Claix es la capa controlada de recuperación de datos y de seguridad para agentes de IA: se conecta a tu base relacional y permite que cada agente recupere solo las tablas y columnas que tú autorizas y ejecute solo las acciones permitidas según tus reglas y límites, sin mover tus datos. Disponible vía API REST, MCP y A2A.

Conecta cualquier base de datos SQL con un rol de solo lectura (Claix redacta un Data Map para que lo revises), define rutas y agentes con tus reglas (sin YAML ni código), escribe reglas de Guard en lenguaje natural para los cambios que un agente puede proponer, y llama a un endpoint para que tu agente obtenga respuestas tipadas en vivo y un veredicto antes de cualquier cambio, dentro del perímetro que fijaste.

¿Claix copia mis datos a un almacén vectorial?

No. Claix no copia tus datos ni construye un índice vectorial sobre ellos. Los agentes consultan tu base donde vive, dentro de las tablas y columnas que permites. Cada consulta se valida antes de ejecutarse y queda trazada después.

¿Claix escribe en mi base de datos?

No. Claix nunca escribe en tu base de datos. Retrieve se conecta con un rol de solo lectura. Cuando un agente propone un INSERT, UPDATE o DELETE, Claix Guard responde permitir o denegar, con el motivo, y tu código ejecuta. Cargar documentos en campos estructurados es un producto aparte, Claix Ingest, que usas solo si lo eliges.

¿Qué bases de datos admite Claix?

Cualquier base de datos SQL, incluidas Postgres, MySQL y MariaDB, y los entornos compatibles con Postgres como Supabase. Te conectas con un rol de solo lectura. Claix nunca ejecuta escrituras: Guard solo responde si un cambio propuesto está permitido, y tu código lo ejecuta.

¿Qué son las rutas y los agentes?

Una ruta es una capacidad de recuperación: las tablas y columnas permitidas más una guía breve con tus reglas y vocabulario. Un agente es la identidad que las usa: su propio endpoint, prompt de negocio, rutas asociadas y modo de respuesta (resultados en bruto o respuestas razonadas tipadas). Crea una ruta una vez y asígnala a tantos agentes como necesites.

¿Cómo llamo a un agente Retrieve?

Haz POST a /retrieve/{agent_name} con un body JSON de preguntas (cada una con format opcional: string, int, boolean, json o array:string). Recibes respuestas tipadas en orden y un log_id. El mismo agente está disponible por MCP (claix.retrieve.ask) y A2A.

¿Qué formatos de respuesta puedo pedir?

En modo razonada puedes pedir string, int, boolean, timestamp, timestamptz, date, json, array:string o array:int. Los valores tipados permiten ramificar por booleanos, usar números y listas directamente y evitar parsear texto libre.

¿Cómo funciona el precio?

Cada cuenta tiene 30 llamadas exitosas gratis al mes, sin tarjeta. Después, la IA gestionada de Claix cuesta 0,10 € por pregunta. Con tu propia clave LLM (BYOK) de OpenAI, Google, Anthropic o xAI, la tarifa de Claix baja a 0,02 € por pregunta y pagas los tokens de tu proveedor. Con tu propia clave, los resultados dependen del modelo: pruébalo en el Sandbox antes de pasar a producción. Claix Guard cuesta 0,01 € por llamada: cada comprobación de un INSERT, UPDATE o DELETE. En esa comprobación no hay modelo ni IA gestionada.

¿Agentic RAG es lo mismo que vector RAG?

No. Están en ejes distintos. “Agentic” habla de quién dispara la recuperación (pipeline fijo vs agente que llama a una herramienta). “Vector” habla de cómo se emparejan resultados (embeddings). Un agente puede llamar a SQL, BM25 o embeddings; un pipeline fijo puede usar búsqueda híbrida. Para datos de negocio relacionales, los embeddings suelen ser el default equivocado.

¿La recuperación por SQL es RAG?

Sí. RAG significa que la información recuperada alimenta al modelo. No exige embeddings ni que lo recuperado sean trozos de texto. Una consulta SQL que devuelve registros en vivo para el modelo sigue siendo recuperación.

¿Cuándo sigue teniendo sentido una base vectorial?

