¿Es seguro instalar la CLI de arc?

Esta página indica con precisión qué es el binario arc, qué hace en tiempo de ejecución, qué sale de tu equipo y adónde va, y cómo desactivar o eliminar cualquiera de ello. Cada afirmación aquí se puede verificar en los scripts de instalación y en el propio binario.

Qué es

arc es un cliente de línea de comandos para la API de Arc OS. Analiza tu comando, hace peticiones HTTPS a la API, muestra el resultado y termina.

Un ejecutable autocontenido, compilado a partir de un único archivo fuente (clients/arc-cli.ts) con Bun. No se instala ningún árbol de dependencias en tu sistema.
Un proceso de un solo uso. Un comando se ejecuta y termina; nada persiste en memoria ni lanza un servicio. La única excepción es arc start, documentada más abajo.
Un único destino de red: arc-os.co (o una URL de servidor que configures tú mismo). El binario no contiene ningún otro host de salida, ni analítica, ni telemetría.

Instalación

Los scripts de instalación descargan el binario precompilado desde nuestro servidor y lo colocan en tu PATH:

# macOS / Linux
curl -sSf https://arc-os.co/install.sh | bash

# Windows (PowerShell)
iwr https://arc-os.co/install.ps1 -useb | iex

Ambos scripts son texto plano en esas URL. Ábrelos primero si quieres leer lo que ejecutan. Enviar cualquier script a una shell implica confiar en su origen; si prefieres no hacerlo, descarga el binario desde la URL que aparece dentro del script, verifícalo tú mismo y muévelo a tu PATH manualmente.

Comportamiento en tiempo de ejecución

Los comandos del día a día (arc issues, arc report, etc.) se ejecutan y terminan sin dejar ningún proceso residual.

arc start lanza una sesión de trabajo con Claude e instala hooks de sesión. Estos son los únicos comportamientos en segundo plano, y cada uno tiene un interruptor de desactivación:

Comportamiento	Qué envía	Disparador	Desactivar
Sincronización del chat	Los mensajes de tu sesión (tamaño limitado por mensaje) a tu cuenta de Arc, para que la aplicación web pueda mostrar la conversación.	Durante una sesión de `arc start`.	Usa los comandos normales en lugar de `arc start`.
Sincronización de la hoja de horas	Tiempos de trabajo, proyecto, issue activo, asuntos de los commits. No contenido de conversación. Como máximo una vez cada 5 minutos.	Durante una sesión de `arc start`.	`ARC_DISABLE_AUTO_SYNC=1`
Aviso en Telegram	Una breve notificación de "turno terminado" o "esperando entrada", si conectaste Telegram.	Durante una sesión de `arc start`.	`CRM_DISABLE_TG_NOTIFY=1`
Actualización automática	Una tarea programada que comprueba si hay una versión más reciente al iniciar sesión. Solo en Windows, y solo si ejecutaste el instalador opcional para Windows. Los scripts curl/iwr de arriba no la configuran.	Al iniciar sesión, solo con el instalador de Windows.	Desinstalar la elimina.

Ninguno de estos es un demonio independiente. Son hooks vinculados a una sesión de arc start o, en el caso de la actualización automática, a un instalador de Windows que tú decides usar. Nada sigue en ejecución cuando la sesión termina.

La sincronización del chat envía la transcripción de tu sesión al servidor. Eso es necesario para que la aplicación web muestre tus chats; es una función del producto, no un canal oculto. Si no lo quieres, no uses arc start.

Datos y destinos

Todo el tráfico va a arc-os.co (o a tu servidor configurado) por HTTPS.
Se envían: metadatos de trabajo (sincronización de la hoja de horas) y mensajes de sesión (sincronización del chat, solo durante arc start).
No está presente en el binario: ningún endpoint de terceros de analítica, publicidad o telemetría.

Credenciales

arc login guarda tu token en ~/.arc/config.json, creado con permisos solo para el propietario (archivo 0600, directorio 0700).
El token se transmite únicamente como cabecera Authorization: Bearer al servidor configurado. Nunca se escribe en registros ni en notificaciones; la salida de los hooks se depura de tokens, claves de API y JWT antes de transmitirse.
arc logout, o borrar ~/.arc/config.json, lo elimina.

Verifica tu descarga

Publicamos una suma SHA256 para cada binario. Los scripts de instalación la comprueban automáticamente y abortan si no coincide. Para verificarla a mano:

# Linux / macOS: compare your file against the published hash
curl -sSL https://arc-os.co/api/cli/download/linux-x64.sha256   # or darwin-arm64, darwin-x64
sha256sum arc        # compare the hash to the line above (shasum -a 256 on macOS)

# Windows PowerShell
(Invoke-WebRequest https://arc-os.co/api/cli/download/windows-x64.sha256 -UseBasicParsing).Content
Get-FileHash .\arc.exe -Algorithm SHA256

Todos los hashes juntos están en https://arc-os.co/api/cli/checksums. Una suma de verificación confirma que el archivo coincide con lo que sirve nuestro servidor, así que detecta una descarga corrupta o manipulada. Por sí sola no demuestra quién publicó el archivo; para eso sirve la firma de código (véase más abajo).

Verificar y eliminar

arc --version        # version
which arc            # install location (macOS/Linux)
where arc            # install location (Windows)

Para desinstalar, borra el binario de tu PATH y elimina el directorio ~/.arc.

En curso

Firma de código. El binario todavía no tiene firma de código, así que Windows y macOS pueden mostrar una advertencia de "editor desconocido" en la primera ejecución. Está previsto firmarlo para que tu sistema operativo pueda confirmar el editor directamente. Mientras tanto, las sumas de verificación publicadas arriba te permiten verificar el archivo tú mismo.

Si algo de lo aquí descrito no coincide con lo que observas, dínoslo.