El módulo devin-cli-agentic en OmniRoute implementa un mecanismo de contenedorización que permite desacoplar la interfaz de usuario de la inferencia del modelo. Mediante este diseño, el entorno de Claude Code actúa como el shell del cliente, mientras que la generación de respuestas se delega exclusivamente a la cuenta de Devin a través del protocolo ACP (Agent Client Protocol) vía stdio. Este análisis detalla la arquitectura, las restricciones de seguridad, la transformación de datos y el modelo de aislamiento estricto que impide cualquier fuga de credenciales o tráfico de red hacia los servidores de Anthropic.

Flujo de Arquitectura y Desacoplamiento

El sistema está diseñado para que Claude Code gestione las capacidades del lado del cliente (como lectura de archivos, edición y ejecución de pruebas), y Devin proporcione únicamente la inferencia. La ruta de comunicación se estructura de la siguiente manera:

Contenedor Aislado Claude Code (v2.1.220)
  → Endpoint local: http://omniroute:20128/v1/messages
  → Proveedor devin-cli-agentic (Formato Claude, Sin Autenticación)
  → Subproceso STDIO: devin acp --mode summarizer
  → Cuenta Devin (Volumen aislado devin-auth)

Esta integración no altera los proveedores existentes de Anthropic ni modifica el binario original de Devin CLI. Se registra como un ejecutor independiente en el registro de proveedores (open-sse/config/providers/registry/devin-cli-agentic/). La configuración del proveedor establece format: "claude" y authType: "none", ya que la autenticación se maneja de forma autónoma dentro del volumen aislado de Devin, sin que OmniRoute almacene ni toque las credenciales del host.

Restricción del Agente: Uso Exclusivo de summarizer

Un aspecto crítico del diseño es la elección del agente ACP. El agente predeterminado de Devin tiene la capacidad de ejecutar herramientas internamente, lo cual rompería el principio de que Claude Code debe ser el único propietario de las acciones. Por ello, el puente fuerza el uso del modo summarizer, que carece de herramientas. Las solicitudes de Anthropic se serializan como trazas de ejecución para que el modelo simplemente genere texto o solicite herramientas mediante un formato estricto.

El lanzamiento del subproceso se realiza mediante una llamada al sistema controlada:

const acpProcess = child_process.fork(devinBinaryPath, ["acp", "--mode", "summarizer"], {
  env: { HOME: AGENTIC_SANDBOX_PATH } // Debe ser /.sandbox/ o /home/bridge/
});

Si la variable de entorno AGENTIC_SANDBOX_PATH no apunta a una ruta segura, el sistema lanza un error unsafe_devin_home. Además, el ejecutor analiza los mensajes JSON-RPC en la salida estándar. Si detecta eventos como session/update o $/update que contengan tool_call, el proceso se aborta inmediatamente con un error unauthorized_tool_execution.

Para garantizar el cumplimiento, se inyecta un prefijo de sistema [Devin Summarizer Bridge] que instruye al modelo a tratar el contenido como una traza histórica y, si requiere acción del cliente, debe emitir exactamente un sobre JSON <tool> sin texto narrativo circundante.

Transformación de Solicitudes y Respuestas

Serialización: Mensjaes Anthropic a Trazas Devin

El módulo serializer.ts traduce la estructura de la API de Anthropic a texto plano. Los bloques del sistema se convierten en etiquetas [System], y los mensajes de roles en [User] y [Assistant]. Las llamadas a herramientas previas se registran en un conjunto knownToolUses; las referencias a herramientas no declaradas o resultados huérfanos provocan fallos inmediatos. Los bloques de pensamiento (thinking) se convierten en [Thinking]. Cualquier bloque de imagen o desconocido resulta en una excepción unsupported_visual_block.

Las definiciones de herramientas disponibles se inyectan bajo la etiqueta [Available Tools], incluyendo su esquema JSON, y se exige el uso del sobre XML <tool>{"name":"...", "arguments":{}}</tool>. Los resultados de herramientas grandes se truncan a 65536 caracteres, reemplazando el exceso con un marcador [TRUNCATED BY OMNIROUTE].

Análisis del Sobre: Respuestas Devin a tool_use de Anthropic

El módulo toolParser.ts aplica reglas estrictas sobre el texto devuelto por el modelo:

• Cero sobres <tool>: respuesta de texto final.
• Más de un sobre: lanza excessive_tool_requests (no se soportan llamadas paralelas).
• Texto fuera del sobre: lanza action_narrative_mismatch (prohíbe adjuntar prosa a acciones).
• JSON inválido: lanza malformed_tool_json.
• Herramienta no listada: lanza unidentified_tool.

Los argumentos se validan recursivamente contra el esquema JSON (type, enum, required, additionalProperties: false). El identificador de la llamada a la herramienta se genera determinísticamente para garantizar trazabilidad:

const digest = crypto.createHash('sha256')
  .update(`${sessionId}:${toolName}:${JSON.stringify(toolArgs)}`)
  .digest('hex').slice(0, 16);
const toolCallId = `devin_call_${digest}`;

Si el modelo comete un error de formato, el ejecutor realiza exactamente un intento de reparación inyectando un mensaje [Single Repair Attempt]. También existe una heurística describesUnexecutedToolIntent que rechaza textos que mencionan acciones futuras (ej. "I'll", "next steps") sin emitir un sobre válido.