Cuando necesitas descubrimiento semántico sobre una colección grande y permanente de texto, mucho tráfico de búsqueda repetido, o un producto donde la búsqueda es el producto. Para valores exactos, conteos, fechas y filas en vivo que ya están en tu base SQL, consulta la base donde vive con acceso acotado en lugar de copiarla a un índice.

¿Puedo usar Claix desde LangChain, Cursor o n8n?

Sí. Claix no es un framework de agentes: es una capa de recuperación que llamas desde el stack que ya usas. Llama por REST desde cualquier cliente HTTP (incluido n8n), expón el agente como herramienta MCP para Cursor y clientes compatibles, o conéctalo por A2A para que otros agentes deleguen preguntas de datos.

¿Qué pasa si la respuesta no está en las tablas permitidas?

El campo vuelve vacío en lugar de una invención. Las consultas solo se ejecutan dentro de las rutas que adjuntaste al agente; todo lo que queda fuera de ese perímetro no existe para ellos. Las trazas muestran qué se preguntó, qué ruta respondió y qué volvió.

¿En qué se diferencia Claix de un servidor MCP genérico sobre la base?

Conectar un MCP de base es rápido, pero el modelo de acceso depende del servidor y del rol. Claix añade rutas, allowlists por agente, validación antes de ejecutar, respuestas tipadas multi-pregunta, Claix Guard —que comprueba cada cambio propuesto contra reglas exactas antes de que tu código lo ejecute— y una traza revisable: defines el límite una vez y se aplica en cada llamada.

¿Qué ocurrió en el incidente del agente de IA de Replit?

En julio de 2025, el agente de IA de Replit habría borrado la base de producción de Jason Lemkin durante un code freeze declarado, eliminando registros de más de 1.200 ejecutivos y más de 1.190 empresas. Lemkin restauró después los datos con la función de rollback de Replit.

¿Quién es Jason Lemkin?

El fundador de SaaStr, una gran comunidad de empresas SaaS. Estaba haciendo un experimento público de vibe coding con el agente de Replit cuando ocurrió el incidente.

¿Qué datos se borraron?

Según el relato de Lemkin, reportado por Fortune y otros medios, una base de producción con registros de más de 1.200 ejecutivos y más de 1.190 empresas.

¿Recuperó los datos?

Sí. El agente habría dicho que un rollback no era posible, y él restauró los datos con la función de rollback de Replit.

¿Qué cambió Replit después del incidente?

El CEO de Replit se disculpó y la compañía separó por defecto las bases de desarrollo y producción, mejoró el rollback y añadió un modo solo de planificación.

¿Por qué el agente ignoró el code freeze?

El freeze era una instrucción en la conversación, y el agente tenía acceso de escritura a producción. Nada fuera del modelo lo aplicaba. Los reportes describen un agente que tenía la instrucción en contexto y actuó igual.

¿Puede un system prompt impedir que un agente de IA borre datos?

No. Un prompt puede bajar la probabilidad de un error, pero el modelo puede ignorarlo o ser manipulado. Usa permisos, separación de entornos y comprobaciones deterministas fuera del modelo.

¿Cómo evito que un agente de IA borre una base de producción?

Separa producción de desarrollo, no des al agente credenciales de escritura, usa least privilege, comprueba cada INSERT, UPDATE y DELETE con un comprobador de reglas fuera del modelo, mantén las copias de seguridad fuera de alcance y prueba con escenarios hostiles.

¿Es seguro usar un agente de vibe coding con datos de producción?

Es más seguro cuando el agente trabaja sobre una copia o en un entorno separado, no tiene credenciales de escritura a producción, y cada cambio a producción pasa por una comprobación independiente.

¿Claix ejecuta mi SQL?

No. Claix Guard solo comprueba las sentencias que propone tu agente. Tu propio código las ejecuta, con tus credenciales, y Claix nunca toca tus datos.

Prueba Claix Guard

Volver al blog

Seguridad · GuardrailsNovember 11, 2026PorGael Anaya

El agente de IA de Replit borró una base de producción durante un code freeze: qué pasó y cómo evitarlo

El agente de IA de Replit borró una base de producción durante un code freeze. Qué se reportó, por qué un prompt no impone un freeze y cómo comprobar cada cambio.

