Andrew Ng lanzó OpenWorker el 23 de julio, un agente de escritorio con licencia MIT y ahora en beta abierta cuyo encuadre marca una ruptura pequeña pero real. Uno no le escribe una consigna, le da un resultado: un documento pulido, una respuesta que contiene las cifras reales, un calendario actualizado, una bandeja de entrada depurada. El agente descompone el resultado en pasos, trabaja sobre archivos locales y aplicaciones conectadas, y consulta antes de hacer cualquier cosa consecuente. Ng lo llama un compañero de trabajo y no un chatbot, y el producto está construido para que eso sea más que un eslogan.

Es local primero en sentido estricto. El bucle del agente, las conversaciones, los tokens de los conectores y las claves de API de los modelos viven todos en la máquina del usuario. La pila es una carcasa de escritorio con Tauri 2 y React 18 sobre un servidor Python FastAPI escuchando en 127.0.0.1:8765, con turnos limitados a 12 iteraciones. Un enrutador de modelos agnóstico construido sobre aisuite ofrece unos 30 modelos seleccionados que se manejan con las claves propias del usuario, o modelos totalmente locales mediante Ollama. Vienen alrededor de 25 conectores, entre ellos GitHub, Slack, Jira, Notion, Linear y HubSpot, además de acceso a la terminal y a los archivos locales.

La parte que merece estudio es el modelo de permisos. Cada llamada a herramienta se clasifica en una de cuatro clases de riesgo antes de ejecutarse: read, sin efectos secundarios, write_local, que modifica el espacio de trabajo y queda acotada a una ruta, exec, que corre comandos, y external, cuyos efectos salen de la máquina. Encima se apoyan cinco modos. Discuss y plan son de solo lectura, interactive es el predeterminado y pide confirmación antes de escrituras y llamadas externas, auto permite todo dentro del límite de ruta, y custom aprueba automáticamente una lista blanca definida por el usuario. Los comandos de shell siempre requieren aprobación, sea cual sea el modo.

La mejor decisión de diseño es lo que el modo desatendido no hace. No eleva la autonomía del agente. Redirige las aprobaciones a una bandeja de entrada y suspende la sesión hasta que un humano responda. La mayoría de los agentes de escritorio tratan desatendido como sinónimo de confiable, lo que convierte en silencio nadie está mirando en puedes hacer más. Mantener esas dos ideas separadas es casi toda la diferencia entre un agente que se puede dejar corriendo y uno que no se debería.

Eso es lo que lo vuelve más que una entrada más en una categoría saturada. Los agentes de escritorio llevan un año saliendo con historias de seguridad que se reducen a un cuadro de confirmación atornillado a la interfaz. Tipar el riesgo en la capa de herramientas, antes de que la llamada se ejecute, es estructural y no cosmético, y una licencia MIT significa que el patrón puede leerse y copiarse en lugar de admirarse desde afuera. Viniendo de alguien cuyo alcance siempre ha pasado por la enseñanza, ese es probablemente el punto.