vipcode 0.2.0 → 0.2.2

package/LICENSE

@@ -1,6 +1,6 @@
 MIT License
 
-Copyright (c) 2026 Pablo Vicente
+Copyright (c) 2026 Pablo Vicente Juan
 
 Permission is hereby granted, free of charge, to any person obtaining a copy
 of this software and associated documentation files (the "Software"), to deal

package/README.en.md

@@ -41,8 +41,14 @@ vipcode skills add anthropics/skills   # install skills from GitHub
 vipcode update                         # update vipcode
 ```
 
+Every conversation is saved automatically in `~/.vipcode/sessions/` as `.json` (to resume it) and `.md` (the whole conversation, readable and never truncated by context compaction). When you resume one (`vipcode -c`, `/sessions`), the previous conversation is shown on screen.
+
 Inside the UI: Enter sends, Tab switches between the `build` and `plan` agents, Ctrl+P opens the command palette, `@path` attaches files, `!command` runs a shell command, Esc interrupts and `/help` lists everything.
 
+## Security
+
+vipcode asks before editing files, running commands, going online or using MCP tools; only a few read-only commands (`git status`, `git diff`, `git log`, `git show`, `ls`, `pwd`) are auto-approved, and never when they chain another command, write to a file or use `$(…)`. A project's own vipcode configuration (MCP servers, providers, permissions, agents with permissions, commands that run shell) is ignored until you trust the folder: vipcode shows what it would change and asks (`vipcode trust` / `vipcode untrust`). Tools can't leave the project folder, not even through symlinks; vipcode can't read or change its own data folder (`~/.vipcode`: keys, config, trusted folders) nor modify its own installation, and commands that mention them always ask. Terminal escape sequences from the model or tools are stripped. To report a vulnerability, see [SECURITY.md](SECURITY.md).
+
 ## Privacy
 
 Free plans have fine print: anonymous providers and several free tiers may store what you send or use it for training. The first time vipcode is about to use a provider that needs no key, it tells you and lets you continue, add a key first or never use them (`"keyless": false`). Don't send secrets or confidential code; for that, use a local model with Ollama or LM Studio. vipcode itself sends no telemetry; it only checks npm and GitHub once a day for a new version (`"checkUpdates": false` turns it off).
@@ -53,4 +59,4 @@ vipcode does not ship LLM Stats data, because their terms don't allow redistribu
 
 ## License
 
-[MIT](LICENSE). The full documentation (in Spanish) is in [README.md](README.md).
+[MIT](LICENSE) © Pablo Vicente Juan. The full documentation (in Spanish) is in [README.md](README.md).

package/README.md

@@ -5,11 +5,12 @@
 Agente de programación para la terminal (comando `vipcode`), al estilo de opencode, que solo usa **modelos gratuitos** y **rota automáticamente** entre proveedores cuando uno se agota.
 
 - **Funciona nada más instalarlo, sin claves ni registro**: usa los proveedores que permiten el acceso anónimo (Kilo Gateway, OVHcloud, LLM7 y Pollinations).
-- Si quieres más límites y mejores modelos, añade claves gratuitas de los más de 20 proveedores incluidos (Gemini, NVIDIA, Mistral, Cerebras, OpenRouter, Groq, Z.ai…). Los modelos gratis nuevos se descubren solos.
+- Si quieres más límites y mejores modelos, añade claves gratuitas de los más de 20 proveedores incluidos (Gemini, NVIDIA, Mistral, Cerebras, OpenRouter, Groq, Z.ai…); con OpenRouter basta con iniciar sesión en el navegador. Los modelos gratis nuevos se descubren solos.
 - Con una clave gratis de [LLM Stats](https://llm-stats.com), **usa primero los mejores modelos** según su ranking.
-- Interfaz en la terminal con Markdown y código coloreado, diffs, diálogos de permiso, autocompletado de `@ficheros` y `/comandos`, historial y barra de estado.
-- Herramientas: leer, escribir y editar ficheros, `list_dir`, `glob`, `grep`, `bash`, `webfetch`, `websearch`, lista de tareas, subagentes, diagnósticos LSP y herramientas MCP.
-- `/undo` y `/redo` con instantáneas de git (deshacen también lo que haya cambiado `bash`), sesiones guardadas, resumen automático del contexto, imágenes, agentes y comandos propios.
+- Interfaz en la terminal con Markdown y código coloreado, diffs, diálogos de permiso, autocompletado de `@ficheros` y `/comandos`, paleta de comandos (Ctrl+P), `!comandos`, historial y barra de estado.
+- Herramientas: leer, escribir y editar ficheros, `list_dir`, `glob`, `grep`, `bash`, `webfetch`, `websearch`, lista de tareas, subagentes, diagnósticos LSP, herramientas MCP y [skills](#skills).
+- `/undo` y `/redo` con instantáneas de git (deshacen también lo que haya cambiado `bash`), sesiones guardadas, resumen automático del contexto, imágenes, agentes y comandos propios, y `/update` para actualizarlo.
+- **Seguro por defecto**: pregunta antes de editar, ejecutar o salir a internet, no sale de la carpeta del proyecto y no usa la configuración que traiga un proyecto hasta que confías en él (ver [Seguridad](#seguridad)).