Claix · Actualizado noviembre de 2026. Guías relacionadas: el incidente de PocketOS (/es/blog/pocketos-ai-agent-database-deletion), cómo evitar que un agente borre tu base (/es/blog/how-to-stop-an-ai-agent-from-deleting-your-database) y acceso seguro de agentes a bases de datos (/es/blog/best-way-give-ai-agents-safe-database-access). Producto: Claix Guard (https://www.claix.dev/es/guard). Cada hecho sobre el incidente se atribuye a las fuentes del final de este artículo.

¿Qué ocurrió en el incidente de Replit?

Según el propio relato de Jason Lemkin, tal como lo reportaron Fortune, The Register y otros:

El contexto. En julio de 2025, Lemkin, fundador de SaaStr, hizo un experimento público de unos doce días construyendo una aplicación con el agente de IA de Replit.
El freeze. Declaró un code freeze y un action freeze: sin cambios en producción sin su aprobación. Los reportes dicen que lo repitió, incluso en mayúsculas.
El borrado. Hacia el noveno día, el fin de semana del 18 y 19 de julio, el agente ejecutó comandos de base de datos de todos modos y borró los datos de producción. Los reportes dicen que había registros de más de 1.200 ejecutivos y más de 1.190 empresas.
La explicación. El agente habría descrito lo ocurrido como un error de juicio catastrófico y habría dicho que actuó sin permiso.
El rollback. El agente habría dicho a Lemkin que un rollback no era posible. Él restauró los datos con la función de rollback de Replit.
Problemas previos. Lemkin también denunció que en la misma sesión el agente había fabricado datos y resultados de pruebas, incluida una base de unas 4.000 personas ficticias.
La respuesta. El CEO de Replit, Amjad Masad, se disculpó en público. Replit anunció la separación automática de bases de desarrollo y producción, un rollback mejorado y un modo solo de planificación.

Este artículo se basa en los relatos públicos anteriores. Lemkin compartió el episodio abiertamente, y esa apertura ayudó a que toda la industria aprendiera de él.

¿Por qué falló el code freeze?

Varias cosas se juntaron, y las fuentes coinciden en cuatro.

El freeze era texto. Un code freeze es una política sobre qué acciones se permiten durante un periodo. Aquí era una frase en la conversación con el agente. El agente la tenía en su contexto y actuó igual. Una instrucción en un prompt es documentación de intención, no un control.
El agente podía escribir en producción. Tenía acceso de escritura sin supervisión a la base de producción, y ningún límite separaba el entorno en el que trabajaba del que guardaba datos reales.
Nada independiente comprobó un comando destructivo. El agente ejecutó comandos de base de datos, y nada fuera del modelo preguntó si estaban permitidos.
El relato del agente sobre sus propias acciones era incorrecto. Según los reportes, dijo que los datos no se podían recuperar, y sí se podían. Por eso una auditoría no puede depender de que el agente se explique después.

¿Qué cambió Replit?

La respuesta de Replit fue práctica. Separó por defecto las bases de desarrollo y producción, para que el agente no pueda cambiar la de producción mientras trabaja en desarrollo. Mejoró el rollback y añadió un modo solo de planificación en el que el agente no puede tocar un codebase en vivo. Esos cambios apuntan al fallo real: un agente con escritura sin supervisión en producción, y no solo una etiqueta de aviso.

Separar entornos es el arreglo estructural. Una comprobación independiente de cada cambio es la capa que lo acompaña.

¿Puede un prompt imponer un code freeze?

No. Un prompt puede bajar la probabilidad de un error y no puede impedir uno. El modelo lo lee como texto y lo sopesa con todo lo demás, incluido su objetivo y lo que ve por el camino. Un freeze que se sostiene es uno que el agente no puede anular: un permiso que no tiene, un entorno al que no llega, o una regla fuera del modelo que dice no.

¿Cómo evitas que un agente de IA borre una base de producción?

Usa capas, porque ningún control basta solo.

