# VS Code 1.141: cómo poner en sandbox Copilot y los agentes de IA locales

> VS Code 1.141: configura la sandbox de Copilot, bloquea archivos sensibles y la red, prueba los rechazos y retoma tus sesiones de Codex.

Desarrollo web · Agentes de IA

## VS Code 1.141: cómo poner en sandbox Copilot y los agentes de IA locales

Desde el 7 de octubre de 2026, protege la ejecución de los agentes de Copilot: configuración paso a paso, pruebas de rechazo y reanudación de sesiones de Codex.

![VS-Code-Sandbox-Safer-Local-AI.webp](https://sdx-development.com/media/News/VS-Code-Sandbox-Safer-Local-AI.webp?v=1791783526)

[Desarrollo web](https://sdx-development.com/es/noticias/desarrollo-web)Publicado el 12 de octubre de 2026

Disponible en versión estable desde el **7 de octubre de 2026**, VS Code 1.141 introduce un cambio concreto en el trabajo con agentes de desarrollo: ahora se pueden ejecutar las herramientas de **Copilot Agent Host** en una sandbox en Windows, macOS y Linux. Esta controla los archivos y recursos de red accesibles cuando un agente ejecuta comandos, en lugar de depender únicamente de un mensaje de confirmación.

 

Ese mismo día, GitHub anunció la **disponibilidad general del sandboxing local de Copilot** en Copilot CLI, la aplicación Copilot y las sesiones de VS Code que utilizan Agent Host, sin coste adicional en Copilot. Sin embargo, hay que tener en cuenta que los requisitos previos varían según la plataforma y que la documentación de VS Code sigue describiendo la compatibilidad con Windows como **experimental**. Esta guía propone una configuración que puedes probar, desde el repositorio actual hasta los archivos sensibles, y muestra cómo retomar varias conversaciones de Copilot y Codex.

 

Puntos clave 

## Controlar la ejecución, no solo el prompt

 

La sandbox aplica restricciones reales a las operaciones compatibles con Agent Host, incluidos los comandos y sus procesos secundarios. **Está desactivada de forma predeterminada**; sobre todo, activarla **no corta automáticamente el acceso a Internet**. Los directorios, las credenciales, el acceso a la red y la posibilidad de ejecutar comandos fuera de la sandbox se configuran por separado.

 

**En este artículo** 

[Funcionamiento](https://sdx-development.com/es/noticias/desarrollo-web/vs-code-1-141-sandbox-copilot-agentes-ia-locales#vs141-perimetre)[Requisitos previos](https://sdx-development.com/es/noticias/desarrollo-web/vs-code-1-141-sandbox-copilot-agentes-ia-locales#vs141-prerequis)[Activación](https://sdx-development.com/es/noticias/desarrollo-web/vs-code-1-141-sandbox-copilot-agentes-ia-locales#vs141-activer)[Restricciones](https://sdx-development.com/es/noticias/desarrollo-web/vs-code-1-141-sandbox-copilot-agentes-ia-locales#vs141-fichiers)[Pruebas](https://sdx-development.com/es/noticias/desarrollo-web/vs-code-1-141-sandbox-copilot-agentes-ia-locales#vs141-tester)[Red](https://sdx-development.com/es/noticias/desarrollo-web/vs-code-1-141-sandbox-copilot-agentes-ia-locales#vs141-reseau)[Copilot y Codex](https://sdx-development.com/es/noticias/desarrollo-web/vs-code-1-141-sandbox-copilot-agentes-ia-locales#vs141-codex)[Limitaciones](https://sdx-development.com/es/noticias/desarrollo-web/vs-code-1-141-sandbox-copilot-agentes-ia-locales#vs141-securite)

 

## Por qué esta sandbox cambia el trabajo con Copilot

 

Un agente puede instalar dependencias, explorar un repositorio, modificar archivos o ejecutar un script. Sin una política explícita, estas acciones pueden acceder a más recursos de los necesarios. En VS Code 1.141, la sandbox de **Copilot Agent Host** combina restricciones del sistema operativo y controles propios del host del agente. Permite distinguir entre rutas **accesibles en lectura y escritura**, **de solo lectura** y **prohibidas**, además de gestionar la red, el acceso a Git y a las credenciales de GitHub CLI, así como a los servidores MCP y los servidores de lenguaje cuando los gestiona Agent Host.