Ensamblaje de Eventos de Transmisión

En lugar de reenviar fragmentos ACP incrementales, el sistema almacena en búfer la respuesta completa de Devin y luego emite un flujo SSE conforme a la especificación de Anthropic. Los eventos emitidos siguen la secuencia message_start → content_block_start/delta/stop → message_delta → message_stop. Las estadísticas de tokens se estiman basándose en la longitud del texto para mantener la compatibilidad con los mecanismos internos de seguimiento de uso de Claude Code.

Nomenclatura de Modelos y Configuración

El catálogo de modelos se importa desde catalog.ts, incluyendo identificadores como swe-1-7-lightning. La regla obligatoria es que todos los modelos referenciados en la configuración deben llevar el prefijo devin-cli-agentic/. Las variables de entorno mapean estas referencias a las variables internas de Claude:

• BRIDGE_PRIMARY_MODEL → ANTHROPIC_MODEL (ej. devin-cli-agentic/swe-1-7)
• BRIDGE_SONNET_MODEL → ANTHROPIC_DEFAULT_SONNET_MODEL
• BRIDGE_SUBAGENT_MODEL → CLAUDE_CODE_SUBAGENT_MODEL

Cualquier valor sin el prefijo es rechazado por la función de validación assertKnownDevinModel. Las capacidades declaradas en el registro son conservadoras: toolCalling: true, supportsReasoning: false, supportsVision: false.

Aislamiento de Red y Modelo de Amenazas

El diseño aísla rigurosamente la instalación de Claude del host. El manifiesto de Docker impone user: "10001:10001", sistema de archivos raíz de solo lectura, eliminación de todas las capacitudes Linux y no-new-privileges. Los directorios escribibles se montan como tmpfs efímeros. El entorno del subproceso se construye explícitamente, eliminando variables sensibles como ANTHROPIC_API_KEY, CLAUDE_CODE_OAUTH_TOKEN y variables de redirección de Bedrock/Vertex.

Guardianes de Egress Dual

El control del tráfico de red se maneja mediante dos proxies de guardia:

• Guardia Claude (Deny-All): Bloquea culaquier tráfico saliente desde el contenedor de Claude, excepto hacia el endpoint local de OmniRoute. Intercepta las solicitudes mediante HTTP_PROXY y registra las denegaciones en un archivo de auditoría.
• Guardia Devin (Whitelist): En perfiles en vivo, solo permite conexiones TLS hacia dominios *.devin.ai, *.cognition.ai y hosts específicos de Codeium. El guardia inspecciona el SNI del ClientHello TLS para tomar decisiones de enrutamiento y sanitiza los encabezados de salto por salto.

El proxy solo se inyecta en el entorno del subproceso de Devin si la URL coincide exactamente con el valor confiable http://network-guard:8080. El aislamiento puede verificarse ejecutando ./scripts/devin-bridge/verify-anthropic-isolation, que valida la ausencia de variables sensibles y la inaccesibilidad a api.anthropic.com.

Operaciones: Construcción, Autenticación y Pruebas

Las imágenes se construyen con versiones inmutables para Node, Claude Code y Devin CLI especificadas en el Dockerfile, verificando los checksums sha256sum de los binarios de Devin para ambas arquitecturas. La autenticación se realiza a través de un flujo de token manual dirigido exclusivamente al volumen devin-auth, sin tocar el host.

Las pruebas se dividen en dos rutas:

• Fuera de línea (Mock): Utiliza un binario simulado determinista para validar el contrato del puente y el aislamiento sin necesidad de conectividad.
• En vivo: Ejecuta escenarios estructurados que validan la lectura de proyectos, la ejecución de herramientas como Edit y Bash propiedad del cliente, y la finalización de tareas. Verifica específicamente que los registros de auditoría de Claude saliente permanezcan vacíos, mientras que los de Devin contengan las trazas de conexión esperadas.

Limitaciones Técnicas

El puente impone restricciones inherentes al diseño para garantizar la seguridad y la estabilidad:

• No hay soporte para imágenes ni capacidades de visión, lanzando errores explícitos si se incluyen.
• No se soportan llamadas a herramientas en paralelo; cada respuesta de Devin permite exactamente una acción.
• No existe afinidad de sesión ACP; el contexto se reconstruye en cada solicitud a la API de Anthropic.
• La infraestructura en vivo puede experimentar errores intermitentes 502/504; el sistema aplica una política de fallo cerrado y nunca recurre a un proveedor alternativo.
• El flujo SSE emite eventos completos tras recolectar la ronda ACP, no retransmite fragmentos incrementales.
• La dependencia del agente summarizer limita el formato de las respuestas intermedias, requiriendo lógica de compensación y un único intento de reparación.