 
 ## Instalación
 
@@ -107,6 +108,7 @@ vipcode run "tarea" --yolo   # hace la tarea sin interfaz y termina
 vipcode --plan               # empieza en modo solo lectura
 vipcode run "/review"        # también acepta comandos y skills: vipcode run "/mi-skill tarea"
 vipcode update               # actualiza vipcode
+vipcode trust                # confiar en la configuración que trae esta carpeta (vipcode untrust lo deshace)
 ```
 
 ### Actualizar
@@ -132,6 +134,15 @@ Mientras trabaja ves qué modelo está pensando, cada herramienta con su acción
 
 Antes de editar un fichero, ejecutar un comando o salir a internet, vipcode pregunta enseñando el diff o el comando. Puedes contestar que sí una vez, que sí a todo lo de ese tipo durante la sesión, que sí siempre a un comando concreto (por ejemplo `npm test*`), que no, o que no y explicarle qué hacer.
 
+### Sesiones
+
+Cada conversación se guarda sola en `~/.vipcode/sessions/`, en dos ficheros:
+
+- **`.json`**, para poder seguirla.
+- **`.md`**, con la conversación entera para leerla o compartirla: lo que escribiste, cada respuesta con el modelo que contestó, las herramientas que usó y los cambios que hizo en cada fichero. Se actualiza solo mientras hablas y no pierde nada aunque la conversación se resuma para que quepa en el modelo.
+
+Para volver a una conversación: `vipcode -c` (la última de esta carpeta), `/sessions` (eliges de la lista) o `vipcode -s <id>`. Al volver ves en pantalla toda la conversación anterior, y el modelo tiene su contexto para seguir donde lo dejasteis. `/export` guarda además una copia en `~/.vipcode/exports/`.
+
 ### Comandos
 
 | Comando | Qué hace |
@@ -198,7 +209,7 @@ Una vez al día (o con `/models refresh`, o `vipcode models refresh` desde la te
 ## Configuración
 
 - Global: `~/.vipcode/config.json` (se crea la primera vez).
-- Por proyecto: `vipcode.json` o `.vipcode/config.json` en la carpeta del proyecto (se mezcla con la global).
+- Por proyecto: `vipcode.json` o `.vipcode/config.json` en la carpeta del proyecto (se mezcla con la global). Solo se usa si confías en la carpeta: ver [Seguridad](#seguridad).
 
 ```json
 {
@@ -250,7 +261,7 @@ Una vez al día (o con `/models refresh`, o `vipcode models refresh` desde la te
 - **ranking**: `enabled: false` vuelve al orden del catálogo; `metric: "general"` ordena por el índice general de LLM Stats en vez de por programación; `anonymousLast: true` pone los anónimos (sin clave) detrás de los que tienen clave aunque tengan mejor nota.
 - **providers**: si el nombre coincide con uno del catálogo, solo cambia lo que pongas (los modelos se añaden o se sobrescriben por id; con `"replaceModels": true` se usan solo los tuyos). Si es nuevo, es un proveedor propio compatible con la API de OpenAI y va el primero en la rotación. Admite `apiKeyEnv`, `apiKey`, `headers`, `noKey`, `discover: "openai"` para descubrir sus modelos, y en cada modelo `context`, `vision` y `disabled`.
 - **order**: patrones `proveedor/modelo` que van primero. **model**: modelo fijado al arrancar.
-- **permission**: `allow`, `ask` o `deny`. En `bash` y `mcp` gana el patrón más concreto, y los comandos encadenados (`&&`, `|`, `;`) se comprueban por separado. Las reglas `deny` se respetan incluso con `--yolo`.
+- **permission**: `allow`, `ask` o `deny`. En `bash` y `mcp` gana el patrón más concreto, y los comandos encadenados (`&&`, `&`, `|`, `;`, saltos de línea) se comprueban por separado. Aunque un comando esté permitido, se pregunta siempre si escribe en un fichero (`>`, `--output`) o lleva `$(…)` o comillas invertidas. Las reglas `deny` se respetan incluso con `--yolo`.
 - **mcp**: servidores locales (`command`) o remotos (`url`, con HTTP o SSE). Sus herramientas aparecen como `servidor_herramienta`. En modo plan solo se usan las marcadas como de solo lectura.
 - **lsp**: `false` desactiva los diagnósticos; `"id": false` desactiva un servidor concreto.
 
@@ -287,6 +298,8 @@ Arréglalos. Céntrate en $ARGUMENTS.
 
 `$ARGUMENTS` es todo lo que escribes detrás del comando, `$1`…`$9` cada palabra (respetando comillas), y `` !`comando` `` se sustituye por su salida. Con `subtask: true` el comando se ejecuta como subagente y no llena la conversación.
 
+Los agentes y comandos que traiga un proyecto se cargan siempre, pero hasta que confías en la carpeta un agente del proyecto no puede cambiar sus permisos (`permission`, `readOnly`) y los `` !`comando` `` de sus comandos no se ejecutan.
+
 ### Skills
 
 Una skill es una carpeta con un `SKILL.md`: instrucciones (y, si hace falta, scripts y documentos) para un tipo de tarea concreto, como rellenar PDF, seguir la guía de estilo de la empresa o preparar un informe. Es el formato abierto [Agent Skills](https://agentskills.io), el mismo que usan Claude Code y opencode, así que las que encuentres para ellos también sirven aquí.