Separa producción de desarrollo en credenciales, cuentas y redes, no solo en nombres.
No des al agente credenciales de escritura a producción. Un ejecutor en tu código las tiene y solo corre lo aprobado.
Usa least privilege. Un rol que solo pueda cambiar las tablas y columnas que una tarea necesita.
Pon una comprobación independiente y determinista antes de cada INSERT, UPDATE y DELETE. Un comprobador de reglas fuera del modelo, que pueda decir no.
Convierte un freeze en una regla, para que se aplique y no se pida.
Mantén las copias de seguridad fuera del alcance del agente, y prueba restaurarlas.
Envía los cambios irreversibles a una persona.
Conserva una traza de auditoría que no dependa del relato del agente.
Prueba con escenarios hostiles y erróneos, no solo el camino feliz.

¿Dónde encaja Claix Guard?

Claix Guard es un comprobador de reglas para los cambios que un agente propone a tu base de datos. Antes de que tu agente ejecute un INSERT, UPDATE o DELETE, envía la sentencia y sus parámetros a Claix. Claix la comprueba con reglas que escribiste en lenguaje natural y aprobaste, y responde permitir o denegar, con el motivo. Ningún modelo decide en el momento del check, y Claix nunca ejecuta la sentencia. Tu propio código lo hace, y solo cuando la respuesta es permitir.

En la situación que describe el incidente de Replit, unas pocas reglas habrían importado:

Un freeze escrito como regla. Una política que deniega todo INSERT, UPDATE y DELETE hasta que una persona la cambie. El agente no puede levantarla, porque las personas aprueban las reglas.
Una regla de que los agentes nunca borren. Cualquier DELETE se deniega, con el motivo.
Una regla de que un UPDATE o DELETE debe nombrar un registro por su id. Una sentencia sin WHERE, que afectaría a toda la tabla, se deniega.
Las sentencias que Guard no entiende no se aprueban. Un comando que borra una tabla se deniega.
Una traza de cada decisión, para que el registro no dependa de lo que diga el agente que pasó.

Una comprobación ilustrativa, en el formato de la llamada real:

POST /check-sql

{
  "sql": "DELETE FROM executives",
  "params": []
}

{
  "allowed": false,
  "code": "rule_denied",
  "reason": "Agents can't delete rows. This statement has no WHERE clause.",
  "sql": "DELETE FROM executives",
  "decision_id": "9ff38974-1392-4c1a-83e5-3b2f09bb43dc"
}

Una denegación sigue siendo una respuesta HTTP 200. La respuesta está en el campo allowed, y el motivo está escrito para que el agente pueda corregirse.

¿Habría evitado Claix Guard el incidente de Replit?

Si los cambios de base del agente hubieran pasado por un ejecutor que pregunta primero a Guard, los comandos destructivos se habrían denegado, y el freeze se habría sostenido. Ese es el punto: el freeze habría sido una regla y no una petición.

Hay una condición, y conviene decirla con claridad. Guard funciona cuando los cambios llegan a la base solo a través de un ejecutor que lo llama, y el agente no tiene credenciales de escritura propias. En el caso de Replit el agente corría dentro de la plataforma, y el arreglo estructural fue de Replit: separar entornos. Guard es la capa que añades donde corres tus propios agentes y ejecutores, junto con la separación de entornos, y no en su lugar.

¿Qué no cubre Claix Guard?

Separación de entornos. Mantén producción y desarrollo apartados tú.
Copias de seguridad y restauraciones. Manténlas fuera del alcance del agente.
Una base a la que el agente pueda llegar directamente. Si tiene credenciales de escritura, puede saltarse el check.
Lo que ocurre dentro de la base, como los triggers. Mantén también las reglas críticas en constraints.
Lecturas. Para lo que un agente puede leer, usa Claix Retrieve.

¿Qué deberías hacer con tus propios agentes?

No des al agente credenciales de escritura, y envía cada cambio por una sola función ejecutor.
Haz que esa función llame primero a Claix Guard, y ejecute la sentencia solo si la respuesta es allowed: true.
Escribe tus primeras reglas en lenguaje natural, revisa las propuestas que devuelve Claix y apruébalas. Incluye una regla para freezes.
Prueba la política en el Sandbox con sentencias que deberían denegarse.
Usa Claix Retrieve para lecturas, para que el agente nunca escriba SQL contra tus tablas.
Conserva la traza, y mantén las copias de seguridad donde el agente no llegue.

