Trabajadores delegados
Trabajadores delegados persistentes para investigación, auditoría, calidad y orquestación, con contratos de frontmatter y protocolos de aislamiento del despliegue.
Los trabajadores delegados persistentes residen como archivos planos dentro del
directorio canónico de trabajadores delegados, con el sufijo <name>.md. La ruta
canónica es:
src/apothem/agents/Cada trabajador delegado es un rol específico, como investigación, auditoría, calidad, refactorización o andamiaje, con sus propias restricciones de herramientas y su propio prompt de sistema.
La tabla y la lista de rutas que aparecen más abajo muestran cuatro de los trabajadores delegados. El inventario generado al final de esta página enumera todas las definiciones de trabajadores delegados.
| Trabajador delegado | Archivo | Patrón | Política de modelo |
|---|---|---|---|
| Codebase Explorer | consulta la ruta del manifiesto más abajo | Investigación | seleccionado por el host |
| Convention Auditor | consulta la ruta del manifiesto más abajo | Auditoría | seleccionado por el host |
| Quality Gate | consulta la ruta del manifiesto más abajo | Calidad | seleccionado por el host |
| Memory Auditor | consulta la ruta del manifiesto más abajo | Auditoría | seleccionado por el host |
Rutas canónicas del manifiesto:
src/apothem/agents/codebase-explorer.md
src/apothem/agents/convention-auditor.md
src/apothem/agents/quality-gate.md
src/apothem/agents/memory-auditor.mdContrato de frontmatter
---
name: <agent name>
version: <semver>
updated: <YYYY-MM-DD>
description: <one-line role>
tools: <comma-separated tool list>
disallowedTools: <comma-separated deny list>
maxTurns: <integer>
---tools es opcional. Un trabajador delegado que lo omite hereda todas las
herramientas que tiene la sesión, incluidas las herramientas MCP conectadas, y
disallowedTools lleva su límite. Los catorce trabajadores delegados incluidos
enumeran tools.
Servidores MCP conectados
Un trabajador delegado que enumera tools solo puede llamar a lo que enumera.
Claude Code solo admite una herramienta MCP en esa lista cuando la entrada nombra
el servidor, como en mcp__<server>__*; un mcp__* sin más está documentado como
entrada de disallowedTools y en ningún otro lugar. Los nombres de servidor
pertenecen a la persona que los conecta, así que un trabajador delegado incluido
no puede nombrarlos.
citation-auditor y research-scout buscan fuentes académicas. Cada uno se
entrega con tools: Read, Glob, Grep, WebSearch, WebFetch y deniega las
herramientas que escriben archivos, ejecutan comandos, inician otros trabajadores
delegados o publican: Write, Edit, MultiEdit, NotebookEdit, Bash,
PowerShell, Monitor, Agent, Artifact y las herramientas de lista de
tareas. Sin ningún ajuste del perfil, ninguno de los dos alcanza una herramienta
MCP, y ambos buscan las fuentes mediante búsqueda web y descarga web.
Para dar a uno de ellos un índice académico conectado, nombra el servidor en la
clave agent_mcp_servers del perfil, que asigna un nombre de agente a nombres de
servidor. La instalación del motor de Claude Code (apothem install) añade
entonces una entrada mcp__<server>__* por cada servidor nombrado a la línea
tools de ese agente, y no cambia ningún otro agente. La instalación de Gemini
CLI hace lo mismo con una entrada mcp_<server>_* por servidor en la lista de
permitidos tools del agente, para un nombre de servidor de letras, dígitos y
-. En ambos, un servidor que nombra el propio disallowedTools del agente sigue
denegado. La entrada admite todas las herramientas de ese servidor, incluidas las
que escriben, así que nombra solo un servidor en el que confíes para consultas:
las instrucciones de los trabajadores delegados los limitan a llamadas de
búsqueda, consulta, lectura, verificación y resolución, pero el entorno solo
impone los nombres que enumera la línea tools. Un nombre para un agente que no
existe, o que no tiene una línea tools explícita, se notifica y se omite.