@@ -335,6 +348,19 @@ vipcode lee `AGENTS.md` (o `CLAUDE.md`, o `.vipcode.md`) de la raíz del proyect
 
 Después de cada edición, vipcode pregunta al servidor de lenguaje si hay errores y se los pasa al modelo. Para TypeScript y JavaScript no hace falta instalar nada: usa el servidor que trae TypeScript 7. Para otros lenguajes usa el servidor si lo tienes instalado: pyright o basedpyright, pylsp, gopls, rust-analyzer, clangd, intelephense o phpactor, ruby-lsp, bash-language-server, yaml-language-server, los de VS Code para CSS, HTML y JSON, lua-language-server, zls, dart, csharp-ls, sourcekit-lsp, kotlin-language-server y svelte.
 
+## Seguridad
+
+vipcode ejecuta lo que le pide un modelo de IA, así que está hecho para que nada importante pase sin que lo veas:
+
+- **Permisos.** Antes de editar un fichero, ejecutar un comando, salir a internet o usar una herramienta MCP, pregunta enseñando el diff o el comando. De serie solo se aprueban solos unos pocos comandos que no cambian nada (`git status`, `git diff`, `git log`, `git show`, `ls`, `pwd`), y ni siquiera esos si llevan otro comando detrás (`&`, `;`, `&&`, `|`), escriben en un fichero (`>`, `--output`) o llevan `$(…)`. Con `--yolo` o `/yolo` se aprueba todo menos lo que tengas en `deny`: úsalo solo en carpetas sin nada que perder.
+- **Carpetas en las que confías.** Un proyecto puede traer su propia configuración de vipcode (`vipcode.json`, `.vipcode/config.json`, agentes con permisos propios, comandos con `` !`órdenes` ``). Como eso podría arrancar programas, mandar tus claves a otro servidor o quitar las preguntas de permiso, vipcode no lo usa hasta que confías en la carpeta. Al abrirlo te enseña qué cambiaría y te pregunta; con `vipcode run` solo avisa. Si la configuración cambia después (por ejemplo tras un `git pull`), vuelve a preguntar. `vipcode trust` y `vipcode untrust` lo cambian a mano.
+- **Ficheros.** Las herramientas solo leen y escriben dentro de la carpeta del proyecto. Un enlace simbólico que lleve fuera (por ejemplo a `~/.ssh` o a tus claves) se rechaza.
+- **vipcode no puede tocarse a sí mismo.** Aunque lo abras en una carpeta que las contenga (por ejemplo tu carpeta personal), el agente no puede leer ni cambiar `~/.vipcode` (tus claves, tu configuración y las carpetas en las que confías) ni modificar la carpeta donde está instalado vipcode, así que tampoco puede desactivar estas protecciones. Los comandos que nombran esas carpetas se preguntan siempre, aunque tengas una regla `allow` o hayas dicho «sí a todo», y con `--yolo` sin nadie delante se rechazan.
+- **Terminal.** Lo que escriben el modelo o las herramientas no puede manejar tu terminal (borrar líneas, cambiar el portapapeles, falsear enlaces). En los diálogos de permiso esos caracteres se ven como `␛` en vez de actuar, para que nadie pueda disfrazar un comando.
+- **Tus datos.** `~/.vipcode` solo lo puede abrir tu usuario y `auth.json` tiene permisos 600. vipcode no envía datos de uso a nadie.
+
+Si encuentras un fallo de seguridad, avísalo en privado como explica [SECURITY.md](SECURITY.md).
+
 ## Privacidad
 
 La primera vez que vipcode va a usar un proveedor que no pide clave, te lo avisa y te deja elegir entre seguir, añadir antes una clave o no usarlos nunca.
@@ -345,8 +371,8 @@ Los planes gratuitos tienen letra pequeña: los proveedores anónimos (Kilo, OVH
 
 Todo está en `~/.vipcode` (o en `VIPCODE_HOME` si la defines):
 
-- `config.json`: tu configuración. `auth.json`: claves (permisos 600). `state.json`: pausas de los proveedores. `notices.json`: avisos que ya has visto. `update.json`: última comprobación de versiones nuevas.
-- `models.json`: modelos descubiertos. `ranking.json`: puntuaciones de LLM Stats descargadas con tu clave. `sessions/`: conversaciones. `history.jsonl`: lo que has escrito.
+- `config.json`: tu configuración. `auth.json`: claves (permisos 600). `state.json`: pausas de los proveedores. `notices.json`: avisos que ya has visto. `update.json`: última comprobación de versiones nuevas. `trusted.json`: carpetas en las que confías.
+- `models.json`: modelos descubiertos. `ranking.json`: puntuaciones de LLM Stats descargadas con tu clave. `sessions/`: conversaciones (un `.json` para seguirlas y un `.md` para leerlas). `history.jsonl`: lo que has escrito.
 - `snapshots/`: instantáneas para `/undo` (un repositorio git aparte por proyecto; no toca tu `.git`).
 - `exports/`: conversaciones exportadas. `agents/`, `commands/` y `skills/`: tus agentes, comandos y skills globales.
 
@@ -358,6 +384,8 @@ npm test            # compila y pasa las pruebas (servidor de IA simulado, sin c
 VIPCODE_DEBUG=1 vipcode # apunta los detalles internos en ~/.vipcode/debug.log
 ```
 
+vipcode no se deja modificar a sí mismo. Si quieres trabajar en su código con un vipcode instalado desde esa misma carpeta (`npm link`), arráncalo con `VIPCODE_ALLOW_SELF_EDIT=1 vipcode`; o usa el instalado con npm para trabajar en tu copia del código.
