Descubrimiento

El descubrimiento pone bajo OpenLatch los agentes de IA de las máquinas que gestiona tu organización, sin pedir a nadie que instale nada. Tus administradores despliegan un script de descubrimiento con la herramienta de gestión de flota que ya usan. En cada máquina, un análisis se ejecuta en la sesión de cada usuario. Cuando encuentra un agente que OpenLatch conoce, instala el cliente para ese usuario y lo inscribe con tu clave de organización. Desde ese momento, los agentes de ese usuario llegan al punto de decisión como los de cualquier máquina inscrita.

El descubrimiento cubre las máquinas que alcanza tu herramienta de gestión de flota. Encontrar agentes en máquinas que tu herramienta no gestiona no está disponible.

Cómo funciona

Figura 1. Desplegado una vez con privilegio de sistema, el descubrimiento analiza en la sesión de cada usuario y, cuando encuentra un agente, inscribe el cliente para ese usuario. Solo el cliente inscrito envía algo.

Paso	Dónde se ejecuta	Qué ocurre
Despliegue	Una vez por máquina, con privilegio de sistema, mediante tu herramienta de gestión de flota	El script se copia en una carpeta que solo los administradores pueden modificar, escribe el archivo de clave, registra una programación que se ejecuta en la sesión de cada usuario y la inicia en las sesiones ya abiertas. Nunca analiza, nunca escribe en la carpeta personal de un usuario y nunca ejecuta el cliente
Análisis	En la sesión de cada usuario, como ese usuario, cada 24 horas salvo que fijes otro intervalo	El análisis comprueba una lista corta y fija de lugares donde cada agente deja rastro. Nunca recorre el disco, y no muestra ventana, consola, icono ni notificación
Inscripción	Cuando encuentra un agente, en la misma sesión	El análisis instala el cliente para ese usuario, como lo hace el script de instalación, y ejecuta una inscripción con la clave de organización. El usuario no ve nada ni hace nada
Envío	Desde el cliente inscrito	El cliente envía lo que encontró el análisis por su canal de eventos existente. El propio análisis nunca llama a OpenLatch

La programación ejecuta la copia local del script. Nunca descarga y ejecuta un script en el momento del análisis: una versión nueva solo llega a una máquina cuando tu herramienta de gestión de flota la despliega de nuevo.

Qué busca un análisis

El análisis busca los agentes del catálogo de OpenLatch, con las mismas reglas que usa el cliente para encontrar los agentes que conecta. Comprueba, en orden:

Comprobación	Qué examina
Carpetas de configuración	La carpeta de configuración propia de cada agente, en la carpeta personal del usuario
Configuración trasladada	Las variables que un agente usa para trasladar su configuración, tal como las ofrece el entorno del programador
Programas	Un programa conocido en la ruta del usuario, una carpeta de instalación conocida, una aplicación de escritorio
Procesos en ejecución	Un proceso de agente en ejecución. Cuenta como prueba de que el agente sigue ahí, nunca como un agente encontrado: evita que un agente se marque como eliminado, y nunca instala ni inscribe nada

Solo un archivo inexistente cuenta como ausente. Una comprobación que el sistema operativo rechaza, o que falla, no es concluyente y conserva el resultado anterior.

Un agente del catálogo que aún no está soportado, como Gemini CLI u OpenClaw, todavía no conectados, se registra de todos modos. Su agente muestra el nivel de control Known con la nota No enforcement adapter: OpenLatch lo ve y no puede actuar sobre él. Un agente que el cliente conecta conserva el nivel de control que el cliente le da.

Qué registra y envía el descubrimiento

El análisis guarda sus resultados en la máquina, en una carpeta de descubrimiento de la carpeta personal del usuario que la desinstalación del cliente nunca toca:

En la máquina	Contiene
El último análisis	Cuándo se ejecutó, con qué privilegio, qué comprobaciones se hicieron, y cada agente del catálogo encontrado con la comprobación que lo encontró, escrita como plantilla de ruta, nunca como la ruta expandida
El registro de transiciones	Cada cambio desde el último análisis: un agente inscrito, inscrito de nuevo o eliminado, y un cambio del descubrimiento detectado. Solo nombra al usuario por su número de cuenta
El marcador de inscripción	Si este usuario tenía un cliente inscrito, su identidad de host y su organización
El registro del descubrimiento	Lo que hizo cada ejecución, con tamaño limitado

Ninguno de estos archivos contiene la clave. Una máquina sin cliente instalado, donde el análisis no encuentra nada, no envía nada. En una máquina cuyo cliente ya está inscrito, ese cliente sigue informando de lo que cambió, como un agente eliminado de la máquina.

Una vez inscrito el cliente, envía el resultado del análisis por su canal de eventos existente: qué ocurrió (detectado, inscrito, inscrito de nuevo, eliminado, o un cambio del descubrimiento detectado), cómo se inscribió el agente, cuándo se descubrió, el privilegio del análisis, la hora del último análisis y los nombres de los agentes del catálogo encontrados para ese usuario en esa máquina. Nunca envía una ruta de archivo ni un número de cuenta. El descubrimiento no lee ningún prompt, ningún contenido de archivo ni ningún historial de navegación, y nunca bloquea ni elimina la instalación de un agente.