 

**Las aprobaciones y la sandbox no son equivalentes:** la aprobación decide si una acción puede iniciarse; la sandbox determina qué recursos puede utilizar. En una sesión remota, estas limitaciones se aplican en **el host que ejecuta las herramientas**, y las rutas configuradas son las de ese host, que no tienen por qué ser las de tu ordenador local.

 

## Comprobar los requisitos previos antes de empezar

 
- **VS Code:** instala la versión estable 1.141 o posterior, abre el repositorio y elige una sesión que utilice **Copilot Agent Host** y sus herramientas integradas. Los antiguos modos Local y los terminales personalizados no siempre utilizan los mismos parámetros.
- **macOS:** según Microsoft, Agent Host no requiere componentes adicionales.
- **Linux o WSL2:** instala ` bubblewrap ` y ` socat ` en el host de ejecución. En Debian o Ubuntu: ` sudo apt-get install bubblewrap socat `. WSL1 no es compatible.
- **Windows:** para Agent Host, Microsoft menciona las actualizaciones **KB5124008** (Windows 11 24H2/25H2) y **KB5124012** (26H1). La compatibilidad con Windows sigue siendo experimental; los requisitos indicados para Copilot CLI no tienen por qué ser idénticos.
 

Este tutorial trata sobre la sandbox de las operaciones ejecutadas por **Copilot Agent Host**. Importar una conversación de Codex a la interfaz no significa que su ejecución quede automáticamente sujeta a esta misma política.

 

## Paso 1 — Activar la sandbox y comprobar su política

 
1. En VS Code, abre la configuración JSON del host que ejecutará Agent Host.
2. Añade el parámetro ` "chat.agent.sandbox.enabled": "on" `; los valores aceptados son ` on ` y ` off `, no valores booleanos.
3. Crea una **nueva sesión de Copilot Agent Host**. En una sesión abierta, el menú **Permissions → Sandboxing for terminal** también permite activar la protección para esa sesión.
4. Envía ` /sandbox policy ` en el chat de Agent Host. El informe que abre VS Code indica si la sandbox está activa, qué sistema la aplica y qué permisos de archivos y red están vigentes.
 

El **directorio de trabajo actual** obtiene automáticamente permisos de lectura y escritura. Por tanto, abre únicamente el repositorio correspondiente, en lugar de dar acceso a todo el directorio del usuario. El informe de política permite identificar las concesiones implícitas y las posibles reglas de la organización.

 

## Paso 2 — Permitir el repositorio, bloquear secretos y cortar Internet

 

A continuación se muestra un ejemplo **deliberadamente restrictivo** para incluir en el ` settings.json ` del host de ejecución. Se presupone que la carpeta ` /Users/dev/projets/mon-app ` está abierta como directorio de trabajo. **Sustituye todas las rutas absolutas por las tuyas**: los ejemplos siguientes tienen formato macOS y deben adaptarse para Linux o Windows.

 

settings.jsonJSON

 

```
{
  "chat.agent.sandbox.enabled": "on",
  "chat.agent.sandbox.fileSystem.userConfiguredPaths": {
    "deniedPaths": [
      "/Users/dev/.ssh",
      "/Users/dev/projets/mon-app/.env",
      "/Users/dev/projets/mon-app/.sandbox-demo-secret"
    ]
  },
  "chat.agent.sandbox.fileSystem.allowDevToolAccess": false,
  "chat.agent.sandbox.network.allowNetwork": false,
  "chat.agent.sandbox.network.allowLocalNetwork": false,
  "chat.agent.sandbox.credentials.authenticategit": false,
  "chat.agent.sandbox.credentials.authenticategh": false,
  "chat.agent.sandbox.allowUnsandboxedCommands": false
}
```

 

Con esta configuración, el repositorio actual sigue siendo accesible para modificar el código, pero ` .ssh `, ` .env ` y un archivo de prueba ficticio quedan explícitamente prohibidos. El parámetro ` allowDevToolAccess: false ` elimina permisos implícitos sobre ciertas herramientas, cachés y configuraciones de desarrollo; por tanto, puede impedir instalaciones o compilaciones. Después, añade únicamente las rutas estrictamente necesarias, tras comprobarlas en ` /sandbox policy `.