+
 ### Publicar una versión
 
 ```bash
@@ -378,6 +406,6 @@ Sube el número en `package.json`, pasa las pruebas, crea el commit y la etiquet
 
 ## Licencia
 
-[MIT](LICENSE).
+[MIT](LICENSE) © Pablo Vicente Juan.
 
 vipcode no envía datos de uso a nadie. Solo se conecta a los proveedores de IA que uses, a las webs que consulte el agente con `webfetch` y `websearch`, a tus servidores MCP, a npm y a GitHub una vez al día para ver si hay versión nueva (`"checkUpdates": false` lo desactiva) y, si le das tu clave, a LLM Stats para descargar el ranking (datos de LLM Stats, llm-stats.com).

package/dist/agent.js

@@ -94,6 +94,10 @@ export class Agent {
     addNote(text) {
         this.pendingNote += text;
     }
+    // Apunta algo en el historial de la sesión (lo que se enseña al volver y se guarda en el .md)
+    logEntry(entry) {
+        this.session.log.push({ ...entry, time: Date.now() });
+    }
     toolContext(agent, signal, depth) {
         const lsp = this.deps.lsp;
         const ctx = {
@@ -195,6 +199,7 @@ export class Agent {
             { role: "assistant", content: "Entendido, sigo desde aquí." },
         ];
         this.session.epoch++;
+        this.logEntry({ role: "info", text: "Conversación resumida para ahorrar contexto: el modelo sigue con un resumen, pero aquí sigue todo lo anterior." });
         saveSession(this.session);
         this.events.onInfo?.(`Conversación resumida (~${estimateTokens(this.session.messages)} tokens).`);
     }
@@ -274,6 +279,13 @@ export class Agent {
             this.events.onToolStart?.(event);
             const result = await runTool(tools, name, args, { ...ctx, onProgress: (text) => this.events.onToolProgress?.(event, text) }, agent.readOnly);
             this.events.onToolEnd?.({ ...event, output: result.output, display: result.display, isError: Boolean(result.isError) });
+            if (depth === 0) {
+                this.logEntry({
+                    role: "tool",
+                    text: truncate(result.output, 4000),
+                    tool: { name, summary: event.summary, isError: Boolean(result.isError), display: result.display ? truncate(result.display, 4000) : undefined },
+                });
+            }
             if (result.images) {
                 images.push(...result.images);
             }
@@ -332,11 +344,12 @@ export class Agent {
             await this.ensureRoom(tools, signal);
             const before = this.deps.snapshots ? await this.deps.snapshots.track() : null;
             beginTurn();
-            turn = { messageIndex: this.session.messages.length, before, after: null, epoch: this.session.epoch, userText: input.text };
+            turn = { messageIndex: this.session.messages.length, before, after: null, epoch: this.session.epoch, userText: input.display ?? input.text };
             this.session.turns.push(turn);
             this.session.redo = [];
             this.session.agent = this.agent.name;
             this.session.messages.push(this.buildUserMessage(input));
+            this.logEntry({ role: "user", text: input.display ?? input.text, images: input.images?.length || undefined });
             saveSession(this.session);
             await this.loop(tools, signal);
         }
@@ -361,6 +374,9 @@ export class Agent {
             const result = await this.step(this.fullMessages(tools), tools, agent, signal, 0);
             const message = result.message;
             this.session.messages.push(message);
+            if (typeof message.content === "string" && message.content.trim() !== "") {
+                this.logEntry({ role: "assistant", text: message.content, model: result.slot.key });
+            }
             saveSession(this.session);
             if (!message.tool_calls || message.tool_calls.length === 0) {
                 if (this.events.onAnswer) {
@@ -387,6 +403,7 @@ export class Agent {
             if (this.queue.length > 0) {
                 for (const queued of this.queue.splice(0)) {
                     this.session.messages.push(this.buildUserMessage({ text: `[Mensaje nuevo del usuario mientras trabajabas] ${queued.text}`, images: queued.images }));
+                    this.logEntry({ role: "user", text: queued.text, images: queued.images?.length || undefined });
                 }
                 this.events.onInfo?.("(mensaje entregado al agente)");
                 saveSession(this.session);
@@ -464,6 +481,7 @@ export class Agent {
         }
         this.session.redo.push({ turn, messages: removed });
         this.readTimes.clear();
+        this.logEntry({ role: "info", text: `Deshecho: «${turn.userText}»${files.length > 0 ? ` (ficheros restaurados: ${files.join(", ")})` : ""}` });
         saveSession(this.session);
         return { files, text: turn.userText, restoredMessages };
     }
@@ -481,6 +499,7 @@ export class Agent {
         }
         this.session.turns.push(entry.turn);
         this.readTimes.clear();
+        this.logEntry({ role: "info", text: `Rehecho: «${entry.turn.userText}»` });
         saveSession(this.session);
         return { files };
     }

package/dist/agents.js

@@ -2,6 +2,7 @@ import path from "node:path";
 import { readMarkdownDir } from "./frontmatter.js";
 import { wildcardMatch } from "./match.js";
 import { GLOBAL_AGENTS_DIR } from "./paths.js";
+import { isProjectFile, projectTrust } from "./trust.js";
 const PLAN_PROMPT = `You are in PLAN mode: you can only read and search (and browse the web). Do NOT try to modify anything.