Qué muestra la consola

Dónde	Qué ves
La ficha del agente	Una insignia Enrolled via discovery, una insignia Removed cuando el agente ya no está en su máquina, y una insignia De-enrolled cuando un administrador dio de baja su host
La pestaña Host del agente	La máquina en la que se ejecuta el agente, cómo se inscribió, su último análisis y su privilegio de análisis, los agentes encontrados, y cada otro agente de la misma máquina
Settings › Discovery	El comando que despliega el descubrimiento, y cada host de tu organización, con las acciones sobre cada host. Consulta Gestionar los hosts descubiertos
Notificaciones	Una notificación cuando el descubrimiento inscribe un agente, lo inscribe de nuevo tras eliminarse su cliente, o lo encuentra eliminado. Ninguna notificación nombra a un empleado
El registro de auditoría	Una entrada por cada uno de esos resultados, y una cuando un análisis encuentra modificados la programación, el script o el archivo de clave del descubrimiento

El propietario de un agente descubierto viene de tu directorio, exactamente como para cualquier otro agente. Cuando un directorio conectado no encuentra coincidencia, el agente se registra como no atribuido, en la raíz del árbol de tu organización.

Eliminación y nueva inscripción

Eliminar el cliente no elimina el descubrimiento. Cuando un usuario, o cualquiera, elimina el cliente mientras el agente sigue ahí, el análisis siguiente lo reinstala con la misma identidad de host y registra la nueva inscripción. Tanto la eliminación como la nueva inscripción quedan en la ficha.

Cuando todas las comprobaciones encuentran que un agente ya no está, el análisis lo registra como eliminado. El historial del agente se conserva, y la ficha retira la marca si el agente vuelve.

Un administrador que quiere mantener una máquina fuera la retira o la da de baja en Settings › Discovery. Una máquina dada de baja nunca se inscribe de nuevo por un análisis hasta que un administrador pulsa Re-enrol.

Límites que conviene conocer

Situación	Qué ocurre
Un usuario sin una sesión en la que pueda ejecutarse la programación	No se ejecuta ningún análisis para ese usuario. En Linux el usuario necesita un gestor de usuario en marcha (un inicio de sesión, o la permanencia activada); en macOS un usuario que solo se conecta por SSH no se analiza; en Windows el usuario necesita un inicio de sesión interactivo. Los agentes usados solo fuera de una sesión así no se descubren
Configuración trasladada solo en un perfil de shell	El análisis programado no lee los perfiles de shell, así que no ve esa ubicación
Un programa portátil en una carpeta inusual, con su configuración trasladada y el agente detenido	No se detecta
El descubrimiento modificado en una máquina	Detectar que la programación, el script o el archivo de clave cambiaron se hace en la medida de lo posible, y solo un análisis en una máquina con cliente lo informa. Una programación desactivada, un descubrimiento desinstalado y un usuario que nunca abre sesión se ven igual desde la consola
Una máquina nunca inscrita, donde el análisis no encuentra nada	La consola no la muestra. Los informes de ejecución de tu herramienta de gestión de flota muestran qué máquinas ejecutaron el script. Una máquina inscrita antes sigue en la lista con su host

El descubrimiento contempla un agente que se comporta mal, no uno malicioso. Está hecho para ser visible: su programación, su script y su registro llevan el nombre OpenLatch, y no se resiste a nadie que quiera quitarlo.

Varios usuarios en una máquina

Cada usuario de una máquina se analiza en su propia sesión, y cada uno recibe su propio cliente: en sus propios puertos de demonio y de relé y, en Windows, con una tarea del cliente con el nombre de ese usuario. El cliente de un usuario nunca detiene el de otro. El agente de cada usuario del sistema es un agente propio en la consola.

En una máquina compartida, los procesos locales de cada cuenta pueden alcanzar la escucha del relé de modelos de un usuario. El relé no tiene credencial de proveedor propia, así que quien lo llama no obtiene acceso al proveedor a través de él, pero una sesión de agente que ya estaba en marcha cuando el relé de su usuario cambió de puerto puede enviar una petición a lo que ocupe el puerto antiguo. El cliente informa de ese cambio en su propia salida y en su informe doctor.

Licencias

Situación	¿Cuenta como host con licencia?
Una máquina nunca inscrita, donde el análisis no encuentra nada	No
Una máquina inscrita antes, donde el análisis ya no encuentra nada	Cuenta mientras siga activa, como cualquier host inscrito
Una máquina donde el análisis inscribe el cliente, incluso para un agente que aún no está soportado	Sí
Un contenedor cuyo punto de entrada inscribe el cliente	Sí, en cada arranque: cada inscripción desde un contenedor nuevo es un host nuevo mientras siga activo

El descubrimiento puede llevar tus hosts activos por encima de tu contrato. El límite de hosts es flexible: la inscripción continúa y las licencias te avisan. Consulta Consultar licencias y uso.

Siguientes pasos

• Desplegar el descubrimiento, con las recetas para Intune, Configuration Manager y Jamf Pro.
• Gestionar los hosts descubiertos en la consola.
• El aviso para tus empleados, para tus representantes de los trabajadores y tu evaluación de impacto relativa a la protección de datos.