Los entornos distintos de Claude Code y Gemini CLI ignoran la clave. El árbol del
plugin de Claude Code se ensambla sin perfil y conserva la lista simple, así que
quien usa el plugin define en su lugar un agente de nivel de usuario bajo
~/.claude/agents/. La sintaxis del perfil, las reglas de nombres de servidor y
esa alternativa están en
Dar a un trabajador delegado acceso a servidores MCP.
Conversión por entorno
Un trabajador delegado cuya concesión tools, después de aplicar
disallowedTools, no incluye ninguna herramienta de edición de archivos
(Write, Edit, MultiEdit o NotebookEdit) es de solo lectura. Un trabajador
delegado sin concesión tools es de solo lectura cuando disallowedTools
deniega al menos Write y Edit. Cada entorno que convierte trabajadores
delegados aplica ese límite de forma nativa, lo indica en las instrucciones del
trabajador delegado o elimina la etiqueta de solo lectura:
| Entorno | Límite de herramientas | Límite de turnos | Modelo y esfuerzo |
|---|---|---|---|
| Claude Code | tools / disallowedTools tal como están escritos, más las entradas mcp__<server>__* que la clave agent_mcp_servers del perfil añada a una línea tools enumerada; sin tools, se heredan todas las herramientas, MCP incluido | maxTurns | heredado (no se establece) |
| Codex | no se emite ninguno; las instrucciones del trabajador delegado lo indican, y el sandbox de la sesión principal rige las escrituras | no disponible | heredado (no se establece) |
| Gemini CLI | lista de permitidos tools con nombres de herramientas de Gemini, más las entradas mcp_<server>_* que la clave agent_mcp_servers del perfil añada a una lista explícita enumerada; sin tools, la lista de permitidos que implican las denegaciones más mcp_* | max_turns | heredado (no se establece) |
| Qwen Code | tools / disallowedTools con nombres de herramientas de Qwen; sin tools, no se emite ninguna lista, así que las herramientas MCP se heredan y se aplican las denegaciones | no se asigna | model: inherit |
| OpenCode | permission (allow / deny por herramienta); las herramientas MCP no se restringen | no se asigna | heredado (no se establece) |
| Antigravity | no se emite ninguno; la descripción omite «read-only» | no disponible | heredado (no se establece) |
| CodeBuddy | tools / disallowedTools como cadenas separadas por comas, limitadas a los nombres de herramientas que documenta CodeBuddy; ninguna entrada MCP | maxTurns | heredado (no se establece) |
| Trae | tools / disallowedTools como cadenas separadas por comas, limitadas a los nombres de herramientas que documenta Trae; ninguna entrada MCP | no disponible | heredado (no se establece) |
| GitHub Copilot | lista de permitidos tools de alias de Copilot (read, search, edit, execute, web, agent, todo) con las denegaciones incorporadas, porque Copilot no tiene clave de denegación; se omite un alias que cubre una herramienta denegada; ninguna entrada MCP | no disponible | heredado (no se establece) |
| Cursor | ninguna lista de herramientas (Cursor no tiene ninguna); readonly: true para los cinco trabajadores delegados de solo lectura sin Bash, y los demás trabajadores delegados de solo lectura omiten la etiqueta «read-only» | no disponible | heredado (no se establece) |
| Kimi Code | tools / disallowedTools como listas de nombres de herramientas de Kimi Code (WebFetch pasa a ser FetchURL, TodoWrite pasa a ser TodoList; se omiten los nombres para los que Kimi Code no tiene herramienta); ninguna entrada MCP | no disponible | heredado (no se establece) |
| Kiro | lista de permitidos tools de categorías de herramientas de Kiro (read, write, shell, web, subagent) con las denegaciones incorporadas, porque la lista es la única restricción que se escribe; se omite una categoría que cubre una herramienta denegada; ninguna entrada MCP | no disponible | heredado (no se establece) |
| Windsurf | lista de permitidos allowed-tools de nombres de herramientas de Devin (read, edit, grep, glob, exec, write) con las denegaciones incorporadas, porque Devin no tiene clave de denegación; los tres trabajadores delegados que necesitan herramientas web no se instalan; ninguna entrada MCP | no disponible | modelo de subagente predeterminado de Devin (no se establece) |
Hermes y Open-Claw reciben los archivos de los trabajadores delegados como material de soporte, no como trabajadores delegados nativos.