 Investigate the code and reply with a concrete, step-by-step plan: which files to change, what to change in each one and how to verify it.`;
 const GENERAL_PROMPT = `You are a subagent launched by the main agent to do one task on your own.
@@ -107,7 +108,7 @@ function fromInput(name, input, base, source) {
     };
 }
 // Agentes integrados + ~/.vipcode/agents + .vipcode/agents y .opencode/agent(s) del proyecto + "agents" del config
-export function loadAgents(root, config) {
+export function loadAgents(root, config, trusted = projectTrust(root).trusted) {
     const agents = new Map();
     for (const agent of BUILTIN) {
         agents.set(agent.name, { ...agent, tools: { ...agent.tools } });
@@ -128,6 +129,8 @@ export function loadAgents(root, config) {
     };
     for (const entry of readMarkdownDir(dirs)) {
         const data = entry.data;
+        // Un agente del proyecto en el que no confías no puede cambiar permisos ni dejar editar al modo plan
+        const own = trusted || !isProjectFile(root, entry.file);
         apply(entry.name, {
             description: data.description,
             mode: data.mode,
@@ -135,10 +138,10 @@ export function loadAgents(root, config) {
             model: data.model,
             temperature: data.temperature,
             tools: data.tools,
-            permission: data.permission,
+            permission: own ? data.permission : undefined,
             maxSteps: data.maxSteps ?? data.steps,
             color: data.color,
-            readOnly: data.readOnly,
+            readOnly: own ? data.readOnly : undefined,
             disable: data.disable,
         }, entry.file);
     }

package/dist/app.js

@@ -6,20 +6,21 @@ import { loadAgents, primaryAgents, subagents } from "./agents.js";
 import { envNames, maskKey, readAuth, removeAuth, resolveCredentials, saveAuth, urlVars } from "./auth.js";
 import { CATALOG } from "./catalog.js";
 import { expandCommand, loadCommands } from "./commands.js";
-import { CONFIG_PATH, isAnonymous, loadConfig, setGlobalConfigValue } from "./config.js";
+import { CONFIG_PATH, configNotices, isAnonymous, loadConfig, setGlobalConfigValue } from "./config.js";
 import { buildProviders, detectLocal, refreshModels } from "./discovery.js";
 import { isRemoteSession, loginOpenRouter, openBrowser } from "./login.js";
 import { LspManager } from "./lsp.js";
 import { McpManager } from "./mcp.js";
-import { AUTH_PATH, HOME_DIR, NOTICES_PATH, STATE_PATH } from "./paths.js";
+import { AUTH_PATH, HOME_DIR, NOTICES_PATH, STATE_PATH, ensureHomeDir } from "./paths.js";
 import { SessionGrants, createAsker, permissionsFor } from "./permissions.js";
 import { Ranking, loadRankingData, rankingKey, refreshRanking } from "./ranking.js";
 import { Router } from "./router.js";
 import { loadSkills, skillContent } from "./skills.js";
-import { deleteSession, listSessions, newSession, saveExport, saveSession } from "./session.js";
+import { deleteSession, listSessions, newSession, saveExport, saveSession, sessionMarkdownPath } from "./session.js";
 import { Snapshots } from "./snapshot.js";
 import { updateVipcode } from "./update.js";
 import { formatTodos, truncate } from "./tools.js";
+import { projectTrust } from "./trust.js";
 export const BUILTIN_COMMANDS = [
     { name: "help", description: "esta ayuda" },
     { name: "models", args: "[refresh]", description: "estado de cada modelo; elige uno o busca modelos nuevos" },
@@ -115,6 +116,9 @@ export class App {
     agents;
     commands;
     skills;
+    // Configuración que trae el proyecto y si la estamos usando (solo si confías en la carpeta)
+    trust;
+    trusted;
     lsp;
     mcp;
     snapshots;
@@ -130,15 +134,23 @@ export class App {
     });
     constructor(root, options = {}) {
         this.root = root;
-        this.config = loadConfig(root);
+        this.trust = projectTrust(root);
+        this.trusted = options.trusted ?? this.trust.trusted;
+        if (!this.trusted) {
+            const notice = `Esta carpeta trae configuración de vipcode que no estoy usando (${this.trust.files.join(", ")}): puede arrancar programas o cambiar a dónde van tus claves. Si confías en ella, ejecuta «vipcode trust».`;
+            if (!configNotices.includes(notice)) {
+                configNotices.push(notice);
+            }
+        }
+        this.config = loadConfig(root, { trusted: this.trusted });
         this.providers = buildProviders(this.config);
         this.ranking = this.buildRanking();
         this.router = new Router(this.config, this.providers, this.ranking);
         if (this.config.model) {
             this.router.pinned = this.config.model;
         }
-        this.agents = loadAgents(root, this.config);
-        this.commands = loadCommands(root, this.config);
+        this.agents = loadAgents(root, this.config, this.trusted);
+        this.commands = loadCommands(root, this.config, this.trusted);
