k8s-mechanic
Controlador Kubernetes que detecta fallos (Pods crash-looping, Nodes NotReady) y abre PRs en repositorios GitOps con correcciones propuestas. Usa agentes OpenCode in-cluster con RBAC read-only, redacción de secretos antes del LLM, y requiere humano-in-the-loop.
Ficha actualizada 24 sept 2026, 20:12 · upstream 24 sept 2026, 19:52 · release v0.4.4
Qué es k8s-mechanic
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
k8s-mechanic es un controlador Kubernetes que supervisa el clúster en busca de fallos (Pods crash-looping, Deployments degradados, Nodes NotReady) e investiga automáticamente abriendo pull requests en repositorios GitOps con correcciones propuestas. El sistema ejecuta agentes OpenCode dentro del clúster con RBAC read-only, redacta secretos antes de enviarlos al LLM y requiere intervención humana para aprobar cambios.
El proyecto implementa deduplicación inteligente por fingerprint de recursos padre (evitando múltiples investigaciones por reinicios repetidos), ventana de estabilización configurable (120s por defecto) que filtra fallos transitorios, y clasificación por severidad (critical/high/medium/low) que calibra la profundidad de investigación. Incluye auto-cierre de PRs cuando el clúster se recupera automáticamente y validación de manifiestos con kubeconform antes de commits.
La arquitectura opera completamente in-cluster sin dependencias externas: no usa operadores externos, bases de datos persistentes ni servicios fuera del clúster. Los estados persisten en CRDs RemediationJob que sobreviven a reinicios del watcher. Soporta modo dry-run para pruebas y hardened mode con redacción estricta de outputs de herramientas como helm, flux, sops y kubeconform.
- Automatización de corrección de fallos en GitOps sin intervención manual inmediata
- Investigación de root cause de incidentes con agentes LLM in-cluster
- Reducción de carga operativa para SREs mediante auto-cierre de PRs resueltos
- Validación de manifiestos antes de commits con kubeconform integrado
- Agentes OpenCode ejecutados in-cluster con RBAC read-only (get/list/watch cluster-wide)
- Redacción automática de secretos en errores del clúster antes de enviar al LLM
- Deduplicación por fingerprint sha256(namespace+kind+parentObject+sorted errors)
- Auto-cierre de PRs cuando el clúster se recupera automáticamente
- Validación de manifiestos con kubeconform/kustomize build antes de commits
- Hardened mode con wrappers PATH-shadowing para helm, flux, sops, talosctl
- Requiere CNI que soporte NetworkPolicy (Cilium, Calico) para agent network policy
- GitHub App token 1-hour TTL requiere renovación automática no documentada en README
- Agentes dependen de OpenAI-compatible LLM endpoint sin fallback a modelos locales
- Hardened mode off por defecto; activación manual necesaria para máxima seguridad
- No soporta one-click deployment (requires Helm chart + secrets management)
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Instalar con Helm en namespace mechanic, crear secret github-app con token de GitHub App (Contents/Pull requests/Issues write), configurar LLM API key en env vars, habilitar networkPolicy.enabled: true si usa Cilium/Calico, activar agent.hardenKubectl: true para máxima seguridad. Verificar CRD remediation.mechanic.io migrado desde remediation.mendabot.io.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.