 

Se desactivan tanto las conexiones salientes como la red local; también se deshabilitan los mecanismos de acceso a las credenciales de Git y ` gh `. Por último, ` allowUnsandboxedCommands: false ` impide que el agente proponga ejecutar fuera de la sandbox cuando se rechaza un comando. Con el valor predeterminado ` true `, se puede solicitar eludir la sandbox con una confirmación: antes de permitirlo, hay que entender las consecuencias.

 

Punto delicado 

## El propio repositorio puede contener secretos

 

Los archivos ` .env `, las claves o los tokens almacenados en el proyecto no quedan protegidos por el simple hecho de estar excluidos de Git. Las restricciones de rutas deben incluirlos expresamente. En Windows, no des por hecho que una regla está activa sin haberla probado: algunas capacidades siguen siendo experimentales.

 

## Paso 3 — Probar un comando permitido y dos rechazos

 

Para comprobar el resultado sin arriesgarte a exponer una clave real, crea **manualmente** en el repositorio un archivo ` .sandbox-demo-secret ` que contenga únicamente texto ficticio y asegúrate de que su ruta figura en ` deniedPaths `. Después, desde **el chat del agente** —no desde el terminal habitual de VS Code—, solicita las siguientes acciones:

 
1. **Escritura permitida:** crear ` .sandbox-test-ok.txt ` en la raíz del repositorio. La operación debería completarse, ya que el directorio de trabajo tiene acceso de escritura.
2. **Lectura prohibida:** intentar leer ` .sandbox-demo-secret `. El acceso debería rechazarse, sin mostrar el contenido ficticio.
3. **Conexión prohibida:** solicitar ` curl -I https://example.com `. Con ` allowNetwork: false `, la solicitud saliente debería fallar.
4. **Verificación:** vuelve a ejecutar ` /sandbox policy ` y compara las reglas indicadas con el comportamiento observado. Si funciona algún acceso prohibido, detén la prueba y comprueba el host, el motor utilizado y sus parámetros.
 

El texto exacto de los errores varía según la plataforma. El objetivo es obtener un **rechazo real**, no un mensaje concreto. Cuando termines las pruebas, elimina los archivos de prueba. Evita utilizar datos sensibles reales como cebo.

 

## Paso 4 — Permitir únicamente los servicios indispensables

 

Puede que una compilación necesite el registro de npm o una API de GitHub. Si hay que reactivar la red, es preferible especificar los destinos de forma explícita en lugar de volver a permitir todas las conexiones. Ejemplo para sustituir las claves de red anteriores:

 

settings.json · acceso a la redJSON

 

```
{
  "chat.agent.sandbox.network.allowNetwork": true,
  "chat.agent.sandbox.network.allowedDomains": [
    "registry.npmjs.org",
    "api.github.com"
  ]
}
```

 

Estos dominios son **ejemplos**: comprueba cuáles necesita realmente el proyecto. El acceso a la red local es un permiso independiente. Atención: **en Windows, un proxy, el filtrado por nombre de host o la ocultación de credenciales pueden requerir que se active la red local**, lo que amplía la superficie de acceso. Comprueba las limitaciones de tu plataforma antes de adoptar esta configuración.

 

Para los servidores iniciados o gestionados por Agent Host, los ajustes ` chat.agent.sandbox.mcpServers ` y ` chat.agent.sandbox.lspServers ` permiten mantener el aislamiento cuando está disponible. Un servidor MCP iniciado independientemente de Agent Host no queda incluido automáticamente en este ámbito.

 

## Paso 5 — Retomar Copilot CLI, la aplicación Copilot y Codex

 

VS Code 1.141 también mejora el **seguimiento de varios agentes**. La ventana **Agents** detecta conversaciones externas creadas en Copilot CLI y en la aplicación Copilot en cuanto registran actividad, y permite abrirlas y continuarlas. También puede retomar conversaciones iniciadas en **Codex CLI** o en la aplicación local **ChatGPT/Codex**, con su historial, cuando Codex está activado.