         this.skills = loadSkills(root, this.config);
         this.lsp = new LspManager(root, this.config);
         if (!this.lsp.enabled()) {
@@ -205,7 +217,7 @@ export class App {
             // primera vez
         }
         data.privacy = new Date().toISOString();
-        fs.mkdirSync(HOME_DIR, { recursive: true });
+        ensureHomeDir();
         fs.writeFileSync(NOTICES_PATH, JSON.stringify(data, null, 2));
     }
     // «No usar nunca los que no piden clave»: se guarda en tu config global
@@ -807,7 +819,7 @@ export class App {
                     })));
                     if (choice) {
                         this.loadSession(choice);
-                        ui.info(`Cargada: ${choice.title} (${choice.messages.length} mensajes)`);
+                        return { loaded: true };
                     }
                     return {};
                 }
@@ -820,11 +832,9 @@ export class App {
                 const chosen = this.lastSessions[Number(arg) - 1];
                 if (chosen) {
                     this.loadSession(chosen);
-                    ui.info(`Cargada: ${chosen.title} (${chosen.messages.length} mensajes)`);
-                }
-                else {
-                    ui.error("Número no válido. Usa /sessions primero.");
+                    return { loaded: true };
                 }
+                ui.error("Número no válido. Usa /sessions primero.");
                 return {};
             }
             case "/delete": {
@@ -844,7 +854,7 @@ export class App {
                     ui.info("La conversación está vacía.");
                 }
                 else {
-                    ui.info(`Conversación guardada en ${saveExport(this.agent.session)}`);
+                    ui.info(`Conversación guardada en ${saveExport(this.agent.session)} (además se guarda sola en ${sessionMarkdownPath(this.agent.session)})`);
                 }
                 return {};
             }
@@ -923,13 +933,13 @@ export class App {
         const custom = this.commands.find((item) => item.name === name);
         if (custom) {
             const expanded = await expandCommand(custom, arg, this.root);
-            return { run: { input: { text: expanded }, options: { agent: custom.agent, model: custom.model, subtask: custom.subtask } } };
+            return { run: { input: { text: expanded, display: text.trim() }, options: { agent: custom.agent, model: custom.model, subtask: custom.subtask } } };
         }
         // /nombre-de-skill tarea: se le da la skill ya cargada junto con la tarea
         const skill = this.skills.find((item) => item.name === name && item.userInvocable);
         if (skill) {
             const task = arg ? `\n\nTarea: ${arg}` : "";
-            return { run: { input: { text: `Usa la skill «${skill.name}» para esto.${task}\n\n${skillContent(skill)}` }, options: {} } };
+            return { run: { input: { text: `Usa la skill «${skill.name}» para esto.${task}\n\n${skillContent(skill)}`, display: text.trim() }, options: {} } };
         }
         const agent = this.primaryAgents().find((item) => item.name === name);
         if (agent) {
@@ -998,6 +1008,8 @@ export class App {
                 signal?.removeEventListener("abort", stop);
                 const clean = output.replace(/\x1b\[[0-9;?]*[a-zA-Z]/g, "").trimEnd();
                 this.agent.addNote(`(El usuario ha ejecutado en la terminal \`${command}\`, código de salida ${code ?? "desconocido"}:\n\`\`\`\n${truncate(clean, 8000)}\n\`\`\`)\n\n`);
+                this.agent.logEntry({ role: "tool", text: truncate(clean, 4000), tool: { name: "bash", summary: `(tú) ${command}`, isError: code !== 0 } });
+                saveSession(this.agent.session);
                 resolve({ output: clean, code });
             };
             child.on("error", (err) => {

package/dist/auth.js

@@ -1,5 +1,5 @@
 import fs from "node:fs";
-import { AUTH_PATH, HOME_DIR } from "./paths.js";
+import { AUTH_PATH, ensureHomeDir } from "./paths.js";
 export function readAuth() {
     try {
         const data = JSON.parse(fs.readFileSync(AUTH_PATH, "utf8"));
@@ -13,7 +13,7 @@ export function readAuth() {
     return {};
 }
 function writeAuth(data) {
-    fs.mkdirSync(HOME_DIR, { recursive: true });
+    ensureHomeDir();
     // 0600: solo tu usuario puede leer las claves
     fs.writeFileSync(AUTH_PATH, JSON.stringify(data, null, 2), { mode: 0o600 });
     fs.chmodSync(AUTH_PATH, 0o600);

package/dist/commands.js

@@ -3,6 +3,7 @@ import path from "node:path";
 import { readMarkdownDir } from "./frontmatter.js";
 import { GLOBAL_COMMANDS_DIR } from "./paths.js";
 import { truncate } from "./tools.js";
+import { isProjectFile, projectTrust } from "./trust.js";
 const INIT_TEMPLATE = `Analiza este proyecto y crea (o mejora, si ya existe) el fichero AGENTS.md en la raíz, con las instrucciones que necesitaría otro agente de programación para trabajar aquí sin perder tiempo.
