sergio/takana
> Una distribución Linux construida con un laboratorio funcional y hermético en el > sótano, y una terminal mutable, clásica y anárquica en el piso de arriba — diseñada > desde el suelo para que una IA programadora entienda, modifique y co…
Fase 5: política de caps del bus desde agent-caps.toml
1# Política de capacidades del bus de agente (hammerd). Ver docs/07-agent-bus.md §4.
2#
3# Colócala en /etc/hammer/agent-caps.toml (o pásala con `hammerd --agent-caps RUTA`).
4# El daemon concede caps a cada conexión según el (uid, gid) del peer — autenticados por
5# SO_PEERCRED. El peer NUNCA elige sus caps. Caps válidas:
6# query | compile | inject | inject-real | init
7#
8# Caps para cualquier peer que no case ninguna regla.
9default = ["query"]
10
11# Reglas: se evalúan en orden y gana la PRIMERA que casa. Una regla casa si TODOS los campos
12# que declara (`uid` y/o `gid`) coinciden con el peer.
13
14# root: todo, incluido inject-real (escribir en el FHS real, no sólo en overlay).
15[[rule]]
16uid = 0
17caps = ["query", "compile", "inject", "inject-real", "init"]
18
19# Miembros del grupo `hammer` (ajusta el gid a tu sistema): pueden compilar e inyectar en
20# overlay, pero no pisar el FHS real ni mandar al init.
21[[rule]]
22gid = 994
23caps = ["query", "compile", "inject"]
24
25# Una cuenta de servicio de la IA: sólo compilar y consultar.
26[[rule]]
27uid = 1100
28caps = ["query", "compile"]