 
1. Abre la ventana Agents y muestra las conversaciones externas con el filtro **Created Externally**. Si es necesario, acota los resultados con los filtros **Created In**, **Harness** y **Environment**.
2. Abre una sesión existente para retomar su contexto sin crear una conversación nueva.
3. Si una conversación de Codex muestra *This chat is open in another app*, cierra por completo la aplicación ChatGPT o la sesión de Codex CLI que la tiene abierta y haz clic en **Retry**. Solo una aplicación puede enviar mensajes en una misma conversación a la vez.
4. Arrastra las conversaciones a la **cuadrícula de sesiones** para colocarlas una al lado de otra y comparar una refactorización, las pruebas y un análisis de seguridad.
 

**Las políticas no son universales:** Copilot CLI tiene su propio comando ` /sandbox `, la aplicación Copilot cuenta con ajustes por proyecto y VS Code Agent Host utiliza sus propios parámetros de host. Cambiar los permisos en una aplicación no configura automáticamente las demás. Retomar un chat de Codex en VS Code tampoco garantiza que sus comandos respeten la sandbox del motor de Copilot.

 

## Qué no garantiza esta sandbox

 

Microsoft recuerda que la sandbox **añade una capa de protección, pero no constituye por sí sola una frontera de seguridad completa**. Los procesos siguen ejecutándose en el host, con la cuenta del usuario. Algunas restricciones se basan en controles integrados en el agente, en lugar de un aislamiento puramente a nivel del sistema. Esto no sustituye las actualizaciones, la gestión estricta de credenciales ni la revisión de comandos y modificaciones.

 

La **disponibilidad general anunciada por GitHub el 7 de octubre de 2026** supone un avance importante, pero no elimina los requisitos del sistema, las limitaciones experimentales de Windows ni las particularidades de las políticas empresariales. Para ejecutar dependencias poco fiables, puede seguir siendo necesario complementar la sandbox local con una VM o un Dev Container.

 

## Lista de comprobación antes de dar autonomía a un agente

 
1. **Elegir el repositorio adecuado** e identificar el host de ejecución real.
2. **Activar la sandbox** y leer ` /sandbox policy `.
3. **Bloquear los secretos** mediante rutas explícitas, también dentro del repositorio.
4. **Limitar Internet y la red local** a las necesidades del proyecto.
5. **Reducir las credenciales** y rechazar las salidas innecesarias de la sandbox.
6. **Probar un rechazo** antes de iniciar sesiones largas o paralelas.

 

Fuentes oficiales Microsoft y GitHub

 

Comunicados y documentación consultados para los ajustes y las limitaciones:

 
- [VS Code 1.141 — notas de la versión del 7 de octubre de 2026](https://code.visualstudio.com/updates/v1_141).
- [VS Code — sesiones de Copilot Agent Host en sandbox](https://code.visualstudio.com/docs/agents/run/agent-sandboxing).
- [GitHub Changelog — disponibilidad general del sandboxing local](https://github.blog/changelog/2026-10-07-local-sandboxing-for-github-copilot-now-generally-available/).
- [GitHub Docs — configuración de los ajustes de la sandbox local](https://docs.github.com/en/copilot/how-tos/cloud-and-local-sandboxes/configuring-local-sandbox-settings).

Desarrollo web

## Prepare la próxima actualización de su aplicación web.

Migración de PHP, actualización de un CMS o cambio de framework: identifique los problemas de compatibilidad y pruebe los recorridos esenciales antes de publicar.

- Compatibilidad de las dependencias comprobada
- Recorridos esenciales probados en preproducción
- Despliegue con un plan de reversión

[Planificar su actualización](https://sdx-development.com/es/contacto)[Ver nuestras especialidades](https://sdx-development.com/es/servicios)

---

[Consultar la página HTML](https://sdx-development.com/es/noticias/desarrollo-web/vs-code-1-141-sandbox-copilot-agentes-ia-locales)