres de control salvo el tabulador y el salto de línea (incluye \r y los C1, como el CSI de un byte)
+const CONTROLS = /[\x00-\x08\x0b-\x1f\x7f-\x9f]/g;
+// Colores y estilos (SGR): son inofensivos salvo «oculto» (8), que escondería texto
+const SGR = /\x1b\[([0-9;]*)m/g;
+// Para enseñar texto que no es nuestro
+export function stripControl(text) {
+    return String(text).replace(SEQUENCES, "").replace(CONTROLS, "");
+}
+// Para nuestros propios bloques (tablas con colores) que llevan dentro datos de fuera: deja solo los colores
+export function stripUnsafe(text) {
+    const input = String(text);
+    let result = "";
+    let last = 0;
+    for (const match of input.matchAll(SGR)) {
+        result += stripControl(input.slice(last, match.index));
+        if (!match[1].split(";").includes("8")) {
+            result += match[0];
+        }
+        last = (match.index || 0) + match[0].length;
+    }
+    return result + stripControl(input.slice(last));
+}
+// Para lo que vas a aprobar (comandos, rutas, diffs): los caracteres de control se ven en vez de actuar
+export function showControl(text) {
+    return String(text).replace(CONTROLS, (char) => {
+        if (char === "\x1b") {
+            return "␛";
+        }
+        if (char === "\r") {
+            return "␍";
+        }
+        return `\\x${char.charCodeAt(0).toString(16).padStart(2, "0")}`;
+    });
+}