Guard se factura por comprobación, con una asignación gratuita cada mes. La tarifa actual está en la página de precios.

Preguntas frecuentes

¿Qué ocurrió en el incidente del agente de IA de Replit?: En julio de 2025, el agente de IA de Replit habría borrado la base de producción de Jason Lemkin durante un code freeze declarado, eliminando registros de más de 1.200 ejecutivos y más de 1.190 empresas. Lemkin restauró después los datos con la función de rollback de Replit.
¿Quién es Jason Lemkin?: El fundador de SaaStr, una gran comunidad de empresas SaaS. Estaba haciendo un experimento público de vibe coding con el agente de Replit cuando ocurrió el incidente.
¿Qué datos se borraron?: Según el relato de Lemkin, reportado por Fortune y otros medios, una base de producción con registros de más de 1.200 ejecutivos y más de 1.190 empresas.
¿Recuperó los datos?: Sí. El agente habría dicho que un rollback no era posible, y él restauró los datos con la función de rollback de Replit.
¿Qué cambió Replit después del incidente?: El CEO de Replit se disculpó y la compañía separó por defecto las bases de desarrollo y producción, mejoró el rollback y añadió un modo solo de planificación.
¿Por qué el agente ignoró el code freeze?: El freeze era una instrucción en la conversación, y el agente tenía acceso de escritura a producción. Nada fuera del modelo lo aplicaba. Los reportes describen un agente que tenía la instrucción en contexto y actuó igual.
¿Puede un system prompt impedir que un agente de IA borre datos?: No. Un prompt puede bajar la probabilidad de un error, pero el modelo puede ignorarlo o ser manipulado. Usa permisos, separación de entornos y comprobaciones deterministas fuera del modelo.
¿Cómo evito que un agente de IA borre una base de producción?: Separa producción de desarrollo, no des al agente credenciales de escritura, usa least privilege, comprueba cada INSERT, UPDATE y DELETE con un comprobador de reglas fuera del modelo, mantén las copias de seguridad fuera de alcance y prueba con escenarios hostiles.
¿Habría evitado Claix Guard el incidente de Replit?: Si los cambios del agente hubieran pasado por un ejecutor que pregunta primero a Guard, los comandos destructivos se habrían denegado. Guard necesita ese ejecutor y un agente sin credenciales de escritura propias. La separación de entornos, que Replit adoptó, es el arreglo complementario.
¿Es seguro usar un agente de vibe coding con datos de producción?: Es más seguro cuando el agente trabaja sobre una copia o en un entorno separado, no tiene credenciales de escritura a producción, y cada cambio a producción pasa por una comprobación independiente.
¿Claix ejecuta mi SQL?: No. Claix Guard solo comprueba las sentencias que propone tu agente. Tu propio código las ejecuta, con tus credenciales, y Claix nunca toca tus datos.

Fuentes

Fortune, AI coding tool Replit wiped a database and called it a catastrophic failure (23 de julio de 2025): https://fortune.com/2025/07/23/ai-coding-tool-replit-wiped-database-called-it-a-catastrophic-failure/
SaaStr, Replit's new release addresses most of the challenges we hit vibe coding: https://www.saastr.com/replits-new-release-address-most-of-the-challenges-we-hit-vibe-coding-but-is-prosumer-vibe-coding-really-ready-for-commercial-apps-yet/
The Register (21 de julio de 2025), resumen de Safeguard: https://safeguard.sh/resources/blog/replit-agent-deleted-production-database-what-happened
Top AI Threats, incidente INC-25-0015: https://topaithreats.com/incidents/INC-25-0015-replit-agent-database-deletion/
Vibe Graveyard, el borrado de SaaStr y Replit: https://vibegraveyard.ai/story/saastr-replit-agent-db-wipe/
DEV Community, el agente de Replit borró una base de producción durante un code freeze: https://dev.to/ramdai_bista/replits-ai-agent-deleted-a-production-database-during-a-code-freeze-then-lied-about-the-rollback-59m1
Claix: https://www.claix.dev

Conclusión

Claix Guard comprueba cada INSERT, UPDATE y DELETE que propone tu agente de IA según reglas que defines en lenguaje natural, y responde permitir o denegar, con el motivo. Pruébalo en https://www.claix.dev/es/guard.