Kit del servidor

Esto es lo que va en la máquina que quieres manejar. El agente es un solo fichero, golem.exe. No hay instalador: se copia donde quieras y se lanza. No toca el registro, no crea servicios y no deja nada detrás salvo su propio log al lado.

El agente no lleva licencia y no cobra por conectarse. Cópialo a tantas máquinas como quieras. Lo que se licencia es el cliente, en la otra punta (Instalación).

Si el servidor no tiene a nadie delante, el Guardián deja entrar a tus técnicos sin que nadie arranque el agente. Viene con Golem Empresa.

¿Buscas el programa para que te ayuden con tu ordenador? Es Golem Assist: un fichero, un botón y doce números. Está en Asistencia. Los dos, uno al lado del otro: ¿Cuál me bajo?

Get-FileHash -Algorithm SHA256 "$HOME\Downloads\Golem-Server-1.6.0.zip"

Lo que trae el kit

Cuál de los dos .bat

En una pregunta: ¿se puede llegar a esta máquina desde fuera? Un VPS, un servidor con IP pública o un equipo de la misma red que el técnico: el primero. Un PC de casa, uno conectado por móvil o uno dentro de la red de una empresa: el segundo, porque ahí no hay ningún puerto que abrir y la conexión tiene que salir de esta máquina hacia fuera. El segundo no necesita administrador.

Arrancarlo

Doble clic en el .bat que toque. Al arrancar, el agente imprime un cartel con la máquina, el puerto, el log de auditoría, las tools y, al final, la línea golem_connect, que ya deja copiada en el portapapeles: basta con pegarla (Ctrl+V) en el chat de Claude, o en el correo o el mensaje con el que se la mandes a tu técnico.

La línea no se guarda en ningún fichero, y es a propósito. El token cambia en cada arranque, así que una línea guardada en disco es una línea muerta con pinta de vigente. Al cerrar la ventana o con Ctrl+C, el agente se apaga ordenadamente y lo deja escrito en su log.

Las tres formas de arrancarlo

Tres cosas del túnel

1. La dirección cambia en cada arranque, igual que el token. Espera unos diez segundos antes de pegar la línea: el nombre sale en pantalla antes de que el DNS lo sepa resolver.
2. Por el túnel, nada puede tardar más de 125 segundos. Es un límite de Cloudflare: un run_powershell de más de dos minutos, o una espera larga, mueren ahí. Lanza el trabajo en segundo plano y pregunta por él en vueltas cortas.
3. Es el servicio gratuito de Cloudflare, sin compromiso de disponibilidad. Para asistir a un cliente un rato va sobrado; para algo que tenga que estar en pie a una hora fija, mejor la IP pública con huella.

TLS y cortafuegos

TLS viene encendido. El agente genera su propio certificado en cada arranque y la línea golem_connect lleva su huella al final; por eso hay que pegarla entera. Con --no-tls el token viaja en claro: vale para una LAN, no para internet.

Si lo arrancas como administrador, el agente crea su propia regla de entrada para su puerto (Golem-agente-8797) y la borra al salir. En una consola normal no puede, lo dice y te da la orden netsh entera. Con túnel no hay nada que abrir.

Un agente con menos manos

Si en esa máquina solo quieres que se mire, arráncalo con --read-only (o doble clic en Arrancar - solo mirar, servidor con IP publica.bat). Publica solo las tools que miran: host_info, ficheros, capturas, procesos, el estado de los servicios y lo que FoxAgent inspecciona. run_powershell, escribir ficheros, lanzar o matar procesos y los scripts de scripts\ no se publican; service sí, pero solo contesta a action=status. Para algo más fino está --allow con una lista de patrones, y los dos se juntan: pasa lo que casa y mira.

golem serve --read-only

Tus scripts y los servidores MCP de la máquina

scripts\: cada .ps1 que dejes en esa carpeta, junto a golem.exe, se publica como una tool más, con la descripción y los parámetros que declare el propio script. Se lee al arrancar.

golem.mcp.json: si en esa máquina hay un servidor MCP (FoxAgent, por ejemplo), Golem lo levanta al arrancar y publica sus tools como <alias>__<tool>. Tiene la misma forma que el .mcp.json de Claude; la ruta se escribe entera, porque Golem no busca en el PATH:

{
  "mcpServers": {
    "foxagent": {
      "command": "C:\\Program Files\\FoxAgent\\FoxAgent.McpHost.exe",
      "args": []
    }
  }
}

Si un servidor se cae, la siguiente llamada lo relanza, como mucho una vez por minuto. Al apagarse el agente, se lleva con él a los servidores que levantó.

Lo que deja escrito

golem-audit.log, junto al exe y en español: una línea por llamada: qué tool, qué argumentos, cuánto tardó, cómo acabó; y una por cada fichero movido, con su sha256. No lleva ningún token, así que se puede enseñar.

También apunta con qué licencia dijo conectarse cada cliente, y el agente no la comprueba ni rechaza a nadie por eso:

… [agente] -- sesion abierta -- el cliente dice: modo licenciado, id _GY9C452T (4c77b9d2)

Mirar cómo va, sin token

GET /health contesta a cualquiera que alcance el puerto, sin credencial: estado, versión recortada a mayor.menor y cuántas tools. GET /sessions da cuántas sesiones hay vivas. Ninguna devuelve tokens. Todo lo demás pide el token. Si no quieres exponer nada, arráncalo con túnel o con --host 127.0.0.1.

Actualizar

Copiar el golem.exe nuevo encima y volver a lanzarlo. No hay nada en disco que dependa de la versión. Si estaba corriendo, ciérralo antes: un ejecutable en marcha no se deja sobrescribir.