 
 Incluye solo lo que sea útil y concreto:
@@ -25,7 +26,7 @@ const BUILTIN = [
     { name: "review", description: "Revisa los cambios sin confirmar (no modifica nada)", template: REVIEW_TEMPLATE, agent: "plan", subtask: false, builtIn: true },
 ];
 // Comandos integrados + ~/.vipcode/commands + .vipcode/commands y .opencode/command(s) del proyecto + "commands" del config
-export function loadCommands(root, config) {
+export function loadCommands(root, config, trusted = projectTrust(root).trusted) {
     const commands = new Map();
     for (const command of BUILTIN) {
         commands.set(command.name, { ...command });
@@ -47,6 +48,7 @@ export function loadCommands(root, config) {
             subtask: Boolean(data.subtask),
             builtIn: false,
             source: entry.file,
+            allowShell: trusted || !isProjectFile(root, entry.file),
         });
     }
     for (const [name, input] of Object.entries(config.commands || {})) {
@@ -112,7 +114,7 @@ export async function expandCommand(command, args, root) {
     const shellPattern = /!`([^`]+)`/g;
     const commands = [...text.matchAll(shellPattern)];
     for (const match of commands) {
-        const output = await runShell(match[1], root);
+        const output = command.allowShell === false ? "(no ejecutado: esta carpeta no es de confianza; usa «vipcode trust»)" : await runShell(match[1], root);
         text = text.replace(match[0], () => output);
     }
     return text.trim();

package/dist/config.js

@@ -1,6 +1,7 @@
 import fs from "node:fs";
 import path from "node:path";
-import { CONFIG_PATH, HOME_DIR } from "./paths.js";
+import { CONFIG_PATH, ensureHomeDir } from "./paths.js";
+import { projectTrust } from "./trust.js";
 export { CONFIG_PATH, HOME_DIR, SESSIONS_DIR, STATE_PATH } from "./paths.js";
 export const DEFAULT_PERMISSION = {
     edit: "ask",
@@ -201,8 +202,8 @@ export function setGlobalConfigValue(key, value) {
     raw[key] = value;
     fs.writeFileSync(CONFIG_PATH, JSON.stringify(raw, null, 2));
 }
-export function loadConfig(root = process.cwd()) {
-    fs.mkdirSync(HOME_DIR, { recursive: true });
+export function loadConfig(root = process.cwd(), options = {}) {
+    ensureHomeDir();
     // La primera vez creamos el config con los valores por defecto para que puedas editarlo
     if (!fs.existsSync(CONFIG_PATH)) {
         fs.writeFileSync(CONFIG_PATH, JSON.stringify(TEMPLATE, null, 2));
@@ -215,8 +216,12 @@ export function loadConfig(root = process.cwd()) {
         configNotices.push(`He actualizado ${CONFIG_PATH} al formato nuevo (copia del antiguo en config.json.bak).`);
     }
     let config = mergeConfig(DEFAULT_CONFIG, raw);
-    for (const file of projectConfigFiles(root)) {
-        config = mergeConfig(config, readJson(file));
+    // La del proyecto puede arrancar programas o mandar tus claves a otro servidor: solo si confías en la carpeta
+    const trusted = options.trusted ?? projectTrust(root).trusted;
+    if (trusted) {
+        for (const file of projectConfigFiles(root)) {
+            config = mergeConfig(config, readJson(file));
+        }
     }
     if (!Array.isArray(config.providers)) {
         config.providers = [];

package/dist/debug.js

@@ -1,5 +1,5 @@
 import fs from "node:fs";
-import { DEBUG_LOG_PATH, HOME_DIR } from "./paths.js";
+import { DEBUG_LOG_PATH, ensureHomeDir } from "./paths.js";
 // Con VIPCODE_DEBUG=1 se apunta en ~/.vipcode/debug.log lo que pasa por dentro (peticiones, errores…)
 const enabled = process.env.VIPCODE_DEBUG === "1" || process.env.VIPCODE_DEBUG === "true";
 export function debugLog(...parts) {
@@ -23,7 +23,7 @@ export function debugLog(...parts) {
     })
         .join(" ");
     try {
-        fs.mkdirSync(HOME_DIR, { recursive: true });
+        ensureHomeDir();
         fs.appendFileSync(DEBUG_LOG_PATH, `[${new Date().toISOString()}] ${text}\n`);
     }
     catch {

package/dist/discovery.js

@@ -3,7 +3,7 @@ import { readAuth, resolveCredentials } from "./auth.js";
 import { CATALOG, RETIRED_PROVIDERS } from "./catalog.js";
 import { configNotices, isAnonymous, mergeProvider } from "./config.js";
 import { debugLog } from "./debug.js";
-import { HOME_DIR, MODELS_CACHE_PATH } from "./paths.js";
+import { MODELS_CACHE_PATH, ensureHomeDir } from "./paths.js";
 // Modelos que no sirven para chatear (embeddings, voz, imágenes, vídeo…)
 const NON_CHAT = /embed|bge-|minilm|rerank|guard|safety|moderation|whisper|tts|transcri|speech|audio-|native-audio|image|imagen|flux|diffusion|sdxl|video|veo|lyria|ocr|retriever|reward|nvclip|clip-|cosmos|bevformer|sparsedrive|streampetr|detector|studiovoice|riva|canary|parakeet|paligemma|grounding|aqa|deplot|kosmos|fuyu|neva|translate|computer-use|robotics|-live|usdcode|usdvalidate|usdsearch/i;
 export function readDiscovery() {
@@ -20,7 +20,7 @@ export function readDiscovery() {
 }
 function writeDiscovery(cache) {
     try {
-        fs.mkdirSync(HOME_DIR, { recursive: true });
+        ensureHomeDir();
         fs.writeFileSync(MODELS_CACHE_PATH, JSON.stringify(cache, null, 2));
     }
     catch {

package/dist/index.js

@@ -10,10 +10,12 @@ import { isImagePath, toDataUrl } from "./images.js";
 import { REPO_URL, VERSION } from "./meta.js";
 import { NoSlotError } from "./router.js";
 import { appendHistory, exportMarkdown, listSessions, loadSession, saveExport } from "./session.js";
