Andrew Ng lanzo OpenWorker el 23 de julio, un agente de escritorio con licencia MIT y ahora en beta abierta cuyo encuadre marca una ruptura pequena pero real. Uno no le escribe una consigna, le da un resultado: un documento pulido, una respuesta que contiene las cifras reales, un calendario actualizado, una bandeja de entrada depurada. El agente descompone el resultado en pasos, trabaja sobre archivos locales y aplicaciones conectadas, y consulta antes de hacer cualquier cosa consecuente. Ng lo llama un companero de trabajo y no un chatbot, y el producto esta construido para que eso sea mas que un eslogan.
Es local primero en sentido estricto. El bucle del agente, las conversaciones, los tokens de los conectores y las claves de API de los modelos viven todos en la maquina del usuario. La pila es una carcasa de escritorio con Tauri 2 y React 18 sobre un servidor Python FastAPI escuchando en 127.0.0.1:8765, con turnos limitados a 12 iteraciones. Un enrutador de modelos agnostico construido sobre aisuite ofrece unos 30 modelos seleccionados que se manejan con las claves propias del usuario, o modelos totalmente locales mediante Ollama. Vienen alrededor de 25 conectores, entre ellos GitHub, Slack, Jira, Notion, Linear y HubSpot, ademas de acceso a la terminal y a los archivos locales.
La parte que merece estudio es el modelo de permisos. Cada llamada a herramienta se clasifica en una de cuatro clases de riesgo antes de ejecutarse: read, sin efectos secundarios, write_local, que modifica el espacio de trabajo y queda acotada a una ruta, exec, que corre comandos, y external, cuyos efectos salen de la maquina. Encima se apoyan cinco modos. Discuss y plan son de solo lectura, interactive es el predeterminado y pide confirmacion antes de escrituras y llamadas externas, auto permite todo dentro del limite de ruta, y custom aprueba automaticamente una lista blanca definida por el usuario. Los comandos de shell siempre requieren aprobacion, sea cual sea el modo.
La mejor decision de diseno es lo que el modo desatendido no hace. No eleva la autonomia del agente. Redirige las aprobaciones a una bandeja de entrada y suspende la sesion hasta que un humano responda. La mayoria de los agentes de escritorio tratan desatendido como sinonimo de confiable, lo que convierte en silencio nadie esta mirando en puedes hacer mas. Mantener esas dos ideas separadas es casi toda la diferencia entre un agente que se puede dejar corriendo y uno que no se deberia.
Eso es lo que lo vuelve mas que una entrada mas en una categoria saturada. Los agentes de escritorio llevan un ano saliendo con historias de seguridad que se reducen a un cuadro de confirmacion atornillado a la interfaz. Tipar el riesgo en la capa de herramientas, antes de que la llamada se ejecute, es estructural y no cosmetico, y una licencia MIT significa que el patron puede leerse y copiarse en lugar de admirarse desde afuera. Viniendo de alguien cuyo alcance siempre ha pasado por la ensenanza, ese es probablemente el punto.