Orquestación
El despliegue de trabajadores delegados, el protocolo de lanzamiento en paralelo, la aplicación del contrato de retorno y la disciplina de aislamiento residen en la regla de orquestación. El árbol de despacho por trabajador reside en la regla de patrones de orquestación, §Decision Tree. Rutas canónicas:
src/apothem/rules/agent-orchestration.md
src/apothem/rules/agent-orchestration-patterns.mdInventario generado de agentes
| Name | Description | Source |
|---|---|---|
README | Persistent agent definitions — the reusable sub-agent specifications the harness materializes whenever the orchestrator deploys a research, audit, or quality team. Each agent is a | src/apothem/agents/README.md |
citation-auditor | Read-only citation audit — checks that each reference in a bibliography or cited passage exists, matches its record, and that the opened source states what the text attributes to it. Use when a draft cites sources: 'check my references', 'are these DOIs real', 'does this paper say what I cite it for'. Finding new sources routes to research-scout; a free-standing claim routes to fact-checker. | src/apothem/agents/citation-auditor.md |
codebase-explorer | Read-only codebase exploration — exhaustively find every instance of a pattern, trace call/import dependencies, discover host conventions, map architecture and layering. Use when the query is 'where is X used', 'find all callers of Y', 'what convention does this repo follow for Z', 'map the module structure', or 'trace what depends on this file' — never for edits or design, and never for review verdicts (architecture-review, code-audit). Works through Grep / Glob / Read plus read-only Bash and returns evidence-cited findings (path + line + snippet) exhaustive within the declared scope; reports gaps rather than guessing. | src/apothem/agents/codebase-explorer.md |
convention-auditor | Read-only conventions auditor: verify naming (kebab-case files, snake_case Python, frontmatter keys), cross-reference resolution (dead rule/skill/agent paths, broken anchors, half-edge bindings), formatting standards (SPDX header presence, frontmatter contract), and ecosystem coherence (orphan artifacts, sibling-convention drift, registry gaps). Dispatch when a change touches multiple rules/skills/agents/commands and you need a binary PASS/FINDING verdict per instance with file+line+expected+actual evidence — e.g. 'audit naming across the harness adapters', 'check every new rule resolves its Bindings cross-refs', 'verify the skills cohort matches the kebab-case + SKILL.md convention'. Read-only: never fixes, never runs shell. A whole-tree sweep, or any fix, is the ecosystem-audit skill. Conventions are owned upstream and verified against, never re-derived; every finding cites severity + evidence. | src/apothem/agents/convention-auditor.md |
dependency-auditor | Read-only dependency-tree risk audit — flags unpinned, stale, duplicate, and known-vulnerable dependencies with manifest/lockfile evidence. Dispatch within a dependency audit, before a release cut, or after adding a dependency; one named CVE or advisory routes to the vuln-triage skill, and a signing or provenance review to the supply-chain-audit command. Detects the ecosystem via host-discovery: npm (package.json + package-lock/yarn/pnpm), pip (pyproject/requirements + lock), cargo (Cargo.toml + Cargo.lock), go (go.mod + go.sum). Runs npm audit / pip-audit / cargo audit / govulncheck and returns a risk-ranked table (known-vulnerable → unpinned → duplicate → stale) with per-row evidence; never widens a pin or escalates a scope — gaps surface as inquiry. | src/apothem/agents/dependency-auditor.md |
design-critic | Read-only UI critique. Use for a design review, a usability or accessibility check, or 'what is wrong with this screen' before a UI ships. A WCAG sweep across a whole web surface routes to the a11y-audit command; a CLI or install-flow review to ux-review. Reviews code, screenshots, or a running page and returns fixes ranked by user impact, from a scored heuristic review and separately measured evidence. Opens with a degraded notice when measurement tooling is missing; never guesses a measurement. | src/apothem/agents/design-critic.md |
