Límites de confianza
Modelo de seguridad de QZX
QZX es una interfaz local de comandos, no un sandbox. Se ejecuta con los permisos del usuario actual y varios comandos documentados pueden cambiar archivos, procesos, repositorios, destinos remotos u otro estado del sistema.
- 1 · SolicitanteUna persona, script o agente elige la operación y sus argumentos.
- 2 · QZXQZX valida su interfaz documentada e invoca la implementación.
- 3 · Sistema operativoEl host aplica los permisos de la cuenta actual y sus restricciones nativas.
- 4 · RecursosArchivos, procesos, repositorios, destinos de red y otro estado pueden leerse o modificarse.
La regla central
Trata cada comando y argumento elegido por un agente como una operación que todavía necesita autorización normal. La salida estructurada mejora la observabilidad; no vuelve segura una acción peligrosa.
Comandos de lectura y mutación
Cada página de comando declara la clasificación actual. Entre las mutaciones están crear o borrar archivos, cambiar permisos, formatear, generar estructuras, terminar procesos, desplegar y preparar releases. Revisa la página exacta antes de ejecutar.
Dry-run y apply
Dry-run depende de cada comando; no es una garantía universal. repairWorkspace usa dry-run por defecto y exige --dry_run False junto con --apply True para modificar archivos. Otros comandos tienen valores distintos o no ofrecen dry-run.
Ejecución nativa
QZX ofrece comandos específicos en lugar de un puente genérico. runDiagnosticCommand acepta una lista diagnóstica acotada, desactiva la expansión de shell, limita la salida y detiene comandos tras 30 segundos. Las mutaciones de archivos de alto riesgo crean primero un archivo de recuperación; --dangerously-bypass-approvals-and-sandbox/--yolo omite esa protección de QZX. Acciones sin ruta restaurable, como runScript, exigen la bandera. Estas protecciones complementan, pero no reemplazan, los permisos del sistema operativo.
Comportamiento de red
Los comandos de red pueden realizar consultas DNS, TLS, URL, velocidad, configuración, descarga, salud o despliegue. Además, salvo que la telemetría esté desactivada, la CLI usa telemetría seudónima de baja frecuencia para activación de versión y resúmenes cerrados de uso de 10 días.
Rutas, enlaces y permisos
La normalización de rutas, recorrido recursivo, enlaces simbólicos, sobrescritura y privilegios varían según el comando. QZX aún no publica una garantía global para todas las operaciones. Revisa parámetros, fuente y salida dry-run.
Modelo de amenazas
El llamador previsto es un usuario local de confianza o una automatización dentro de su autoridad. QZX no aísla un modelo no confiable, valida la intención de negocio ni sustituye controles del sistema, copias de seguridad, revisión de código o aprobación explícita.
Analítica del sitio web
El sitio público de QZX registra pageviews, engagement de sesión, señales de rendimiento del navegador y algunas interacciones de producto para distinguir rutas de adquisición útiles de métricas de vanidad. Las solicitudes pueden incluir metadatos ordinarios observados por el servidor, como dirección IP y user agent.
Algunas interacciones de producto usan etiquetas breves action/target, por ejemplo copy_install_command, copy_project_workflow, copy_agent_instructions o start_professional_services_form junto con la ruta elegida. La señal del formulario profesional se emite sólo con el primer foco y no contiene ningún valor de campo. En botones de copia, QZX registra la conversión únicamente después de que el navegador confirma que la copia tuvo éxito. Estos eventos no contienen contenido del formulario, comandos copiados, contenido del portapapeles, entrada de terminal, datos del proyecto ni contenido de archivos.
Opinión opcional sobre los flujos
Las guías de proyecto y diagnóstico web permiten elegir si el flujo te ayudó, te bloqueaste al instalar, te bloqueaste al ejecutar o el resultado fue confuso. Sólo se añade la categoría elegida y la etiqueta del flujo a la sesión analítica existente del sitio; no se recopilan salida de terminal, destino, portapapeles, texto libre ni un identificador nuevo.
Los enlaces de ayuda funcionan sin responder. La recomendación inmediata confirma tu elección, no la recepción en el servidor, y sigue siendo útil sin conexión. El informe usa la última elección recibida por sesión de navegador y flujo. Es una valoración voluntaria, no una prueba de ejecución, una satisfacción representativa, un prospecto ni un pago. Las pruebas quedan separadas.
Telemetría seudónima de la CLI
Por defecto, QZX envía como máximo un evento version_first_run por versión y puede enviar un usage_window de 10 días, alineado globalmente y todavía no enviado, después de que ese bloque cierre. El uso se agrega localmente por día antes de transmitirse. El bloque cerrado contiene nombres canónicos de comandos con cantidad de ejecuciones, tiempo acumulado/máximo, días activos y evidencia gruesa de TTY/foreground/input reciente del SO. Nunca envía argumentos de comandos, entrada o salida de terminal, rutas, valores de entorno, usuarios, hostnames, contenido de archivos, teclas, coordenadas o trayectorias del puntero, clics ni eventos HID crudos. El servidor también observa la IP de la solicitud y la hora de recepción. El input reciente del SO es sólo una arista débil y nunca se trata como prueba por sí sola.
QZX_TELEMETRY=0 qzx welcomeDO_NOT_TRACK=1 qzx welcomeQZX_TELEMETRY=0 o DO_NOT_TRACK=1 desactiva la recopilación; QZX_TELEMETRY=1 explícito tiene prioridad sobre DNT. Los fallos de red o almacenamiento nunca cambian el resultado del comando y un evento pendiente puede reintentarse. Las IP se conservan 1.825 días; el borrado exige el UUID aleatorio de instalación y una solicitud privada. El estado local puede redirigirse con QZX_TELEMETRY_STATE_DIR. Lee la política completa de telemetría y borrado o revisa la implementación.
Reportar una vulnerabilidad
Usa la vía privada de contacto para informes sensibles. No publiques credenciales, material de explotación, rutas privadas ni identificadores de instalación en un issue público.