Tú preguntas
¿Qué buckets de S3 son públicos y no tienen cifrado?
Kairos responde
- Eligió 2 tablas del catálogo
- Escribió el SQL
- El validador lo aprobó
- Lo ejecutó en DuckDB en 140 ms
Ver el SQL
SELECT account_id, name, region
FROM syncol_aws.aws_s3_buckets_latest
WHERE is_public AND sse_algorithm IS NULL
LIMIT 100| Cuenta | Bucket | Región |
|---|---|---|
| 1111 2222 3333 | demo-exports | eu-west-1 |
| 1111 2222 3333 | demo-public-assets | us-east-1 |
Hay 2 buckets públicos sin cifrado. demo-public-assets sirve la web estática y es público a propósito. demo-exports guarda exportaciones de clientes: no debería ser público, empieza por ahí.
Prueba otra pregunta
Kairos es un analista que ya conoce tu nube. Sincroniza el inventario y los eventos de AWS, Cloudflare y Google Workspace en tu propia cuenta, y te deja preguntar en español lo que antes era una consulta, un script o una tarde de clics en la consola.
El modelo escribe. El código decide.
Cada pregunta recorre los mismos cinco pasos. El modelo de lenguaje solo redacta; lo que se ejecuta, dónde y con qué datos lo decide código determinista que puedes auditar.
-
código
Contexto
Kairos elige las tablas relevantes de tu catálogo: descripciones, columnas y relaciones. Las columnas sensibles ni siquiera se le enseñan al modelo.
-
modelo
SQL
Claude Haiku, en Amazon Bedrock dentro de tu cuenta, escribe una única consulta
SELECT. -
código
Validación
Solo lectura, solo tablas del catálogo, sin columnas sensibles, sin funciones de ficheros ni de red, y siempre con límite de filas. Si falla, el modelo recibe el motivo y lo intenta otra vez.
-
código
Motor
El estado actual se responde en DuckDB, en milisegundos. El historial y los eventos van a Athena sobre Iceberg.
-
modelo
Respuesta
El modelo explica el resultado en tu idioma, en streaming. Los datos llegan delimitados: un texto malicioso dentro de un tag nunca se trata como instrucción.
Tus datos no salen de tu cuenta
Cada cliente tiene su propia cuenta de AWS. Todo Kairos se despliega dentro de ella; desde fuera solo se ve Cloudflare.
Tú
Cloudflare
Tu cuenta de AWS
Todo cifrado con tu clave KMS
Lo que garantizamos, y cómo
- Una clave por cliente
- Una clave KMS propia en tu cuenta. Solo los servicios de Kairos pueden descifrar; ni nuestros administradores, ni la cuenta root, ni ningún otro rol.
- Solo lectura
- La API lee tu lago con un rol que no puede escribir ni tocar claves. El SQL que no sea un
SELECTno pasa del validador. - Nada sensible llega al modelo
- Secretos, claves de acceso y el JSON en bruto de cada recurso se ocultan antes de construir el prompt y antes de devolver resultados.
- Tus chats son tuyos
- Cada conversación se cifra con una clave de datos atada a tu usuario. Nadie más del equipo la ve, ni siquiera un administrador.
- Sin puertos abiertos
- El servidor no acepta conexiones de entrada. Cloudflare llega por un túnel que inicia el propio servidor.
- Doble factor obligatorio
- Entras con un código por email y un segundo factor: app de autenticación, llave de seguridad o biometría. Puedes limitar el acceso a tus IP.
Fuentes
- AWS Cuentas de tu organización: IAM, S3, EC2, CloudTrail y más
- Cloudflare Zonas, DNS, reglas, certificados, Access
- Google Workspace Usuarios, verificación en dos pasos, grupos, auditoría
- Azure, Google Cloud y on-premise En camino, con el mismo conector
Empezar es sencillo
Una cuenta de AWS para ti
Creamos una cuenta dedicada en nuestra organización, o usamos una tuya.
Un pipeline lo despliega todo
Clave, lago, API, túnel y acceso, con Terraform. Sin pasos manuales.
Conectas tus fuentes
Permisos de solo lectura en AWS, Cloudflare y Google Workspace.
Preguntas
La primera sincronización termina el mismo día.
Te enseñamos Kairos con tus propias preguntas.
Pedir una demo