fact-checker | Read-only adversarial claim verification — decompose input into atomic claims, seek ≥2 independent sources, attempt refutation, assign cited verdicts (supported / refuted / unverifiable) with quoted evidence and confidence. Use when a claim needs proof before it ships: a benchmark or statistic in docs/copy, a 'X is faster/safer than Y' assertion, a citation that names an RFC or spec, a release note, or any factual claim a reviewer would challenge. Routes external claims through WebSearch / WebFetch and repository claims through Read / Glob / Grep; defaults to refuted-or-unverifiable when evidence is insufficient, never a charitable supported. | src/apothem/agents/fact-checker.md |
mcp-builder | Scaffold a Model Context Protocol (MCP) server skeleton from a tool/resource contract — contract-first, well-typed tools, minimal surface. Use when: 'build an MCP server for <API>', 'scaffold MCP tools from this spec', 'wire FastMCP/TypeScript-SDK tool definitions', 'add a tool that exposes <resource> over MCP'. Detection: tool names + argument shapes + return types + resource URIs are stated or derivable. Selects the SDK via host-discovery (FastMCP for Python, the TypeScript SDK for Node), emits one typed tool definition per contract entry plus a list-tools smoke test, and scaffolds nothing speculative. Not for: tuning, securing, or load-testing an existing server (those surface as adjacent gaps). | src/apothem/agents/mcp-builder.md |
memory-auditor | Read-only memory-file auditor: cross-reference every claim in the harness memory tier (MEMORY.md index + topic files under <harness-root>/projects/{hash}/memory/ and <harness-root>/memory/) against actual filesystem state — file/line/rule counts (glob and count), referenced paths (do they exist?), rule scope labels (match pathFilter frontmatter?), dates (against frontmatter updated: or mtime, never the system clock), and cross-reference matrices. Dispatch when MEMORY.md or a topic file may have drifted from reality and you need a per-claim PASS/FAIL verdict with contradicting evidence — e.g. 'audit MEMORY.md after the rules cohort was renamed', 'verify the memory index counts match the current ecosystem', 'check the debugging topic file for stale references to deleted artifacts'. Existence + name match only; never re-audit an artifact's internal correctness (convention-auditor's scope). Read-only: never writes, never fixes. | src/apothem/agents/memory-auditor.md |
prompt-evaluator | Read-only rubric scoring of a prompt's output set — score each output against each named criterion (PASS/FAIL with cited evidence), aggregate per-criterion pass-rate, flag regressions against a baseline, and name recurring failure modes. Use when prompt or model outputs need a reproducible verdict before they ship: comparing a reprompted variant against the prior version, gating a system-prompt change, judging an LLM-as-judge eval set, scoring few-shot outputs against acceptance criteria, or proving a quality claim a reviewer would challenge. Scores outputs that already exist: building the dataset, scorer or runner routes to the eval-harness skill, and a full campaign to the eval command. Requires an explicit rubric — an absent or underspecified rubric blocks scoring and routes as inquiry; never invents a criterion or threshold, never scores charitably. | src/apothem/agents/prompt-evaluator.md |
quality-gate | Read-only quality-gate runner — discovers the host's lint / type-check / test / security / build commands, runs them in the correct order (build → type-check → tests+lint+security in parallel), and returns a per-gate PASS/FAIL verdict with file+line+error evidence. Reports, never fixes. Dispatch as a Quality team before a release cut, after a multi-file change, or to confirm a fix is green — e.g. 'run the full quality matrix and tell me what fails', 'gate this branch before I push', 'is the test suite green and the types clean?'. Runs the whole matrix; tests alone route to test-runner. Detects tooling via host-discovery (ruff/eslint/markdownlint, mypy/tsc/pyright, pytest/jest/cargo test/go test, bandit/npm audit/gitleaks); never assumes a stack. | src/apothem/agents/quality-gate.md |