+import { stripControl } from "./sanitize.js";
 import { createSkill, installSkills, loadSkills, removeSkill } from "./skills.js";
+import { projectTrust, trustProject, untrustProject } from "./trust.js";
 import { updateVipcode } from "./update.js";
 import { completeMention } from "./tools.js";
-import { plainAdapter, plainEvents, plainPermissionPrompt, ui } from "./ui.js";
+import { plainAdapter, plainEvents, plainPermissionPrompt, printLog, ui } from "./ui.js";
 const USAGE = `vipcode ${VERSION} · agente de programación para la terminal con IAs gratuitas
 
 Uso:
@@ -28,6 +30,7 @@ Uso:
   vipcode skills new <nombre>      crea una skill vacía para rellenar
   vipcode skills remove <nombre>   borra una skill instalada con vipcode
   vipcode update                   actualiza vipcode (del repositorio o a la última versión publicada)
+  vipcode trust                    confiar en la configuración que trae esta carpeta (vipcode untrust lo deshace)
   vipcode sessions                 sesiones guardadas de esta carpeta
   vipcode export [id]              guarda una sesión en Markdown (por defecto la última)
 
@@ -70,7 +73,7 @@ function parseArgs(argv) {
         project: false,
         force: false,
     };
-    const commands = ["run", "auth", "models", "skills", "sessions", "export", "update", "help"];
+    const commands = ["run", "auth", "models", "skills", "sessions", "export", "update", "trust", "untrust", "help"];
     for (let i = 0; i < argv.length; i++) {
         const arg = argv[i];
         if (arg === "-c" || arg === "--continue") {
@@ -288,6 +291,28 @@ function runSkills(options, root) {
     ui.error(`Subcomando desconocido: ${sub}. Usa list, add, new o remove.`);
     process.exitCode = 1;
 }
+function showTrust(trust) {
+    console.log(pc.yellow("⚠ Esta carpeta trae configuración propia de vipcode:"));
+    for (const change of trust.changes) {
+        console.log(`  · ${stripControl(change)}`);
+    }
+    console.log(pc.dim("  Puede hacer que vipcode arranque programas, mande tus claves a otro servidor o deje de pedirte permiso."));
+}
+// Antes de abrir la interfaz: ¿usamos la configuración del proyecto?
+async function askTrust(trust) {
+    showTrust(trust);
+    const rl = readline.createInterface({ input: process.stdin, output: process.stdout });
+    try {
+        const answer = (await rl.question("¿Confías en esta carpeta y quieres usar esa configuración? (s/N) ")).trim().toLowerCase();
+        return ["s", "si", "sí", "y", "yes"].includes(answer);
+    }
+    catch {
+        return false;
+    }
+    finally {
+        rl.close();
+    }
+}
 function noModelsHelp() {
     ui.error('No hay ningún modelo disponible (los proveedores sin clave se desactivan con "keyless": false o al limitar enabledProviders).');
     console.log(`Añade una clave gratuita con:   vipcode auth login
@@ -395,6 +420,7 @@ async function plainLoop(app, options, root) {
     };
     const adapter = { ...plainAdapter, setInput: (text) => ui.info(`Tu mensaje era: ${text}`) };
     ui.banner(app.agent.agent.name, app.router.slots.length);
+    printLog(app.agent.session);
     if (options.args.length > 0) {
         await runTask(options.args.join(" "), {}, loadImages(options.images, root));
     }
@@ -428,6 +454,9 @@ async function plainLoop(app, options, root) {
             if (result.exit) {
                 break;
             }
+            if (result.loaded) {
+                printLog(app.agent.session);
+            }
             if (result.run) {
                 await runTask(result.run.input.text, result.run.options);
             }
@@ -452,6 +481,21 @@ async function main() {
         runSkills(options, root);
         return;
     }
+    if (options.command === "trust") {
+        const trust = projectTrust(root);
+        if (!trust.fingerprint) {
+            ui.info("Esta carpeta no trae configuración de vipcode: no hace falta confiar en ella.");
+            return;
+        }
+        showTrust(trust);
+        trustProject(root);
+        ui.info("Hecho: vipcode usará esa configuración en esta carpeta. Si cambia, te volverá a preguntar.");
+        return;
+    }
+    if (options.command === "untrust") {
+        ui.info(untrustProject(root) ? "Hecho: ya no uso la configuración de esta carpeta." : "No confiabas en esta carpeta.");
+        return;
+    }
     if (options.command === "update") {
         const result = await updateVipcode((text) => ui.info(text));
         if (result.status === "error") {
@@ -503,7 +547,16 @@ async function main() {
     else if (options.continueLast) {
         session = listSessions(root)[0];
     }
-    const app = new App(root, { session, agentName: options.agent || undefined });
+    // En la interfaz se pregunta si usar la configuración del proyecto; con «run» se avisa y no se usa
+    let trusted;
+    const trust = projectTrust(root);
+    if (!trust.trusted && options.command === "" && process.stdin.isTTY) {
+        trusted = await askTrust(trust);
+        if (trusted) {
+            trustProject(root);
+        }
+    }
+    const app = new App(root, { session, agentName: options.agent || undefined, trusted });
     if (options.agent && !app.agents.some((agent) => agent.name === options.agent)) {
         ui.error(`No existe el agente «${options.agent}».`);
         process.exitCode = 1;