refactor-surgeon | Scoped, behavior-preserving refactor of a named target — extract the behavioral contract, re-derive clean-room (never edit in place), name the one deficiency removed, verify regression via the host's own tests. Dispatch as a delegated team member on a single named target with a clear refactor intent; a user-driven interactive extraction is the refactor-extract skill — e.g. 'consolidate the duplicated validation in the CLI's install module', 'untangle the nested conditionals in the config renderer without changing output', 'rename the god-object methods in the adapter class to reveal intent'. Touches only the named target; adjacent gaps surface as findings, never as edits. Behavior, contracts, and side effects are identical before and after; a behavior change is a defect. | src/apothem/agents/refactor-surgeon.md |
research-scout | Read-only source discovery and ranking — decompose a research question into facets, fan out parallel web queries, rank candidates by authority, recency, and relevance, and return a deduplicated ranked source list. Use when a question needs sources before it can be answered: 'find the authoritative spec/RFC for X', 'what are the primary sources on Y', 'gather current references for a docs/copy claim', 'survey the landscape before a deep dive'. Fans external facets through any scholarly index server the operator has granted it, WebSearch, and WebFetch, and any in-repo corpus through Read / Glob / Grep. Also looks up papers and preprints by DOI, arXiv id, or topic ('find the paper behind this DOI'), and scouts existing open-source projects before anything new is built ('is there already a library for this', 'adopt or fork'). Discovery and ranking only — never fabricates a URL, never synthesizes; a written cited report routes to the multi-source-research skill, claim verification to fact-checker, and combining given documents to source-synthesis. | src/apothem/agents/research-scout.md |
security-scanner | Read-only secret, SAST-pattern, and config-risk sweep — a coarse first-pass that surfaces candidates fast and routes deep scanning to the host's CI scanners. Dispatch inside a security audit, after touching auth/crypto/IO surfaces, or when a secret may have been committed; a full repository security audit routes to the security-audit command. Greps for credential literals (key/token/password/private-key/certificate, committed .env values), injection surfaces (shell=True on untrusted input, string-formatted SQL, command interpolation), unsafe-eval (eval/exec/Invoke-Expression), unsafe deserialization (pickle.loads, yaml.load without SafeLoader), and config risk (over-broad CI permissions:, unpinned Actions uses:, network egress). Routes known-vulnerable dependencies to the dependency-auditor agent, CVE/advisory triage to the vuln-triage skill, and leaked-credential rotation to the secret-rotation skill. | src/apothem/agents/security-scanner.md |
test-runner | Read-only test-suite runner — discovers the host's test command, runs it, and triages every failure by root cause with test+file+line+assertion evidence. Reports, never fixes. Dispatch as a Research/Quality team member after a code change, before a release cut, or to confirm a fix is green — e.g. 'run the tests and tell me what's failing and why', 'is the suite green on this branch?', 'triage the failures in the auth module'. Tests only: lint, type and security gates route to quality-gate. Detects the runner via host-discovery (pytest/jest/cargo test/go test/Makefile target from the manifest + CI config); never assumes pytest. | src/apothem/agents/test-runner.md |
Comandos
Definiciones de comandos de barra que implementan la canalización de la suite de planes, además de auditorías de código, arquitectura, seguridad y dependencias, y revisión de la documentación.
Hooks
Manejadores de eventos de herramientas que se disparan en SessionStart, PreToolUse, PostToolUse y Stop, y cargan contextos de mensaje que imponen el aislamiento de git y la disciplina de planes, con un contrato de ejecución probado y estado por usuario.